Συσκευές αποθήκευσης Synology NAS γίνονται στόχος επιθέσεων ransomware τύπου C3RB3R, οι οποίες αξιοποιούν κενά ασφαλείας που είχαν εντοπιστεί και διορθωθεί από το 2024. Η κατάσταση αυτή οδήγησε την κατασκευάστρια εταιρεία σε νέα προειδοποίηση, καλώντας τους χρήστες να ενημερώσουν άμεσα τις παλαιότερες εκδόσεις του λειτουργικού συστήματος DiskStation Manager (DSM) και των αντίστοιχων πακέτων.
Η ανακοίνωση της Synology ακολούθησε σχετικές αναφορές από την Ομάδα Ασφαλείας 360 και την Ομάδα Αντιμετώπισης Έκτακτης Ανάγκης της Solar, οι οποίες εντόπισαν θύματα των οποίων τα αρχεία είχαν κρυπτογραφηθεί, φέροντας την κατάληξη .L0CK3D και συνοδευόμενα από σημείωση λύτρων με την ονομασία read-me3.txt. Αν και οι ομάδες ασφαλείας ταυτοποίησαν προσωρινά το λογισμικό εκβιασμού ως C3RB3R, ο ακριβής αριθμός των παραβιασμένων συσκευών παραμένει άγνωστος.
Οι ευπάθειες που αξιοποιούνται στις επιθέσεις
Η προειδοποίηση της Synology συνδέεται με το δελτίο ασφαλείας Synology-SA-24:20, το οποίο καλύπτει τρεις ευπάθειες που είχαν αποκαλυφθεί μετά τον διαγωνισμό χάκινγκ Pwn2Own 2024. Μεταξύ αυτών ξεχωρίζει το κρίσιμο σφάλμα CVE-2024-10441, με βαθμολογία επικινδυνότητας CVSS 9.8, το οποίο επιτρέπει σε μη πιστοποιημένους επιτιθέμενους την απομακρυσμένη εκτέλεση κώδικα χωρίς να απαιτείται καμία αλληλεπίδραση από τον χρήστη.
Το ίδιο δελτίο περιλαμβάνει επίσης την ευπάθεια CVE-2024-50629 στο webapi, η οποία επιτρέπει την ανάγνωση περιορισμένων αρχείων, καθώς και το σφάλμα επικύρωσης πιστοποιητικών CVE-2024-10445, το οποίο δίνει τη δυνατότητα σε γειτονικούς επιτιθέμενους να εγγράψουν περιορισμένα αρχεία.
Παρόλο που οι δημόσιες αναφορές δε διευκρινίζουν ποια ακριβώς ευπάθεια χρησιμοποιήθηκε σε κάθε ξεχωριστό περιστατικό, οι ειδικοί τονίζουν ότι οι επιτιθέμενοι εκμεταλλεύονται καθυστερήσεις στην εφαρμογή των διαθέσιμων διορθώσεων από τους διαχειριστές.
Μέτρα προστασίας και αποκατάστασης για τους χρήστες
Η Synology διαθέτει εδώ και καιρό διορθωμένες εκδόσεις για τις επηρεαζόμενες σειρές του DSM (όπως οι εκδόσεις 7.2.2-72806-1, 7.2.1-69057-6 και παλαιότερες διακλαδώσεις), τονίζοντας ότι η απλή ενημέρωση δεν αρκεί για την ανάκτηση αρχείων που έχουν ήδη κρυπτογραφηθεί.
Για την ασφάλεια των συστημάτων, οι ειδικοί συνιστούν:
- Την εγκατάσταση των τελευταίων ενημερώσεων λογισμικού και επίσημων πακέτων.
- Τον άμεσο τερματισμό της απευθείας πρόσβασης της διαχείρισης DSM και του SSH στο διαδίκτυο.
- Την αποκλειστική χρήση εικονικού ιδιωτικού δικτύου (VPN) για τις απομακρυσμένες συνδέσεις.
- Την ενεργοποίηση ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA) και τη διατήρηση ανεξάρτητων, απομονωμένων (offline) αντιγράφων ασφαλείας.