Отключённый admin и блокировка по IP не спасают. С конца октября владельцы сетевых хранилищ Synology NAS сообщают о шифровании файлов сборкой C3RB3R - вариантом давно известного Cerber. Программа меняет расширение файлов на .L0CK3D и оставляет в каждой папке записку read-me3.txt с требованием денег. Есть сообщения и с устройств на актуальной DSM 7.4.1.
Описание
После этого выяснилось, что единого входа в систему у атаки нет. В ноябре 2024 года Synology закрыла уязвимости, найденные на Pwn2Own 2024, советом SA-24:20, а 18 сентября 2026 года выпустила совет SA-26:13 с восемью уязвимостями. По данным Qihoo 360, C3RB3R проходил через пару из сентябрьского списка; сама Synology в заявлении от 29 октября указала на старые уязвимости из SA-24:20. Обе версии расходятся, а случаи на DSM 7.4.1 не объясняет ни одна из них.
Что известно по датам:
- 5 ноября 2024 - Synology публикует совет SA-24:20 по уязвимостям Pwn2Own 2024.
- 18 сентября 2026 - выходит совет SA-26:13 с восемью уязвимостями.
- 28-29 октября 2026 - массовые сообщения о файлах с расширением .L0CK3D.
- 29 октября 2026 - публикуется предупреждение о C3RB3R.
- 29 октября 2026 - Synology рекомендует обновиться.
Из этой хронологии видно, что между патчем и волной шифрования прошло около шести недель. Обе уязвимости из SA-26:13 получили 9,8 по CVSS v3.1. Первая, CVE-2026-13639, относится к логике входа. Вторая, CVE-2026-13684, - к компоненту SCGI, через который веб-сервер DSM общается со службами. Аутентификация для эксплуатации не нужна: хватает панели управления DSM (DiskStation Manager), открытой в интернет. В результате посторонний читает и записывает произвольные файлы и вызывает отказ в обслуживании.
Дальше в дело вступает сама C3RB3R - исполняемый файл для Linux. Шифрование гибридное: ChaCha8 закрывает файлы, RSA-2048 защищает ключи. Без приватного ключа создателей данные не восстановить, бесплатного расшифровщика нет. Исследователи из ESRC проверили схему и обходного пути не нашли. Поэтому отключение admin, блокировка по странам и автоматическая блокировка после неудачных входов почти бесполезны - это защита от атаки полным перебором (брутфорса), а вход здесь не нужен.
Однако исправление есть, и оно закрывает сразу обе ветки. Под SA-26:13 попадают DSM 7.2.1, 7.2.2, 7.3 и 7.4 без обновлений, под SA-24:20 - ветки постарше, BeeStation OS и DSM 6.2. Безопасными Synology называет сборки 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 и 7.2.1-69057-12 и новее. Для веток без поддержки остаётся переход на актуальную версию. Обновление кумулятивное, поэтому вместе с сентябрьским советом приходят и прошлогодние исправления.
Обновление не отменяет изоляцию панели от интернета: порты 5000 и 5001 убирают из переадресации, а удалённый доступ оставляют только через VPN. Отдельное внимание - автопробросу через UPnP, QuickConnect и пакетам PHP, Synology Calendar, Mail Station. Текущую сборку видно в Центре информации DSM. С этой деталью связано и второе требование - осмотреть сам NAS:
- Файлы - расширение .L0CK3D в общих папках.
- Записка - read-me3.txt в каждой папке, ведёт на сайт в сети Tor.
- Журнал - входы с незнакомых адресов, массовые изменения и удаления.
- Учётные записи - новые пользователи и добавленные в группу администраторов.
- Задания - посторонние скрипты в планировщике задач.
- Снимки - удаление снимков в Snapshot Replication.
Две последние строки важнее остальных: чужое задание в планировщике и стёртые снимки означают, что доступ сохранился. Поэтому вендор настаивает на неизменяемых снимках с заданным сроком хранения и на копии, физически отключённой от NAS. Ни то, ни другое не заменяет патч. Для устройств, которые больше не получают обновлений, остаётся убрать панель управления из интернета совсем.
Индикаторы компрометации
