Владельцы NAS Synology снова оказались в зоне риска: компания предупредила о всплеске атак шифровальщика C3RB3R. Злоумышленники заходят на устройства с устаревшим DSM, шифруют данные и требуют выкуп.

Картина типичная для вымогателей, но неприятность в том, что речь идет не о случайной ошибке на одном сервере, а о массовой эксплуатации старых уязвимостей. Если NAS торчит в интернет с панелью управления и без свежих патчей, он быстро становится удобной целью.

История инцидента

Synology связала атаки с уязвимостью, которую исправили еще в декабре 2024 года, но не раскрыла, о каком именно баге идет речь. В уведомлении компания отсылает к бюллетеню за ноябрь 2024 года, где описаны сразу три проблемы в DSM.

Самая опасная из них — CVE-2024-10441 с оценкой 9,8 балла по шкале CVSS. Она позволяет удаленно выполнить произвольный код. Две другие — CVE-2024-50629 и CVE-2024-10445 — дают возможность читать и записывать отдельные файлы на устройстве.

Патчи вошли в версии DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 и 6.2.4-25556-8. После жалоб пользователей Synology отдельно напомнила о необходимости включить автоматические обновления и закрыть доступ к панели управления NAS из интернета.

Пострадавшие описывают знакомый сценарий: после заражения файлы получают расширение .L0CK3D, а в каталогах появляется записка read-me3.txt с требованием выкупа. Злоумышленники предлагают купить инструмент C3rb3r Decryptor за несколько тысяч долларов США и обещают бесплатно восстановить один файл как доказательство.

Что пошло не так в защите

Главная проблема — задержка с обновлениями. Устройства, которые месяцами или годами работают на старом DSM, превращаются в легкую добычу, особенно если администратор оставил веб-панель доступной извне.

Вторая ошибка — слишком широкое доверие к «домашнему» NAS. Многие ставят его как удобное хранилище для фото, документов и резервных копий, но забывают, что это полноценный сетевой сервер. Его надо обновлять, ограничивать по сети и проверять так же внимательно, как рабочий ноутбук или офисный файловый сервер.

Исследователи из Qihoo 360 считают, что часть атак может быть связана и с более свежими критическими уязвимостями — CVE-2026-13684 и CVE-2026-13639. Обе проблемы Synology закрыла в сентябре 2026 года. По описанию, они тоже позволяют читать и записывать произвольные файлы на устройстве, а еще запускать DoS-атаки.

Уроки для читателя

История с C3RB3R — это не только про Synology. Любой сетевой накопитель, роутер, камера наблюдения или другой «тихий» офисный девайс может стать точкой входа, если его не обновлять и не прятать за лишними открытыми портами.

Отдельный урок — не полагаться на то, что устройство «само разберется». Вымогательские программы сканируют файлы, выбирают подходящие цели и умеют избегать части системных каталогов, чтобы не убить устройство раньше времени. То есть атакующие действуют аккуратно, а ущерб все равно получается большим.

Если вы уже настраивали резервное копирование, это хорошо. Но бэкап не спасет, если резервная копия лежит на том же NAS и шифруется вместе с основными данными. Для такой техники нужен раздельный резервный контур и понятный план восстановления.

Полезно перечитать и другие разборы про инциденты с инфраструктурой — например, историю взлома облачной платформы Beget и материал о том, как проверяют скрытые угрозы на Android-приставках. Логика везде одна: уязвимость почти всегда выглядит как мелочь, пока ее не начнут массово использовать.

Практические выводы и чек-лист

Если у вас есть NAS Synology, не откладывайте проверку на потом. Даже если устройство давно стоит «без проблем», именно такие системы чаще всего и выпадают из поля зрения.

Для повседневной цифровой гигиены подойдет и инструмент для защищенных поездок и удаленной работы, но он не заменяет патчи, закрытые порты и нормальные резервные копии. Сначала нужно убрать дыру в самом устройстве, а уже потом думать о дополнительной защите данных.

  • Проверить версию DSM и сравнить ее с версиями, где уже вышли исправления.
  • Срочно установить все обновления для NAS, если устройство еще на старой ветке.
  • Включить автоматические обновления, если это допускает ваша схема администрирования.
  • Закрыть доступ к панели управления NAS из интернета.
  • Проверить, не открыт ли веб-интерфейс наружу через проброс портов или DDNS.
  • Убедиться, что резервные копии хранятся отдельно от основного NAS.
  • Осмотреть общие папки на подозрительные расширения, записки о выкупе и незнакомые файлы.
  • Поменять пароли администратора и пользователей с доступом к хранилищу.
  • Включить 2FA для учетных записей, если устройство и сервисы это поддерживают.
  • Настроить уведомления о входах, изменении настроек и сбоях обновлений.
  • Если есть признаки заражения, отключить NAS от сети и не перезаписывать данные до диагностики.
Поделиться: