Synology alerta que el ransomware C3RB3R ya cifra discos en red sin actualizar

El secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.) C3RB3R está cifrando los archivos de equipos NASEquipo de almacenamiento conectado a la red (Network Attached Storage) que guarda archivos y los comparte entre varias computadoras de una casa u oficina. de Synology, los discos en red que usan empresas y hogares para guardar y compartir archivos, y los ataques van en aumento. Synology confirmó que los atacantes explotan una falla que la empresa corrigió en diciembre de 2024, en equipos con versiones desactualizadas de su sistema DSM. Lo dijo en un aviso del 29 de octubre. Lo nuevo de este lunes 2 de noviembre es la escala: BleepingComputer informó a las 11:28 UTC (8:28 en Buenos Aires y São Paulo, 6:28 en Bogotá y Lima, 5:28 en Ciudad de México) de una ola masiva de víctimas, y el CERT de Hong Kong (HKCERT) emitió una alerta propia el mismo día.

Qué es la falla

En simple, un equipo sin actualizar deja una puerta abierta, el atacante entra, cifra los archivos y pide un pago para devolverlos. Los archivos quedan con la extensión .L0CK3D y aparece una nota, read-me3.txt, que exige comprar un "C3rb3r Decryptor" en un portal de la web oscuraParte de internet a la que solo se llega con programas especiales, como Tor, y que oculta la identidad de sitios y usuarios. Allí operan foros y mercados de ciberdelito. por miles de dólares. "La única forma de descifrar sus archivos de forma segura es comprar el programa especial de descifrado", dice la nota, según BleepingComputer.

Synology no dijo qué vulnerabilidad se explota. Su aviso remite a Synology-SA-24:20, un boletín de noviembre de 2024 con tres fallas, y la de mayor riesgo, CVE-2024-10441, permite ejecutar código a distanciaVulnerabilidad o ataque, conocido por la sigla en inglés RCE, que permite a alguien ejecutar sus propias instrucciones en un equipo o servidor ajeno a distancia, por lo general a través de internet. sin usuario ni contraseña, con puntaje de 9,8 sobre 10. Las otras dos permiten leer y escribir archivos limitados. Las fechas encajan con lo que dice la empresa. El boletín salió el 5 de noviembre de 2024 y la última corrección, la de DSM 6.2, se sumó el 5 de diciembre de 2024.

A quién afecta

• Equipos NAS de Synology con DSM 7.2.2, 7.2.1, 7.2, 7.1 o 6.2 sin las actualizaciones del boletín.
• Según HKCERT, sobre todo equipos con versiones de DSM que ya no tienen soporte del fabricante.
• No están afectados los equipos que ya instalaron las versiones corregidas de la ficha técnica.

Estado de explotación

Explotada, según Synology, que confirmó ataques activos. Los primeros reportes de usuarios aparecieron en Reddit y en el foro de BleepingComputer más de dos semanas antes del aviso. Ninguna empresa de seguridad independiente publicó todavía un análisis propio. La fundación Shadowserver cuenta más de 380.000 equipos Synology expuestos a internet en el mundo, aunque esa cifra no dice cuántos están parcheados.

Antecedentes

Synology emite pocas alertas de ataques contra sus clientes. La anterior fue en agosto de 2019, por el ransomware eCh0raix. HKCERT menciona además las actualizaciones de Synology para PHP2Shell, fallas críticas del lenguaje PHP que alcanzan a paquetes de DSM que dependen de él, pero Synology no confirmó que tengan relación con estos ataques.

Qué hacer

• Actualizar DSM ya a la última versión que admita el equipo y activar las actualizaciones automáticas, como pide Synology.
• Si el equipo corre una versión sin soporte, planificar el paso a una versión soportada o reemplazarlo.
• Sacar de internet la interfaz de administración, cerrar la redirección de puertosConfiguración del router que deja pasar conexiones desde internet hacia un equipo de la red interna. Si queda abierta sin necesidad, expone ese equipo a ataques. que no se use y limitar el acceso remoto.
• Actualizar PHP y los paquetes que dependen de él desde el Centro de paquetes.
• Mantener copias de seguridad desconectadas o inmutables y probar que se pueden restaurar.
• Si el equipo ya fue cifrado, desconectarlo, pausar las sincronizaciones, guardar la nota y los registros sin formatear y pedir ayuda profesional. Actualizar no descifra lo perdido y pagar no garantiza nada, advierte HKCERT.

Ficha técnica

• Falla explotada: no identificada por Synology. El aviso remite a Synology-SA-24:20.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla. del boletín: CVE-2024-10441 (CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. 3.1 9,8, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, ejecución de código), CVE-2024-50629 (5,3, lectura de archivos) y CVE-2024-10445 (4,3, escritura de archivos).
• Versiones corregidas: DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 y 6.2.4-25556-8 o superiores.
• Indicadores: extensión .L0CK3D y nota read-me3.txt.
• Avisos: Synology, 29 de octubre de 2026 y HKCERT, 2 de noviembre de 2026.
• Alta en el catálogo KEV de CISA: ninguna de las tres fallas figura en la versión del 30 de octubre de 2026.