Producătorul taiwanez de dispozitive de stocare în rețea (NAS) Synology a emis un avertisment urgent de actualizare a software-ul DiskStation Manager (DSM), în contextul unui val de atacuri cu ransomware-ul C3RB3R.
„Synology a identificat atacatori care exploatează o vulnerabilitate remediată în decembrie 2024 pentru a viza dispozitivele care rulează versiuni învechite de DSM. Aceste atacuri urmăresc criptarea datelor și extorcarea unei răscumpărări”, a precizat compania într-un aviz de securitate.
Synology recomandă, de asemenea, activarea actualizărilor automate pentru a menține DSM la zi în permanență.
Deși compania nu a precizat explicit care anume vulnerabilitate este exploatată activ, avizul trimite la un buletin de securitate din noiembrie 2024 care descrie corecții pentru trei deficiențe critice:
- execuție de cod arbitrar (CVE-2024-10441)
- citirea fișierelor (CVE-2024-50629)
- scrierea fișierelor (CVE-2024-10445)
Primele raportări ale atacurilor au apărut cu mai mult de două săptămâni înaintea avizului oficial, utilizatorii afectați descriind cum ransomware-ul a adăugat extensia .L0CK3D fișierelor criptate și a lăsat un fișier de tip notă de răscumpărare (read-me3.txt).
Atacatorul recomandă victimelor să cumpere instrumentul „C3rb3r Decryptor” de pe un portal darkweb, contra unor sume de mii de dolari.
„Singura modalitate de a vă decripta fișierele în siguranță este să achiziționați software-ul special de decriptare ‘C3rb3r Decryptor’”, atacatorul spune în nota de răscumpărare.
C3RB3R – cunoscut și ca Cerber sau CerberImposter – și-a împrumutat numele de la o operațiune de tip Ransomware-as-a-Service cu același nume, apărută în 2016, care, înainte de a dispărea la sfârșitul lui 2019, răspundea de peste 80% din totalul atacurilor ransomware și de un sfert din infecțiile de tip ransomware înregistrate pe endpoint-urile enterprise.
Începând din decembrie 2021, C3RB3R a fost folosit și în atacuri ce vizau servere Atlassian Confluence și GitLab, exploatând vulnerabilități de execuție de cod de la distanță și de ocolire a autentificării.
Organizația de monitorizare a amenințărilor Shadowserver urmărește în prezent peste 380.000 de dispozitive Synology NAS expuse pe internet, fără a preciza câte dintre acestea au fost deja securizate sau sunt honeypot-uri.
Utilizatorilor li se recomandă să blocheze accesul la interfața de administrare web din internet și să aplice actualizările disponibile; mai multe versiuni DSM sunt afectate cu severitate critică, inclusiv ramurile 7.2.2, 7.2.1, 7.2 și 7.1.
Synology emite rareori avertismente publice privind atacuri active împotriva clienților săi – ultimul precedent similar datează din august 2019, când atacuri masive de tip brute-force au dus la infecții cu ransomware-ul eCh0raix.
