Gli attaccanti stanno cifrando i dati sui dispositivi di storage collegato in rete (NAS) Synology e chiedono un riscatto, spingendo il produttore a esortare i clienti ad aggiornare subito. BleepingComputer ha riportato il 2 novembre che Synology aveva individuato aggressori che sfruttavano una vulnerabilità corretta nel dicembre 2024 per colpire installazioni obsolete di DiskStation Manager (DSM).
L'avviso riguarda i proprietari di NAS che utilizzano versioni vulnerabili di DSM. Shadowserver traccia più di 380.000 dispositivi NAS Synology esposti su Internet, anche se tale cifra non distingue i sistemi con patch applicata o gli honeypot e non è un conteggio dei dispositivi vulnerabili o delle vittime.
Una vulnerabilità precedente, seguita dalla cifratura
L'avviso di Synology, pubblicato la settimana precedente, seguiva un'ondata di segnalazioni dei clienti che descrivevano file cifrati e richieste di migliaia di dollari tramite un portale del dark web. Le prime segnalazioni erano emerse più di due settimane prima dell'articolo di BleepingComputer.
Synology ha dichiarato che gli attacchi sfruttano una vulnerabilità già corretta, ma non aveva individuato la falla specifica utilizzata. Il suo avviso rimandava a un bollettino di novembre 2024 che riguarda vulnerabilità che consentono l'esecuzione arbitraria di codice (CVE-2024-10441), la lettura di file (CVE-2024-50629) e la scrittura di file (CVE-2024-10445) sui dispositivi senza patch. Il report non stabilisce quale di queste vulnerabilità consenta l'accesso negli attacchi in corso.
Gli utenti colpiti hanno riferito che il ransomware aggiunge l'estensione .L0CK3D ai file cifrati e lascia una nota di riscatto chiamata read-me3.txt. Questi nomi di file offrono indicazioni concrete agli amministratori che indagano su presunte infezioni.
La nota invita le vittime ad acquistare uno strumento chiamato «C3rb3r Decryptor» tramite un portale del dark web. Offre inoltre di decifrare gratuitamente un file come dimostrazione e sostiene che i tentativi di recuperare i file con software di terze parti li danneggeranno. Queste affermazioni provengono dagli attaccanti.
I precedenti bersagli di C3RB3R
Il ransomware, noto anche come Cerber e CerberImposter, è stato individuato per la prima volta nel dicembre 2021. In precedenza è stato impiegato contro server Atlassian Confluence e GitLab, in ondate di attacchi che sfruttavano le vulnerabilità di esecuzione remota di codice CVE-2021-26084 e CVE-2021-22205 e la vulnerabilità di bypass dell'autenticazione CVE-2023-22518.
C3RB3R ha preso il nome dalla precedente operazione Cerber di ransomware-as-a-service, comparsa nel 2016 e scomparsa alla fine del 2019. BleepingComputer ha descritto quell'operazione come responsabile di oltre l'80% degli attacchi ransomware e di un quarto delle infezioni da ransomware sugli endpoint aziendali.
Synology emette raramente avvisi su attacchi contro i propri clienti. Il precedente avviso del genere, nell'agosto 2019, riguardava attacchi di forza bruta su larga scala che hanno portato a infezioni da ransomware eCh0raix.
Aggiornamenti e restrizioni all'accesso a Internet
Synology invita gli utenti che utilizzano versioni vulnerabili ad aggiornare subito DSM e ad attivare gli aggiornamenti automatici. BleepingComputer consiglia inoltre ai proprietari di bloccare l'accesso a Internet all'interfaccia web di gestione.
Il report elenca le versioni corrette per i rispettivi rami di DSM:
| Ramo di rilascio DSM | Versione corretta |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 o successiva |
| DSM 7.2.1 | 7.2.1-69057-6 o successiva |
| DSM 7.2 | 7.2-64570-4 o successiva |
| DSM 7.1 | 7.1.1-42962-7 o successiva |
| DSM 6.2 | 6.2.4-25556-8 o successiva |
Il bollettino collegato classifica le problematiche come critiche per i rami DSM 7.x elencati e come moderate per DSM 6.2. I proprietari dovrebbero installare l'ultima versione di DSM disponibile per i propri dispositivi e attivare gli aggiornamenti automatici, come raccomanda Synology.
