Ransomware C3RB3R sui NAS Synology: DSM non aggiornato nel mirino, dati cifrati e riscatto immediato

Negli ultimi giorni diversi dispositivi Synology NAS sono finiti nel mirino di attacchi ransomware che sfruttano versioni non aggiornate di DiskStation Manager (DSM). Il punto chiave è che gli attori malevoli stanno approfittando di una vulnerabilità già corretta in precedenza ma ancora presente su sistemi che non hanno applicato gli aggiornamenti.

L’obiettivo è chiaro: cifrare i dati archiviati sul NAS e richiedere un riscatto per ripristinarli, con impatti pesanti su aziende e utenti domestici che usano il NAS come archivio centrale o come soluzione di backup.

Synology ha invitato gli utenti ad aggiornare immediatamente DSM, segnalando che gli attacchi colpiscono soprattutto installazioni obsolete. Anche se non viene indicata in modo esplicito la singola falla sfruttata, il riferimento è a un advisory di sicurezza che include vulnerabilità rilevanti, tra cui una potenziale esecuzione di codice da remoto con gravità critica (CVSS 9.8). In pratica, un aggressore potrebbe ottenere accesso al dispositivo attraverso vettori non specificati e poi avviare la catena di infezione che porta alla cifratura.

Versioni DSM consigliate per mitigare il rischio

Le versioni consigliate per mitigare il rischio prevedono l’aggiornamento a build specifiche a seconda del ramo DSM in uso. Verificare la versione installata è uno dei controlli più rapidi per capire se il NAS è esposto.

• DSM 7.2.2: almeno 7.2.2-72806-1 o superiore
• DSM 7.2.1: almeno 7.2.1-69057-6 o superiore
• DSM 7.2: almeno 7.2-64570-4 o superiore
• DSM 7.1: almeno 7.1.1-42962-7 o superiore
• DSM 6.2: almeno 6.2.4-25556-8 o superiore

Le segnalazioni degli utenti indicano infezioni riconducibili al ransomware C3RB3R, che blocca i file aggiungendo l’estensione .L0CK3D e rilascia una nota di riscatto denominata read me3.txt nelle cartelle colpite. Questo malware è noto per prendere di mira i NAS da tempo e per ottimizzare la cifratura evitando directory e tipi di file di sistema che potrebbero causare crash e interrompere l’attacco.

Oltre all’aggiornamento manuale, una misura pratica è abilitare gli aggiornamenti automatici di DSM per ridurre la finestra di esposizione. In parallelo è utile rafforzare le credenziali amministrative, limitare l’esposizione dei servizi su Internet e mantenere copie di backup offline o immutabili, per non trasformare il NAS nell’unico punto di fallimento durante un attacco ransomware.