Производителят на мрежови устройства за съхранение на данни Synology предупреди за мащабна вълна от атаки с рансъмуера C3RB3R, насочени към устройства с остарял системен софтуер. Заплахата засяга пряко малкия и средния бизнес в България, където тези устройства често служат за централизирани архиви, счетоводни бази и споделени файлови масиви.
Важно: Synology настоятелно призовава потребителите незабавно да обновят операционната система DiskStation Manager (DSM) до най-новата версия и да спрат директния достъп до уеб интерфейса за управление през интернет.
Какво се случва: активна кампания с рансъмуера C3RB3R
По данни на Synology нападателите се възползват от уязвимост, коригирана през декември 2024 г., за да компрометират мрежови хранилища (NAS) с необособени и остарели версии на операционната система DiskStation Manager (DSM). Целта на киберпрестъпниците е цялостно криптиране на съхраняваните данни и изнудване на организациите за откуп.
Въпреки че производителят все още не е посочил конкретен номер на уязвимостта в текущите нападения, компанията насочва вниманието към свой бюлетин за сигурност от ноември 2024 г. В него бяха публикувани корекции за три критични слабости: изпълнение на произволен код (CVE-2024-10441), неоторизирано четене на файлове (CVE-2024-50629) и неоторизиран запис на файлове (CVE-2024-10445) върху незащитени системи.
Първите съобщения за инциденти се появиха преди повече от две седмици. Засегнатите потребители съобщават, че рансъмуерът добавя разширение .L0CK3D към криптираните файлове и оставя бележка за откуп с име read-me3.txt. В нея жертвите се предупреждават, че всякакви опити за възстановяване с външни инструменти са фатални, и се насочват към портал в тъмната мрежа (dark web) за покупка на инструмента C3rb3r Decryptor срещу хиляди долари.
Произход на заплахата и засегнати системи
Рансъмуерът C3RB3R (познат още като Cerber или CerberImposter) заимства името си от мащабна схема за зловреден софтуер като услуга (Ransomware-as-a-Service), появила се през 2016 г. Преди да прекрати активността си в края на 2019 г., оригиналният Cerber генерираше над 80% от всички рансъмуер атаки и една четвърт от заразяванията на корпоративни работни станции. От декември 2021 г. насам C3RB3R беше регистриран и при атаки срещу сървъри с Atlassian Confluence и GitLab чрез уязвимости за дистанционно изпълнение на код (RCE през CVE-2021-26084 и CVE-2021-22205) и заобикаляне на проверка за достъп (CVE-2023-22518).
Издаването на официално предупреждение от Synology е изключително рядко събитие — предишното подобно съобщение датира от август 2019 г. след атаки с рансъмуера eCh0raix. По данни на организацията за киберсигурност Shadowserver в момента в световен мащаб се наблюдават над 380 000 устройства Synology NAS, които са директно достъпни през интернет.
Какво да направите веднага: стъпки за защита
Ако вашата фирма използва оборудване Synology за съхранение или бекъп, следва да предприемете незабавни защитни действия:
