Zsarolóvírus támadja a Synology NAS-okat: melyik DSM-verzióra frissíts most?

Ha Synology NAS-od van, nézd meg most, melyik DSM-verzió fut rajta, és ha régebbi, mint az NBSZ Nemzeti Kiberbiztonsági Intézet (NKI) által felsorolt javított kiadások, frissíts azonnal. Az NKI november 3-i figyelmeztetése szerint a C3RB3R nevű zsarolóvírus elavult DiskStation Manager (DSM) rendszert futtató Synology NAS-okat támad: titkosítja a rajtuk tárolt fájlokat, majd váltságdíjat követel. A gyártó a legfrissebb DSM telepítését és az automatikus frissítések bekapcsolását javasolja.

Mi az a NAS és a DSM?

A NAS (hálózati adattároló) egy kis, folyamatosan működő számítógép merevlemezekkel, amelyet otthon vagy irodában közös fájltárolásra, fotók és dokumentumok mentésére, filmek tárolására használnak. A hálózatra kötött gépek és telefonok mind elérik, sokan pedig úgy állítják be, hogy az internetről, távolról is hozzáférjenek. A Synology készülékein futó operációs rendszer neve DiskStation Manager, röviden DSM. Ez kezeli a fájlokat, a felhasználókat és a telepített alkalmazásokat, ezért ha a DSM-ben biztonsági hiba van, az egész készülék és a rajta tárolt összes adat veszélybe kerülhet.

Mi történik pontosan?

Az NKI összefoglalója szerint a Synology a C3RB3R zsarolóvírussal végrehajtott támadások megszaporodása miatt figyelmeztette ügyfeleit, hogy haladéktalanul frissítsék hálózati adattárolóikat. A támadók elavult DSM-rendszereket vesznek célba, titkosítják az eszközön tárolt adatokat, és pénzt követelnek a helyreállításért. A gyártó közleménye szerint azok a NAS-ok érintettek, amelyeken a DSM sérülékeny verziója fut.

A gyártói figyelmeztetést az NKI szerint számos felhasználói beszámoló előzte meg: az első jelentések több mint két héttel korábban jelentek meg, és az érintettek több ezer dolláros váltságdíj-követelésről számoltak be.

Honnan tudod, hogy megtámadták a NAS-odat?

Az NKI által ismertetett beszámolók alapján a zsarolóvírus a titkosított fájlok nevéhez .L0CK3D kiterjesztést fűz, és read-me3.txt nevű fájlban hagy váltságdíjat követelő üzenetet. Ha ilyen fájlokat látsz a megosztott mappáidban, a NAS valószínűleg fertőzött.

Ezt is olvasd el: Csomagértesítő SMS-ben kérnek adatot vagy díjat? Ne a linken add meg a bankkártyádat – a kézbesítést a futár vagy a posta hivatalos oldalán ellenőrizd

Az üzenet azt állítja, hogy külső helyreállító programok használata végzetes károkat okozhat a fájlokban, és csak a támadók eszközével lehet biztonságosan visszaállítani az adatokat. Az NKI szerint a támadók egy dark webes oldalra irányítják az áldozatokat, ahol „C3rb3r Decryptor” néven visszafejtő programot árulnak, és egy fájl ingyenes visszafejtését is felajánlják, hogy bizonyítsák, működik a módszerük. Ez nyomásgyakorlás: a fizetés nem garantálja, hogy visszakapod az adataidat, és a bűnözőket támogatja. Ehelyett fordulj szakemberhez, és a mentésből állítsd vissza a fájlokat.

Melyik DSM-verzióra kell frissíteni?

A kihasznált sérülékenység pontos azonosítóját a Synology az NKI szerint nem nevezte meg. A gyártó egy 2024 novemberében kiadott biztonsági tájékoztatójára hivatkozott, amely többek között a CVE-2024-10441, a CVE-2024-50629 és a CVE-2024-10445 jelű hibák javítását ismerteti. Ezek közül az NKI leírása szerint az egyik tetszőleges kód futtatását, a másik kettő fájlok olvasását, illetve írását teheti lehetővé egy támadó számára. Hogy a mostani támadásokban melyiket használják ki, azt a gyártó nem közölte.

Az NKI által közölt javított minimumverziók a következők:

• DSM 7.2.2 ágon: legalább 7.2.2-72806-1.
• DSM 7.2.1 ágon: legalább 7.2.1-69057-6.
• DSM 7.2 ágon: legalább 7.2-64570-4.
• DSM 7.1.1 ágon: legalább 7.1.1-42962-7.
• DSM 6.2.4 ágon: legalább 6.2.4-25556-8.

Az NKI hangsúlyozza, hogy ezek csak az adott hibákhoz tartozó minimumverziók. A Synology azt kéri, hogy az eszközödre elérhető legfrissebb DSM-kiadást telepítsd, ne csak a minimumot.

