Synology roept klanten op om DSM, het besturingssysteem van zijn NAS-apparaten, onmiddellijk te updaten vanwege een forse toename van C3rb3r-ransomware-aanvallen. Volgens de Taiwanese fabrikant misbruiken aanvallers een kwetsbaarheid die eind 2024 al werd gepatcht, specifiek op apparaten die nog op een verouderde DSM-versie draaien. Het doel van de aanvallers is bestanden te versleutelen en vervolgens losgeld te eisen.
Synology heeft niet bevestigd om welke specifieke kwetsbaarheid het precies gaat, maar verwijst naar zijn advisory SA-24-20 uit november 2024. Die beschrijft drie kwetsbaarheden: CVE-2024-10441 (het uitvoeren van willekeurige code), CVE-2024-50629 (ongeautoriseerd bestanden lezen) en CVE-2024-10445 (ongeautoriseerd bestanden schrijven). Het is niet duidelijk hoe aanvallers precies toegang krijgen tot de getroffen apparaten; Synology’s enige advies op dat punt is om het beheerpaneel niet rechtstreeks vanaf internet bereikbaar te maken.
Getroffen zijn apparaten met de volgende DSM-versies, die moeten worden bijgewerkt naar:
- DSM 7.2.2 (kritiek) → 7.2.2-72806-1 of hoger
- DSM 7.2.1 (kritiek) → 7.2.1-69057-6 of hoger
- DSM 7.2 (kritiek) → 7.2-64570-4 of hoger
- DSM 7.1 (kritiek) → 7.1.1-42962-7 of hoger
- DSM 6.2 (matig) → 6.2.4-25556-8 of hoger
De eerste meldingen van slachtoffers kwamen al meer dan twee weken voor de advisory binnen, voordat Synology de waarschuwing vorige week donderdag naar buiten bracht. Een hard aantal getroffen apparaten noemt het bedrijf niet, maar spreekt van een forse golf aan klantmeldingen. Beveiligingsdienst Shadowserver telt wereldwijd meer dan 380.000 Synology NAS-apparaten die vanaf internet bereikbaar zijn, zonder te weten hoeveel daarvan al gepatcht zijn. Synology waarschuwde klanten voor het laatst op deze schaal in augustus 2019, destijds voor brute-force-aanvallen die tot eCh0raix-infecties leidden.
Versleutelde bestanden krijgen bij deze aanvallen de extensie “.L0CK3D” en slachtoffers vinden een losgeldbrief met de naam “read-me3.txt”, die betaling eist voor een decryptietool die de aanvallers op een dark-web-portaal voor duizenden dollars verkopen. De brief waarschuwt bovendien dat het gebruik van herstelsoftware van derden bestanden alsnog onherstelbaar zou beschadigen. De naam C3rb3r is een verwijzing naar de Cerber-ransomware, die vanaf 2016 verantwoordelijk was voor een groot deel van alle ransomware-aanvallen voordat de groep eind 2019 stopte. C3RB3R zelf werd voor het eerst gesignaleerd in december 2021, toen de groep via kwetsbaarheden in Atlassian Confluence en GitLab-servers slachtoffers maakte.
Voor Nederlandse mkb’ers en thuisgebruikers met een Synology-NAS is dit advies direct relevant: een NAS wordt vaak als enige back-uplocatie gebruikt, en juist die rol maakt een ransomware-besmetting extra schadelijk. Werk DSM nu bij naar de hierboven genoemde versies, schakel automatische updates in zodat toekomstige patches niet worden gemist, en zorg dat het DSM-beheerpaneel nooit rechtstreeks vanaf het internet bereikbaar is; gebruik in plaats daarvan VPN of Synology’s eigen QuickConnect. Bewaar daarnaast minstens één back-up los van de NAS, bijvoorbeeld offline of bij een andere aanbieder, volgens de 3-2-1-regel. Zo blijft er een kopie over als het apparaat ondanks alle voorzorgen toch wordt versleuteld.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Heeft u thuis of op kantoor een Synology-NAS? Zet DSM nu op de nieuwste versie, schakel automatische updates in en zorg dat het beheerpaneel nooit rechtstreeks vanaf internet bereikbaar is.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.