Synology hat Kunden gewarnt, dass Bedrohungsakteure NAS-Geräte angreifen, auf denen veraltete Versionen der Software DiskStation Manager (DSM) laufen, und dabei C3RB3R-Ransomware einsetzen. Das Unternehmen fordert Nutzer dringend auf, ihre Systeme sofort zu aktualisieren und automatische Updates zu aktivieren.
Laut Synology nutzen die Angreifer eine im Dezember 2024 behobene Schwachstelle aus. Die Angriffe zielen darauf ab, gespeicherte Daten zu verschlüsseln und von den betroffenen Nutzern ein Lösegeld zu verlangen.
Das Unternehmen empfiehlt Nutzern, den Zugriff auf die Weboberfläche zur NAS-Verwaltung aus dem Internet zu blockieren und die neueste verfügbare DSM-Version zu installieren. Empfohlen werden DSM 7.2.2-72806-1 oder höher, DSM 7.2.1-69057-6 oder höher, DSM 7.2-64570-4 oder höher, DSM 7.1.1-42962-7 oder höher sowie DSM 6.2.4-25556-8 oder höher. Die ersten vier Zweige werden als kritisch eingestuft, während DSM 6.2 als mittelschwer eingestuft wird.
Synology hat bislang keine weiteren Informationen zu den Schwachstellen bereitgestellt, die auf ungepatchten Geräten die Ausführung beliebigen Codes (CVE-2024-10441), das Lesen von Dateien (CVE-2024-50629) und das Schreiben von Dateien (CVE-2024-10445) ermöglichen.
Die Warnung folgt auf Berichte von Synology-Kunden, deren Dateien verschlüsselt und mit der Erweiterung .L0CK3D umbenannt wurden. Berichten zufolge hinterlässt die Ransomware eine Lösegeldforderung namens read-me3.txt, die Opfer auf ein Dark-Web-Portal verweist, um dort ein Tool namens „C3rb3r Decryptor“ für mehrere tausend Dollar zu erwerben.
C3RB3R, auch bekannt als Cerber oder CerberImposter, wurde bereits bei Angriffen auf Atlassian-Confluence- und GitLab-Server eingesetzt. Shadowserver beobachtet derzeit mehr als 380.000 aus dem Internet erreichbare Synology-NAS-Geräte, hat jedoch nicht bekannt gegeben, wie viele davon gegen diese Kampagne geschützt sind oder Honeypots darstellen.
Quellen: BleepingComputer.