Wprowadzenie do problemu / definicja
Urządzenia Synology NAS od lat pełnią kluczową rolę w przechowywaniu danych, realizacji kopii zapasowych oraz udostępnianiu zasobów w firmach i środowiskach domowych. Z punktu widzenia cyberprzestępców są one szczególnie atrakcyjnym celem, ponieważ często zawierają krytyczne pliki, archiwa projektowe, backupy i dokumentację operacyjną. Najnowsza kampania ransomware pokazuje, że nieaktualne wersje systemu DiskStation Manager (DSM) mogą stać się prostą drogą do przejęcia kontroli nad urządzeniem i zaszyfrowania danych.
Problem dotyczy klasycznego scenariusza, w którym atakujący nie muszą wykorzystywać nieznanych wcześniej błędów. Wystarczy, że organizacja nie wdrożyła dostępnych poprawek bezpieczeństwa, a publicznie wystawiony interfejs administracyjny lub usługa sieciowa staje się punktem wejścia do ataku.
W skrócie
W listopadzie 2026 roku ujawniono kampanię ransomware wymierzoną w urządzenia Synology NAS działające na przestarzałych wersjach DSM. Producent potwierdził, że przestępcy wykorzystują podatność załataną już w grudniu 2024 roku, a celem operacji jest szyfrowanie danych i wymuszenie okupu.
Z analizą incydentów powiązano rodzinę ransomware C3RB3R. Zaszyfrowane pliki otrzymują rozszerzenie „.L0CK3D”, a na urządzeniach pozostawiana jest nota okupowa „read-me3.txt”.
- celem są nieaktualne wersje DSM,
- atak bazuje na wcześniej załatanej luce,
- skutkiem jest szyfrowanie danych i presja na zapłatę okupu,
- kluczowe znaczenie ma szybkie aktualizowanie systemu oraz ograniczenie ekspozycji NAS do internetu.
Kontekst / historia
Synology poinformowało, że zidentyfikowało aktywność grup wykorzystujących podatność usuniętą w grudniu 2024 roku do atakowania urządzeń pracujących na starszych wydaniach DSM. To podręcznikowy przykład tzw. N-day exploitation, czyli wykorzystywania luk, dla których poprawki są już publicznie dostępne, ale nie zostały wdrożone przez administratorów.
Tłem dla kampanii jest advisory Synology-SA-24:20, opublikowane pierwotnie w listopadzie 2024 roku i później uzupełniane o dodatkowe informacje techniczne oraz listę wersji naprawczych. Biuletyn opisywał trzy podatności w DSM, w tym jedną o krytycznym znaczeniu, która mogła umożliwić zdalne wykonanie kodu. Obecna fala incydentów pokazuje, że opóźnienia w patch managementcie wciąż pozostają jedną z najczęstszych przyczyn skutecznych ataków ransomware.
Nie jest to zjawisko odosobnione. Urządzenia NAS już wcześniej znajdowały się na celowniku operatorów ransomware i grup prowadzących zautomatyzowane kampanie skanowania internetu. W praktyce każde urządzenie przechowujące duże wolumeny danych i dostępne z sieci publicznej staje się celem o wysokiej wartości.
Analiza techniczna
Najważniejszym elementem tej kampanii jest wykorzystanie podatności opisanych w advisory Synology-SA-24:20. Kluczową rolę odgrywa CVE-2024-10441 z oceną CVSS 9.8. Luka wynika z niewłaściwego kodowania lub escapingu danych wyjściowych w komponencie system plugin daemon i może prowadzić do zdalnego wykonania kodu przez nieuprawnionego atakującego.
Z perspektywy operatora ransomware jest to bardzo cenny wektor wejścia. Umożliwia przejęcie urządzenia bez konieczności wcześniejszego uwierzytelnienia, a następnie uruchomienie złośliwego kodu odpowiedzialnego za rozpoznanie zasobów, przygotowanie środowiska i szyfrowanie danych użytkownika.
W tym samym biuletynie ujęto również CVE-2024-50629, związaną z możliwością odczytu ograniczonego zakresu plików przez komponent webapi, oraz CVE-2024-10445, dotyczącą nieprawidłowej walidacji certyfikatów w mechanizmie aktualizacji, co może umożliwić zapis ograniczonego zakresu plików. Choć nie wszystkie te błędy mają identyczny ciężar, razem pokazują, że starsze wersje DSM mogą oferować kilka potencjalnych ścieżek nadużycia.
Synology wskazało też wersje zawierające poprawki. Za bezpieczne dla linii objętych advisory uznano co najmniej: DSM 7.2.2-72806-1, DSM 7.2.1-69057-6, DSM 7.2-64570-4, DSM 7.1.1-42962-7 oraz DSM 6.2.4-25556-8. Organizacje pozostające na starszych buildach mogły być nadal narażone mimo wcześniejszej publikacji aktualizacji.
W opisywanych incydentach z kampanią łączona jest rodzina C3RB3R. Po uruchomieniu na przejętym NAS-ie malware skanuje pliki i szyfruje dane, jednocześnie pomijając część katalogów i wybrane rozszerzenia systemowe, aby nie doprowadzić do przedwczesnej destabilizacji urządzenia. Zaszyfrowane pliki otrzymują rozszerzenie „.L0CK3D”, a w katalogach pojawia się nota okupowa „read-me3.txt”. Taki model działania jest typowy dla współczesnych operacji ransomware, które łączą skuteczność szyfrowania z utrzymaniem minimalnej sprawności systemu do czasu zakończenia ataku.
