невзлом

Срочно · Synology NAS

Synology DSM — кампания ransomware C3RB3R на устаревших NAS (SA-24:20 / SA-26:13)

· CVE-2024-10441, CVE-2026-13639, CVE-2026-13684

← Простая версия для всех

Суть

Synology (29.10.2026) зафиксировала атаки с целью зашифровать данные на NAS и требовать выкуп. В новости указано: эксплуатируется уязвимость, исправленная в декабре 2024; ссылка — Synology-SA-24:20. Критическая запись SA-24:20 — CVE-2024-10441: improper encoding/escaping в system plugin daemon, удалённое выполнение кода без аутентификации, CVSS 3.1 9.8 (Synology). Mitigation в бюллетенях — нет, только обновление.

Затронуто и исправлено

SA-24:20 (то, на что ссылается алерт):

ПродуктМинимум
DSM 7.2.27.2.2-72806-1
DSM 7.2.17.2.1-69057-6
DSM 7.27.2-64570-4
DSM 7.17.1.1-42962-7
DSM 6.26.2.4-25556-8

Также в SA-24:20: CVE-2024-50629 (чтение ограниченных файлов), CVE-2024-10445 (запись при MitM на update path).

SA-26:13 (18.09.2026) — поставить независимо от спора о входном векторе кампании:

ПродуктМинимум
DSM 7.47.4-90075
DSM 7.37.3.2-86009-4
DSM 7.2.27.2.2-72806-9
DSM 7.2.17.2.1-69057-12

Критичные без auth в SA-26:13: CVE-2026-13684, CVE-2026-13639 (CVSS 9.8) — arbitrary file read/write / DoS.

Пример: 7.2.2-72806-0 — ниже минимума SA-24:20; 7.2.2-72806-9 — закрывает и SA-26:13 для этой ветки.

Эксплуатация

  • Первично: факт атак и цель (encrypt + ransom) — Synology news 29.10.2026; конкретный CVE в тексте новости не назван, дан линк на SA-24:20.
  • Вторично: имя C3RB3R / Cerber-вариант; расширение .L0CK3D; записка read-me3.txt. Часть обзоров (360) атрибутирует вход CVE-2026-13639/13684. Редакция фиксирует противоречие, не выбирает сторону.
  • CISA KEV: отдельной свежей записи под кампанию в ленте на 03.11.2026 не опираемся.
  • PoC: наличие публичного PoC в текстах не утверждаем и не ссылаемся.

Как проверить

  • UI: Control Panel → Update & Restore → DSM Update (RU: «Панель управления → Обновление и восстановление → Обновление DSM») — Current DSM version.
  • Control Panel → Info Center → General.
  • Инвентаризация парка: модель + полный номер сборки (7.x.x-xxxxx-x).
  • Сеть: нет ли DNAT/UPnP на порты веб-панели DSM; включён ли QuickConnect / DDNS, отвечающий с WAN; не торчит ли HTTPS DSM снаружи у клиента.
  • После обновления сверить полный номер сборки с таблицами SA-24:20 / SA-26:13; если «обновлений нет», а сборка ниже минимума — Download Center по модели / план замены (EOL).

Как исправить

  1. Обновить DSM до последнего поддерживаемого моделью релиза (последовательность мажорных — по KB Synology; не перескакивать через обязательные промежуточные). Ожидайте reboot и простой шаров/сервисов.
  2. Update Settings → автоматически ставить важные обновления (не спасает EOL и устройства, давно offline).
  3. Убрать доступ DSM из WAN: DNAT/UPnP на панель; Control Panel → External Access → QuickConnect — выключить; DDNS только под панель — убрать. Админка — LAN или VPN.
  4. Обновить пакеты; отключить default admin; MFA; Auto Block. BeeStation OS (BSM) — проверить по SA-24:20 (фикс с 1.1-65374), если устройство в парке.
  5. Snapshot + офлайн/внешний бэкап: RAID и снимки на том же NAS не спасают от шифровальщика, если он пишет в те же тома.

Откат DSM после обновления обычно невозможен — предупредите заказчика.

Если обновить нельзя

EOL-модель без патча: изолировать от интернета, выгрузить данные, план замены. Официальных временных мер в SA-24:20 / SA-26:13 нет.

Признаки взлома и что делать

Индикаторы из вторичных разборов кампании: *.L0CK3D, read-me3.txt. При обнаружении: отключить NAS от сети, не форматировать сразу, сохранить образ/диски для разбора, не оплачивать выкуп как единственный план, поднять чистый бэкап вне поражённого тома. Патч после шифрования не расшифровывает.

Источники

Реестры NVD/CVE.org — номерами без ссылок: CVE-2024-10441, CVE-2024-50629, CVE-2024-10445, CVE-2026-13639, CVE-2026-13684.