Ransomware na Synology. C3RB3R szyfruje dyski NAS – zaktualizuj DSM natychmiast

Trwa kampania ransomware na Synology. Grupa C3RB3R szyfruje pliki na dyskach sieciowych z nieaktualnym systemem DSM i żąda okupu. Producent wydał rzadkie ostrzeżenie i wzywa do natychmiastowej aktualizacji.

W skrócie

• Co: ransomware C3RB3R szyfruje pliki na dyskach Synology NAS i dopisuje im rozszerzenie .L0CK3D.
• Kogo dotyczy: urządzeń z nieaktualnym DSM, zwłaszcza tych, których panel jest dostępny z Internetu.
• Jak poważne: krytyczne. Luki wskazywane jako wejście mają ocenę 9,8 na 10 w skali CVSS.
• Co zrobić: zaktualizować DSM do najnowszej wersji, odciąć panel od Internetu i sprawdzić kopie zapasowe.
• Odszyfrowanie: nie jest znane żadne darmowe narzędzie do odzyskania plików.

Co się dzieje

Synology 29 października 2026 r. opublikowało komunikat o atakach na urządzenia z nieaktualnym DSM. Według producenta napastnicy wykorzystują lukę załataną w grudniu 2024 r., a ich celem jest zaszyfrowanie danych i wymuszenie okupu (The Hacker News).

To wyjątkowa sytuacja. Synology rzadko ostrzega przed atakami na klientów – poprzedni taki komunikat firma wydała w 2019 r., przy fali ransomware eCh0raix (BleepingComputer). Komunikat poprzedziła fala zgłoszeń od użytkowników, którym zaszyfrowano pliki.

Którą lukę wykorzystują przestępcy? Na razie nie ma zgody

• Wersja Synology: producent wskazuje biuletyn SA-24:20 z listopada 2024 r. Najgroźniejsza z opisanych w nim luk, CVE-2024-10441 (CVSS 9,8), pozwala zdalnie wykonać kod.
• Wersja firmy 360: chiński dostawca zabezpieczeń przeanalizował zaatakowane urządzenia. Wskazuje dwie nowsze luki, CVE-2026-13639 i CVE-2026-13684 (obie CVSS 9,8), załatane w biuletynie SA-26:13 z 18 września 2026 r.
• Sygnał ostrzegawczy: zespół reagowania Solar opisał ofiarę, która miała już nowe DSM 7.4.1. Nie wykluczono więc innej drogi wejścia, np. przez dodatkowe pakiety albo skradzione hasła (WindowsForum).

Wniosek praktyczny jest jeden: nie wystarczy łatka z 2024 r. Trzeba mieć najnowszą dostępną wersję DSM i dodatkowo ograniczyć dostęp do urządzenia.

Czy Twój NAS jest zagrożony? Sprawdź wersję DSM

Wersję znajdziesz w DSM: Panel sterowania → Aktualizacja i przywracanie (Update & Restore). Porównaj cały numer kompilacji, łącznie z ostatnią cyfrą po myślniku.

Gałąź DSM	Minimum z łatką z 2024 r. (SA-24:20)	Zalecane minimum z łatką z września 2026 r. (SA-26:13)
7.4	–	7.4-90075
7.3	–	7.3.2-86009-4
7.2.2	7.2.2-72806-1	7.2.2-72806-9
7.2.1	7.2.1-69057-6	7.2.1-69057-12
7.2	7.2-64570-4	brak – przejdź na nowszą gałąź
7.1	7.1.1-42962-7	brak – przejdź na nowszą gałąź
6.2	6.2.4-25556-8	brak – przejdź na nowszą gałąź

Źródło wersji: biuletyny Synology SA-24:20 i SA-26:13 w zestawieniu WindowsForum.

Uwaga na pułapkę: urządzenie z DSM 7.2.2-72806-1 ma poprawkę z 2024 r., ale nie ma wrześniowej. Jeśli Twój model nie dostaje już aktualizacji z gałęzi 7.2.2 lub nowszej, traktuj go jako urządzenie podwyższonego ryzyka i nie wystawiaj go do Internetu.

