Synology warnt: C3RB3R-Ransomware trifft veraltete NAS-Geräte

Angreifer verschlüsseln Daten auf Netzwerkspeichern von Synology und fordern Lösegeld. Der Hersteller fordert seine Kunden deshalb auf, sofort zu aktualisieren. BleepingComputer berichtete am 2. November, dass Synology Angreifer entdeckt hatte, die eine im Dezember 2024 geschlossene Schwachstelle ausnutzen, um veraltete Installationen von DiskStation Manager (DSM) anzugreifen.

Die Warnung betrifft NAS-Besitzer mit verwundbaren DSM-Versionen. Shadowserver zählt mehr als 380.000 über das Internet erreichbare Synology-NAS-Geräte. Diese Zahl unterscheidet jedoch weder gepatchte Systeme noch Honeypots, und sie ist weder eine Zahl verwundbarer Geräte noch eine Zahl betroffener Opfer.

Eine ältere Schwachstelle, dann Verschlüsselung

Die Warnung von Synology, die in der Woche zuvor veröffentlicht wurde, folgte auf eine Welle von Kundenmeldungen. Diese beschrieben verschlüsselte Dateien und Lösegeldforderungen in Höhe von mehreren Tausend Dollar, die über ein Darknet-Portal gestellt wurden. Die ersten Meldungen tauchten mehr als zwei Wochen vor dem Artikel von BleepingComputer auf.

Synology erklärte, die Angriffe nutzten eine bereits gepatchte Schwachstelle aus, nannte aber die konkrete verwendete Lücke nicht. Die Warnung verlinkt auf eine Mitteilung vom November 2024. Diese betrifft Schwachstellen, die auf ungepatchten Geräten die Ausführung beliebigen Codes (CVE-2024-10441), das Lesen von Dateien (CVE-2024-50629) und das Schreiben von Dateien (CVE-2024-10445) ermöglichen. Der Bericht legt nicht fest, welche dieser Schwachstellen bei den aktuellen Angriffen den Zugang ermöglicht.

Betroffene Nutzer berichteten, dass die Ransomware die Erweiterung .L0CK3D an verschlüsselte Dateien anhängt und eine Lösegeldnotiz mit dem Namen read-me3.txt hinterlässt. Diese Dateinamen sind konkrete Anhaltspunkte für Administratoren, die einen möglichen Befall untersuchen.

Die Notiz fordert die Opfer auf, über ein Darknet-Portal ein Werkzeug namens „C3rb3r Decryptor“ zu kaufen. Außerdem bietet sie an, eine Datei zu Demonstrationszwecken kostenlos zu entschlüsseln, und behauptet, Wiederherstellungsversuche mit Fremdsoftware würden die Dateien beschädigen. Diese Behauptungen stammen von den Angreifern.

Frühere Ziele von C3RB3R

Die Ransomware, auch Cerber und CerberImposter genannt, wurde erstmals im Dezember 2021 entdeckt. Sie wurde zuvor in Angriffswellen gegen Atlassian-Confluence- und GitLab-Server eingesetzt. Dabei nutzte sie die Remote-Code-Execution-Schwachstellen CVE-2021-26084 und CVE-2021-22205 sowie die Authentifizierungsumgehung CVE-2023-22518 aus.

C3RB3R übernahm seinen Namen vom älteren Ransomware-as-a-Service-Betrieb Cerber. Dieser entstand 2016 und verschwand Ende 2019. BleepingComputer beschrieb diesen früheren Betrieb so, dass er für mehr als 80 Prozent aller Ransomware-Angriffe und für ein Viertel der Ransomware-Infektionen auf Unternehmensendgeräten verantwortlich gewesen sei.

Synology gibt nur selten Warnungen über Angriffe auf seine Kunden heraus. Die vorherige derartige Warnung stammte aus dem August 2019. Sie betraf groß angelegte Brute-Force-Angriffe, die zu Infektionen mit der Ransomware eCh0raix führten.

Updates und Einschränkungen des Internetzugangs

Synology fordert Nutzer mit verwundbaren Versionen auf, DSM sofort zu aktualisieren und automatische Updates zu aktivieren. BleepingComputer rät Besitzern außerdem, den Internetzugang zur Verwaltungsoberfläche zu blockieren.

Der Bericht nennt die folgenden behobenen Versionen für die jeweiligen DSM-Zweige:

Die verlinkte Warnung stuft die Probleme für die aufgeführten DSM-7.x-Zweige als kritisch und für DSM 6.2 als mittel ein. Besitzer sollten, wie von Synology empfohlen, die neueste für ihre Geräte verfügbare DSM-Version installieren und automatische Updates aktivieren.