Los atacantes están cifrando datos en dispositivos de almacenamiento conectados a red (NAS) de Synology y exigiendo un rescate, lo que ha llevado al fabricante a instar a sus clientes a actualizar de inmediato. BleepingComputer informó el 2 de noviembre de que Synology había identificado a atacantes que explotaban una vulnerabilidad parcheada en diciembre de 2024 para atacar instalaciones desactualizadas de DiskStation Manager (DSM).
El aviso afecta a los propietarios de NAS que ejecutan versiones vulnerables de DSM. Shadowserver registra más de 380.000 dispositivos NAS de Synology expuestos a Internet, aunque esa cifra no distingue entre sistemas parcheados y honeypots, y no es un recuento de dispositivos vulnerables ni de víctimas.
Una vulnerabilidad anterior, seguida del cifrado
El aviso de Synology, publicado la semana anterior, llegó después de una oleada de reportes de clientes que describían archivos cifrados y exigencias de miles de dólares a través de un portal de la dark web. Los primeros reportes salieron a la luz más de dos semanas antes del artículo de BleepingComputer.
Synology afirmó que los ataques explotan una vulnerabilidad ya parcheada, pero no había identificado el fallo concreto que se utiliza. Su aviso enlazaba a una publicación de noviembre de 2024 que recoge vulnerabilidades que permiten la ejecución arbitraria de código (CVE-2024-10441), la lectura de archivos (CVE-2024-50629) y la escritura de archivos (CVE-2024-10445) en dispositivos sin parchear. El informe no establece cuál de esas vulnerabilidades da acceso en los ataques actuales.
Los usuarios afectados informaron de que el ransomware añade la extensión .L0CK3D a los archivos cifrados y deja una nota de rescate llamada read-me3.txt. Esos nombres de archivo ofrecen indicios concretos a los administradores que investigan posibles infecciones.
La nota indica a las víctimas que compren una herramienta llamada «C3rb3r Decryptor» a través de un portal de la dark web. También ofrece descifrar un archivo gratis como demostración y afirma que los intentos de recuperar archivos con software de terceros los dañarán. Estas afirmaciones proceden de los propios atacantes.
Los objetivos anteriores de C3RB3R
Este ransomware, también conocido como Cerber y CerberImposter, se detectó por primera vez en diciembre de 2021. Anteriormente se había desplegado contra servidores de Atlassian Confluence y GitLab en oleadas de ataques que explotaban las vulnerabilidades de ejecución remota de código CVE-2021-26084 y CVE-2021-22205, así como la vulnerabilidad de omisión de autenticación CVE-2023-22518.
C3RB3R tomó su nombre de la antigua operación de ransomware como servicio Cerber, que surgió en 2016 y desapareció a finales de 2019. BleepingComputer describió aquella operación anterior como responsable de más del 80 % de los ataques de ransomware y de una cuarta parte de las infecciones de ransomware en endpoints empresariales.
Synology rara vez emite alertas sobre ataques contra sus clientes. Su alerta anterior de este tipo, en agosto de 2019, se refería a ataques de fuerza bruta a gran escala que provocaron infecciones por el ransomware eCh0raix.
Actualizaciones y restricciones de acceso a Internet
Synology insta a los usuarios con versiones vulnerables a actualizar DSM de inmediato y a activar las actualizaciones automáticas. BleepingComputer también aconseja a los propietarios bloquear el acceso a Internet a la interfaz web de administración.
El informe enumera las siguientes versiones corregidas para cada rama de DSM:
| Rama de DSM | Versión corregida |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 o posterior |
| DSM 7.2.1 | 7.2.1-69057-6 o posterior |
| DSM 7.2 | 7.2-64570-4 o posterior |
| DSM 7.1 | 7.1.1-42962-7 o posterior |
| DSM 6.2 | 6.2.4-25556-8 o posterior |
El aviso enlazado califica los problemas como críticos para las ramas DSM 7.x enumeradas y como moderados para DSM 6.2. Los propietarios deben instalar la versión más reciente de DSM disponible para sus dispositivos y activar las actualizaciones automáticas, como recomienda Synology.
