A Synology pede que os clientes atualizem o software DiskStation Manager (DSM), que alimenta seus dispositivos de armazenamento em rede (NAS, sigla de Network Attached Storage), após ataques de ransomware.
A fabricante taiwanesa afirmou ter observado agentes de ameaça explorando uma vulnerabilidade corrigida em dezembro de 2024 para atingir dispositivos que executam versões desatualizadas do DSM.
“Esses ataques visam criptografar dados e extorquir resgates”, afirmou a empresa em comunicado divulgado na semana passada.
Embora a Synology não tenha divulgado a falha de segurança exata que está sendo explorada nesses ataques, a empresa relacionou o caso a um alerta de segurança de novembro de 2024 que listava três vulnerabilidades, identificadas pelo padrão CVE (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns):
- CVE-2024-10441 (pontuação CVSS de 9,8) – Erro de codificação ou escape de saída no processo em segundo plano de plugins do sistema do DSM, que pode levar à execução remota de código por meio de vetores não especificados.
- CVE-2024-50629 (pontuação CVSS de 5,3) – Erro de codificação ou escape de saída no componente webapi do DSM, que pode permitir que invasores remotos leiam arquivos limitados por meio de vetores não especificados.
- CVE-2024-10445 (pontuação CVSS de 4,3) – Falha na validação de certificados no recurso de atualização do DSM, que pode permitir que invasores remotos gravem arquivos limitados por meio de vetores não especificados.
As correções foram disponibilizadas nas seguintes versões:
- DSM 7.2.2: atualize para a versão 7.2.2-72806-1 ou superior
- DSM 7.2.1: atualize para a versão 7.2.1-69057-6 ou superior
- DSM 7.2: atualize para a versão 7.2-64570-4 ou superior
- DSM 7.1: atualize para a versão 7.1.1-42962-7 ou superior
- DSM 6.2: atualize para a versão 6.2.4-25556-8 ou superior
O caso surge em meio a relatos de clientes que afirmam que seus dispositivos Synology foram atingidos pelo ransomware C3RB3R, que vem bloqueando arquivos dos usuários com a extensão “.L0CK3D”. Usuários também relataram os passos que tomaram após o ataque.
Em uma análise publicada na semana passada, a fornecedora chinesa de segurança Qihoo 360 Internet Security Center afirmou que o C3RB3R tem um “longo histórico” de aplicação de ransomware contra dispositivos NAS, incluindo a exploração de duas vulnerabilidades do DSM que foram corrigidas pela Synology em setembro de 2026:
- CVE-2026-13684 (pontuação CVSS de 9,8) – Erro de codificação ou escape de saída no SCGI (sigla de Simple Common Gateway Interface, ou interface simples de gateway comum), que pode permitir que invasores remotos leiam ou gravem arquivos arbitrários e realizem ataques de negação de serviço.
- CVE-2026-13639 (pontuação CVSS de 9,8) – Entropia insuficiente na lógica de login, que pode permitir que invasores remotos leiam ou gravem arquivos arbitrários e realizem ataques de negação de serviço.
Uma vez iniciado, o C3RB3R varre os arquivos do dispositivo comprometido, pulando 27 diretórios e determinadas extensões (como BAT, DLL, EXE, LNK, MOD, MSI e SYS) para evitar travamentos do sistema e não prejudicar o processo de criptografia. Os arquivos criptografados recebem a extensão .L0CK3D, e uma nota de resgate chamada “read-me3.txt” é deixada em cada diretório criptografado.
Não é a primeira vez que dispositivos NAS são alvos de ataques de ransomware. Em 2019, equipamentos da QNAP Systems, com sede em Taiwan, foram comprometidos pelo ransomware QNAPCrypt, também conhecido como eCh0raix.
Depois, em agosto de 2021, a Synology alertou sobre ataques de força bruta conduzidos pela família de malware StealthWorker, que levaram a infecções por ransomware.
“Esses ataques utilizam uma série de dispositivos já infectados para tentar adivinhar credenciais administrativas comuns e, em caso de sucesso, acessam o sistema para instalar sua carga maliciosa, que pode incluir ransomware”, afirmou a empresa na época. “Dispositivos infectados podem realizar ataques adicionais contra outros dispositivos baseados em Linux, incluindo NAS da Synology.”
No mesmo mês, a Palo Alto Networks Unit 42 também divulgou detalhes de uma variante do eCh0raix voltada a dispositivos NAS da QNAP e da Synology, que explora vulnerabilidades como a CVE-2021-28799 ou força o acesso por meio de ataques de força bruta e do uso de credenciais administrativas comuns.
“A Synology recomenda fortemente que todos os usuários com versões vulneráveis atualizem o DSM imediatamente para proteger seus sistemas”, afirmou a empresa. “A Synology também recomenda ativar atualizações automáticas para manter o DSM sempre atualizado.”
