Synology призвала срочно обновить DSM из-за атак вымогателя C3RB3R на NAS
Тайваньский производитель сетевых хранилищ Synology призвал пользователей немедленно обновить DiskStation Manager и включить автоматические обновления из-за роста атак программы-вымогателя C3RB3R. Злоумышленники используют уязвимость, исправленную в декабре 2024 года, и атакуют устройства с устаревшими версиями DSM.
Главное в цифрах
- Количество доступных в интернете NAS Synology по данным Shadowserver: более 380 000
- Стоимость инструмента расшифровки «C3rb3r Decryptor»: несколько тысяч долларов
- Предыдущее предупреждение Synology об атаках: август 2019 года
В предупреждении Synology говорится, что злоумышленники эксплуатируют уязвимость, закрытую в декабре 2024 года, чтобы атаковать устройства со старыми версиями DSM. Цель атак, зашифровать данные и вымогать выкуп. Компания настоятельно рекомендует всем пользователям уязвимых версий обновить DSM прямо сейчас и включить автоматические обновления.
Согласно бюллетеню, на который ссылается Synology, речь идёт об уязвимостях CVE-2024-10441, CVE-2024-50629 и CVE-2024-10445. Они позволяют на непропатченных устройствах выполнять произвольный код, читать и записывать файлы. Пользователям также советуют закрыть доступ к веб-интерфейсу управления из интернета.
Как проявляются атаки
Первые сообщения о зашифрованных устройствах появились более двух недель назад. Пострадавшие пользователи получали записку с требованием (файл read-me3.txt), а к зашифрованным файлам добавлялось расширение .L0CK3D. В записке предлагалось купить инструмент «C3rb3r Decryptor» на портале в даркнете за несколько тысяч долларов. Предупреждения такого рода Synology выпускает редко: предыдущее было в августе 2019 года, после масштабных атак перебором паролей, которые тоже привели к заражению программами-вымогателями.
По данным Shadowserver, в интернете доступно более 380 000 NAS Synology. Какая часть из них уже защищена или является ловушками для исследователей, неизвестно.
Контекст
Название C3RB3R заимствовано у известного семейства Cerber, которое появилось в 2016 году как программа-вымогатель по модели RaaS. Старая операция Cerber прекратила работу в конце 2019 года; на её пике она приходилась более чем на 80% всех атак программ-вымогателей. С декабря 2021 года, когда C3RB3R впервые заметили, её использовали и против серверов Atlassian Confluence и GitLab, эксплуатируя уязвимости удалённого выполнения кода и обхода аутентификации.