Co zrobić teraz: 6 kroków

1. Zaktualizuj DSM do najnowszej wersji dla swojej gałęzi. Jeśli aktualizacja nie pojawia się sama, pobierz plik dla swojego modelu z Centrum pobierania Synology i zainstaluj go ręcznie.
2. Włącz automatyczne aktualizacje. Zaleca to sam producent. Po włączeniu i tak sprawdź, czy wersja faktycznie się zmieniła.
3. Odetnij panel DSM od Internetu. Usuń przekierowania portów na routerze i wyłącz UPnP. Zdalny dostęp – tylko przez VPN.
4. Zabezpiecz konta. Wyłącz domyślne konto admin, ustaw silne hasła, włącz weryfikację dwuetapową i automatyczną blokadę po nieudanych logowaniach. Usuń nieużywane pakiety i udziały.
5. Sprawdź migawki (snapshoty). Włącz je dla wszystkich ważnych folderów, najlepiej z ochroną przed usunięciem. Sprawdź, czy faktycznie się tworzą.
6. Miej kopię, do której NAS nie sięga. Kopia zapasowa na tym samym urządzeniu zostanie zaszyfrowana razem z danymi. Potrzebujesz kopii offline albo w osobnej lokalizacji.

Kroki 3–6 to zalecenia z analizy firmy 360 i porad BleepingComputer – nie zastępują aktualizacji, ale zmniejszają ryzyko, jeśli napastnicy korzystają z innej, jeszcze nieznanej drogi.

Jak rozpoznać atak ransomware na Synology

Ofiary opisują te same objawy:

• pliki z nowym rozszerzeniem .L0CK3D (po literze L jest zero, nie litera O),
• w każdym zaszyfrowanym folderze plik read-me3.txt z żądaniem okupu,
• odesłanie do płatnego „C3rb3r Decryptor” na stronie w sieci Tor, za kilka tysięcy dolarów.

Złośliwe oprogramowanie omija pliki systemowe, żeby nie zawiesić urządzenia przed zakończeniem szyfrowania (The Hacker News).

Jeśli pliki już są zaszyfrowane

1. Odłącz NAS od Internetu, zanim go zrestartujesz. Usuń przekierowania portów.
2. Niczego nie formatuj. Nie wyjmuj dysków i nie twórz od nowa puli pamięci.
3. Zachowaj dowody: zaszyfrowane pliki i notatkę read-me3.txt. Zamiast usuwać udziały, zmień ich nazwy.
4. Najpierw sprawdź migawki. U części ofiar migawki Btrfs przetrwały i pozwoliły odzyskać dane.
5. Nie płać okupu. Nie ma gwarancji odzyskania plików, a darmowy deszyfrator nie istnieje. Każdy „deszyfrator” testuj wyłącznie na kopiach.
6. Zgłoś incydent do CERT Polska przez incydent.cert.pl i skontaktuj się ze wsparciem Synology przez Centrum pomocy w DSM.

Jeśli NAS przechowuje dane osobowe klientów lub pracowników, sprawdź też obowiązek zgłoszenia naruszenia do UODO – na to masz jedynie 72 godziny.

Dlaczego ransomware na Synology to duży problem małych firm

W wielu małych biurach NAS to serce firmy: wspólne dyski, dokumenty klientów i kopie zapasowe komputerów. Gdy zostanie zaszyfrowany, firma traci jednocześnie dane robocze i backup.

Skala ekspozycji jest duża. Fundacja Shadowserver widzi w Internecie ponad 380 tys. dostępnych z sieci urządzeń Synology (BleepingComputer). To nie są wszystkie podatne urządzenia, ale pokazuje, ile serwerów plików stoi na widoku.

Najczęstszy scenariusz w małej firmie wygląda tak: NAS kupiony kilka lat temu, skonfigurowany raz, z otwartym dostępem „żeby działało z domu”. Nikt nie pamięta o aktualizacjach, bo urządzenie po prostu działa.

Źródła

• The Hacker News – Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM Flaw (3.11.2026)
• BleepingComputer – Synology warns of C3RB3R ransomware attacks targeting NAS devices (2.11.2026)
• WindowsForum – Synology NAS C3RB3R Ransomware Attacks: Update DSM and Check Your Backups (2.11.2026)
• Synology – komunikat o atakach ransomware na nieaktualne wersje DSM
• Synology – biuletyn SA-24:20

Tekst powstał przy wykorzystaniu AI.