Hogyan nézd meg a DSM verzióját?

A Synology tudásbázisa három módot ír le. Bejelentkezés után a Vezérlőpult (Control Panel) Információs központ (Info Center) menüjének Általános (General) lapján látod a DSM verzióját (a magyar menünevek a mi fordításaink, zárójelben az angol felület eredeti elnevezései). Ugyanezt megtalálod a Vezérlőpult Frissítés és visszaállítás (Update & Restore) menüjében, a DSM-frissítés (DSM Update) résznél, ahol a jelenlegi verzió mellett a frissítést is elindíthatod. Harmadik lehetőségként böngészőben a find.synology.com oldalon is megnézheted a helyi hálózaton lévő NAS verzióját.

Hasonlítsd össze a kapott számot a fenti listával. Ha a te ágadon a verziószám kisebb, a NAS sérülékeny lehet, és frissíteni kell. Ha nem tudod, melyik ágon vagy, a legegyszerűbb a Frissítés és visszaállítás menüben megnézni, kínál-e a rendszer újabb kiadást. Ha a készülékedhez már nem érhető el újabb DSM, kérdezd meg a gyártó ügyfélszolgálatát vagy egy informatikai szakembert, hogyan védheted meg az adataidat.

Mit tegyél most?

A gyártó elsődleges kérése a frissítés, de érdemes ennél tovább is lépni. Kapcsold be az automatikus frissítéseket, hogy a későbbi biztonsági javítások is időben megérkezzenek. Gondold át, valóban szükséges-e, hogy a NAS közvetlenül elérhető legyen az internetről. Az NKI a Shadowserver adataira hivatkozva azt írja, hogy több mint 380 ezer Synology NAS érhető el az internet felől. Ez nem a sérülékeny vagy megtámadott készülékek száma, de jól mutatja, mekkora a lehetséges célpontok köre.

Ezt is olvasd el: Kincstári számlát nyittatnak, majd kiürítik: így támadják a csalók az állampapír-megtakarításokat

A zsarolóvírus elleni legjobb védelem a rendszeres mentés, lehetőleg olyan helyre, amelyet a NAS-ról nem lehet közvetlenül módosítani. Ha a fájljaid titkosítva lettek, de van friss mentésed, nem vagy kiszolgáltatva a támadóknak. A rendszerfrissítések jelentőségéről a Windows 10 biztonsági frissítéseiről szóló cikkünkben is írtunk, egy másik, fájlokat célzó kártevőről pedig a TaskStomp-cikkünkben olvashatsz.

Új a C3RB3R?

Nem. Az NKI szerint a C3RB3R-t először 2021 decemberében észlelték, és korábbi támadási hullámokban Atlassian Confluence- és GitLab-szerverek ellen is bevetették. A mostani hullám tehát egy régóta ismert zsarolóvírus újabb célpontja.

Gyakori kérdések

Mi az a C3RB3R?

Zsarolóvírus, amely titkosítja a megtámadott eszközön lévő fájlokat, majd váltságdíjat követel a visszaállításukért. Az NKI szerint most elavult DSM-et futtató Synology NAS-okat támad, és először 2021 decemberében észlelték.

Érintett vagyok, ha frissített DSM-em van?

A gyártó közleménye szerint a sérülékeny DSM-verziót futtató eszközök érintettek. Ha a NAS-od legalább az NKI által felsorolt javított verziót futtatja, a jelzett hibák javítva vannak, a Synology mégis a legfrissebb kiadás telepítését javasolja.

Kifizessem a váltságdíjat?

Nem javasolt. A fizetés nem garantálja, hogy visszakapod az adataidat, és a bűnözők további támadásait finanszírozza. Fordulj informatikai szakemberhez, és ha van mentésed, abból állítsd vissza a fájlokat.

Hol nézem meg, melyik DSM fut a NAS-omon?

A Synology tudásbázisa szerint bejelentkezés után a Vezérlőpult (Control Panel) Információs központjának (Info Center) Általános (General) lapján, vagy a Frissítés és visszaállítás (Update & Restore) menü DSM-frissítés (DSM Update) részében. Böngészőből a find.synology.com oldal is megmutatja a helyi hálózaton lévő NAS verzióját.

Honnan ismerem fel a fertőzést?

Az NKI által ismertetett beszámolók szerint a titkosított fájlok .L0CK3D kiterjesztést kapnak, és megjelenik egy read-me3.txt nevű, váltságdíjat követelő üzenet.

Források

• NBSZ NKI: C3RB3R zsarolóvírus támadja a Synology NAS-okat
• Synology: termékbiztonsági tájékoztatók
• Synology tudásbázis: hogyan nézd meg a DSM verzióját