Synology ostrzega przed ransomware C3RB3R atakującym nieaktualne urządzenia NAS

Wprowadzenie do problemu / definicja

Synology wydało ostrzeżenie dotyczące aktywnych ataków ransomware C3RB3R wymierzonych w urządzenia NAS działające pod kontrolą nieaktualnych wersji DiskStation Manager. Problem dotyczy przede wszystkim systemów wystawionych do internetu, które nie zostały zaktualizowane po publikacji poprawek bezpieczeństwa. Dla firm i instytucji korzystających z NAS jako repozytorium danych, kopii zapasowych lub zasobów współdzielonych oznacza to realne ryzyko przestoju operacyjnego i utraty dostępu do kluczowych plików.

W skrócie

Według ostrzeżenia producenta napastnicy wykorzystują lukę załataną jeszcze w grudniu 2024 roku do kompromitacji przestarzałych instalacji DSM. Celem kampanii jest szyfrowanie danych i wymuszenie okupu za narzędzie deszyfrujące. Synology zaleca natychmiastową aktualizację systemu, włączenie automatycznych aktualizacji oraz całkowite zablokowanie publicznego dostępu do panelu administracyjnego.

Ataki dotyczą głównie publicznie dostępnych urządzeń Synology NAS.
Wykorzystywane są podatności z biuletynu Synology-SA-24:20.
Największe zagrożenie dotyczy niezałatanych i wystawionych do internetu instancji DSM.

Kontekst / historia

Komunikat pojawił się po serii zgłoszeń od użytkowników, którzy informowali o zaszyfrowaniu plików oraz pozostawieniu żądań okupu. W opisywanych przypadkach zaszyfrowane dane otrzymywały dodatkowe rozszerzenie, a na urządzeniach pozostawiano notę z instrukcją kontaktu i zapłaty.

Nazwa C3RB3R może budzić skojarzenia z wcześniejszymi rodzinami ransomware, jednak obecna kampania powinna być oceniana jako współczesna operacja wykorzystująca dobrze znany schemat działania. Przestępcy nadal koncentrują się na szybko uzbrajanych, publicznie znanych podatnościach w usługach dostępnych z internetu, zwłaszcza tam, gdzie administratorzy opóźniają wdrażanie poprawek.

Analiza techniczna

Najważniejszym elementem incydentu jest połączenie dwóch czynników: nieaktualnego oprogramowania oraz ekspozycji interfejsów administracyjnych urządzenia NAS. Synology wskazało, że zagrożenie dotyczy podatności opisanych w biuletynie Synology-SA-24:20.

CVE-2024-10441 – krytyczna podatność umożliwiająca zdalne wykonanie kodu.
CVE-2024-50629 – błąd pozwalający na odczyt wybranych plików.
CVE-2024-10445 – problem związany z niewłaściwą walidacją certyfikatów, umożliwiający zapis określonych plików.

Z perspektywy obrońcy najbardziej groźny jest scenariusz wykorzystania luki RCE przeciwko niezałatanym instancjom DSM. Po uzyskaniu wykonania kodu napastnik może rozpoznać wolumeny danych, przygotować środowisko pod atak, zatrzymać wybrane usługi, naruszyć mechanizmy odzyskiwania i przejść do szyfrowania plików. Jeśli urządzenie pełni jednocześnie funkcję magazynu danych i celu backupu, skutki incydentu mogą być znacznie poważniejsze niż w przypadku pojedynczego serwera plików.

Synology wskazało także minimalne wersje naprawcze dla zagrożonych linii DSM. Za bezpieczne uznano co najmniej: DSM 7.2.2-72806-1, DSM 7.2.1-69057-6, DSM 7.2-64570-4, DSM 7.1.1-42962-7 oraz DSM 6.2.4-25556-8. Sam fakt, że producent zaleca odcięcie panelu zarządzania od internetu, sugeruje praktyczny model ataku oparty na skanowaniu i bezpośredniej eksploatacji systemów brzegowych.

Konsekwencje / ryzyko

Dla organizacji podstawowym zagrożeniem jest utrata dostępności danych, zakłócenie ciągłości działania oraz przestój procesów biznesowych. Jeśli zaszyfrowane zostaną zasoby współdzielone lub repozytoria kopii zapasowych, konsekwencje mogą objąć wiele działów jednocześnie.

Nie można też wykluczać ryzyka naruszenia poufności. Każda kompromitacja urządzenia przechowującego dokumenty, archiwa, backupy lub dane operacyjne powinna być traktowana jako potencjalny incydent obejmujący także nieuprawniony dostęp do informacji przed etapem szyfrowania. To z kolei może pociągać za sobą skutki regulacyjne, kontraktowe i reputacyjne.

Szczególnie narażone pozostają małe i średnie organizacje, które używają NAS jako centralnego punktu przechowywania danych, ale nie prowadzą regularnego cyklu aktualizacji i nie testują procedur odtworzeniowych. W takim modelu ransomware może jednocześnie zablokować dostęp do danych i osłabić zdolność do ich przywrócenia.

Rekomendacje

Organizacje korzystające z urządzeń Synology powinny potraktować ostrzeżenie jako sygnał do pilnych działań zabezpieczających.

Niezwłocznie zaktualizować DSM do wersji naprawczych wskazanych przez producenta.
Włączyć automatyczne aktualizacje tam, gdzie pozwala na to polityka zarządzania zmianą.
Całkowicie wyłączyć publiczny dostęp do panelu administracyjnego DSM.
Ograniczyć zarządzanie urządzeniami wyłącznie do sieci wewnętrznej, VPN lub wydzielonej strefy administracyjnej.
Przeprowadzić przegląd logów pod kątem nietypowych logowań, uruchomień procesów i zmian w plikach systemowych.
Zweryfikować integralność kopii zapasowych oraz możliwość ich odtworzenia offline.
Wdrożyć segmentację sieci dla urządzeń NAS i oddzielić je od stacji roboczych użytkowników.
Rozważyć wieloskładnikowe uwierzytelnianie dla kont administracyjnych.
Usunąć lub zablokować nieużywane usługi publikowane do internetu.
Przygotować playbook reagowania obejmujący izolację urządzenia, zabezpieczenie dowodów i analizę zakresu naruszenia.

W przypadku podejrzenia kompromitacji zalecane jest natychmiastowe odłączenie urządzenia od sieci, zabezpieczenie logów i artefaktów do analizy śledczej oraz unikanie pochopnych działań, które mogłyby utrudnić dochodzenie. Równolegle należy ustalić, czy naruszenie objęło również konta uprzywilejowane, sąsiednie systemy lub repozytoria backupowe.

Podsumowanie

Ataki C3RB3R na urządzenia Synology NAS po raz kolejny pokazują, że niezałatane systemy brzegowe pozostają łatwym celem dla operatorów ransomware. Kluczowym czynnikiem ryzyka jest utrzymywanie przestarzałych wersji DSM mimo dostępnych poprawek bezpieczeństwa. Skuteczna obrona w tym przypadku opiera się na szybkich aktualizacjach, redukcji powierzchni ataku, ograniczeniu ekspozycji usług administracyjnych oraz regularnie testowanych kopiach zapasowych.