Dodatkowo w analizach z 2026 roku wskazywano, że C3RB3R aktywnie wykorzystuje również inne krytyczne podatności DSM, w tym CVE-2026-13684 i CVE-2026-13639. To sugeruje, że operatorzy nie ograniczają się do jednego błędu, lecz elastycznie wybierają dostępne wektory wejścia zależnie od wersji systemu i ekspozycji usługi.
Konsekwencje / ryzyko
Najbardziej bezpośrednią konsekwencją udanego ataku jest utrata dostępności danych. W praktyce może to oznaczać niedostępność udziałów sieciowych, repozytoriów dokumentów, kopii zapasowych, archiwów projektowych oraz usług zależnych od NAS-a. Jeśli urządzenie przechowuje backupy, organizacja może jednocześnie utracić zarówno dane produkcyjne, jak i możliwość ich szybkiego odtworzenia.
Ryzyko biznesowe obejmuje również przestoje operacyjne, koszty przywracania środowiska, utratę integralności danych oraz potencjalne skutki regulacyjne. Jeżeli na urządzeniu znajdowały się dane osobowe lub informacje poufne, incydent może uruchomić dodatkowe obowiązki związane z notyfikacją i oceną wpływu naruszenia.
W sektorze MŚP problem bywa szczególnie dotkliwy, ponieważ Synology NAS często pełni funkcję uproszczonego serwera plików, backupów, monitoringu lub współdzielonych zasobów dla wielu zespołów. Kompromitacja jednego urządzenia może więc zakłócić pracę całego działu, a nawet całej organizacji.
Z perspektywy cyberbezpieczeństwa ważne jest także to, że wykorzystano znaną i wcześniej załataną podatność. To oznacza, że przyczyną skuteczności ataku była nie tylko sama luka, ale również niedostateczne zarządzanie poprawkami, zbyt szeroka ekspozycja usług administracyjnych, brak segmentacji lub niewystarczający monitoring.
Rekomendacje
Priorytetem powinno być natychmiastowe sprawdzenie wersji DSM na wszystkich urządzeniach Synology i aktualizacja do wersji naprawczych lub nowszych. Dotyczy to także urządzeń działających poza centralnym nadzorem IT, na przykład w oddziałach, magazynach czy biurach zdalnych.
- zweryfikować wersję DSM i niezwłocznie wdrożyć poprawki,
- ograniczyć lub całkowicie wyłączyć publiczny dostęp do panelu administracyjnego DSM,
- udostępniać zdalną administrację wyłącznie przez VPN, listy dozwolonych adresów IP oraz silne uwierzytelnianie,
- włączyć monitorowanie logów logowania, zmian konfiguracji i masowych operacji na plikach,
- stosować zasadę 3-2-1 dla kopii zapasowych, w tym co najmniej jedną kopię offline lub niemodyfikowalną,
- regularnie testować procedury odtwarzania danych,
- przy podejrzeniu incydentu natychmiast odizolować urządzenie od sieci i zabezpieczyć artefakty do analizy.
Warto także potraktować urządzenia NAS jak pełnoprawne systemy krytyczne, a nie jedynie magazyny plików. Oznacza to potrzebę objęcia ich procesami patch managementu, inwentaryzacji, segmentacji sieci i reagowania na incydenty na równi z innymi systemami brzegowymi.
Podsumowanie
Ataki na Synology NAS pokazują, że pamięci sieciowe pozostają atrakcyjnym celem dla operatorów ransomware, zwłaszcza wtedy, gdy działają na nieaktualnym oprogramowaniu i są wystawione do internetu. W opisywanej kampanii kluczowe było wykorzystanie wcześniej załatanej luki w DSM, co po raz kolejny potwierdza, że skuteczny patch management pozostaje jednym z najważniejszych filarów cyberobrony.
Dla zespołów bezpieczeństwa najważniejsze działania obejmują szybką aktualizację DSM, ograniczenie powierzchni ataku, dodatkowe zabezpieczenie dostępu administracyjnego oraz utrzymywanie odpornych kopii zapasowych. W praktyce to właśnie konsekwencja operacyjna i podstawowa higiena bezpieczeństwa najczęściej decydują o tym, czy organizacja obroni się przed kampanią ransomware.
Źródła
- The Hacker News — https://thehackernews.com/2026/11/synology-nas-devices-targeted-in.html
- Synology urges users to update DSM following ransomware attacks on outdated DSM versions — https://www.synology.com/en-global/company/news/article/C3RB3R/Synology%20urges%20users%20to%20update%20DSM%20following%20ransomware%20attacks%20on%20outdated%20DSM%20versions
- Synology-SA-24:20 DSM (PWN2OWN 2024) — https://www.synology.com/zh-tw/security/advisory/Synology_SA_24_20
- Synology-SA-26:13 DSM — https://www.synology.com/en-global/security/advisory/Synology_SA_26_13