Synology ruft zu DSM-Updates auf, nachdem C3RB3R-Ransomware alte Schwachstellen ausnutzt

Synology drängt Kunden dazu, die Software DiskStation Manager (DSM) auf ihren Network Attached Storage-Geräten (NAS) nach einer Welle von Ransomware-Angriffen zu aktualisieren. Der taiwanische Anbieter bestätigte, dass Angreifer aktiv eine Schwachstelle ausnutzen, die bereits im Dezember 2024 gepatcht wurde, um Geräte anzugreifen, die veraltete Versionen des Betriebssystems verwenden.

Was ist passiert?

Laut einer letzten Woche veröffentlichten Stellungnahme von Synology zielen die Angriffe darauf ab, Benutzerdaten zu verschlüsseln und Lösegeldforderungen durchzusetzen. Das Unternehmen gab zwar nicht die genaue Sicherheitslücke an, die in diesen spezifischen jüngsten Vorfällen ausgenutzt wird, verwies jedoch auf eine Sicherheitsempfehlung vom November 2024, die drei kritische Schwachstellen auflistete. Diese Fehler reichen von Risiken für Remote Code Execution bis hin zur unsachgemäßen Validierung von Zertifikaten; alle könnten es Angreifern ermöglichen, unbefugten Zugriff zu erlangen oder Dateien auf dem Gerät zu manipulieren.

Berichte betroffener Kunden zeigen, dass ihre Synology-Geräte von der Ransomware C3RB3R kompromittiert wurden. Diese Malware sperrt die Dateien der Benutzer, indem sie die Endung ".L0CK3D" anhängt, und legt in jedem verschlüsselten Verzeichnis eine Lösegeldnotiz namens "read-me3.txt" ab. Der chinesische Sicherheitsanbieter Qihoo 360 Internet Security Center analysierte die Malware und stellte fest, dass C3RB3R eine lange Geschichte bei der Zielrichtung auf NAS-Geräte hat. Die Gruppe hatte zuvor andere DSM-Schwachstellen ausgenutzt, die von Synology im September 2026 behoben wurden, was einen anhaltenden Fokus auf ungepatchte Speichersysteme belegt.

Um das Risiko zu mindern, hat Synology die minimal erforderlichen DSM-Versionen für die Sicherheit über seine unterstützten Zweige hinweg spezifiziert. Benutzer von DSM 7.2.2 müssen auf Version 7.2.2-72806-1 oder höher aktualisieren, während Nutzer von DSM 7.2.1 Version 7.2.1-69057-6 oder höher benötigen. Auch ältere Zweige haben spezifische Ziele: Für DSM 7.2 ist 7.2-64570-4 erforderlich, für DSM 7.1 Version 7.1.1-42962-7, und Benutzer von DSM 6.2 müssen 6.2.4-25556-8 oder später installieren. Das Unternehmen empfiehlt dringend, automatische Updates zu aktivieren, um sicherzustellen, dass Systeme gegen zukünftige Bedrohungen geschützt bleiben.

Wichtige Details

• Aktive Ausnutzung: Angreifer nutzen eine im Dezember 2024 gepatchte Schwachstelle aus, um nicht aktualisierte Synology-NAS-Geräte zu kompromittieren.
• Identität der Malware: Die beteiligte Ransomware wird als C3RB3R identifiziert, welche verschlüsselten Dateien die Endung ".L0CK3D" anhängt.
• Ausweichstrategien: C3RB3R überspringt 27 Verzeichnisse und bestimmte Dateiendungen wie BAT, DLL und EXE, um Systemabstürze während der Verschlüsselung zu vermeiden.
• Historischer Kontext: Qihoo 360 merkt an, dass C3RB3R zuvor zwei hochgradig kritische DSM-Schwachstellen ausgenutzt hat, die im September 2026 gepatcht wurden.
• Erforderliche Updates: Synology listet spezifische Build-Nummern für DSM 6.2 bis 7.2.2 auf, die die bekannten Sicherheitsprobleme beheben.
• Empfehlung des Anbieters: Synology fordert zu sofortigen manuellen Updates für verwundbare Versionen auf und empfiehlt die Aktivierung automatischer Updates für einen fortlaufenden Schutz.

Hintergrund

Network Attached Storage-Geräte (NAS) sind bei kleinen Unternehmen und Enthusiasten im Homelab-Bereich beliebt, um große Datenmengen lokal zu speichern. Da sie jedoch oft für den Fernzugriff mit dem Internet verbunden sind, werden sie zu attraktiven Zielen für Cyberkriminelle. DiskStation Manager (DSM) ist das Betriebssystem, das auf Synology-NAS-Geräten läuft und alles von der Dateiverwaltung bis zu Benutzerberechtigungen handhabt. Wenn Schwachstellen in DSM entdeckt werden, können diese es Angreifern ermöglichen, Code remote auszuführen oder Authentifizierungen zu umgehen, was ihnen effektiv die Kontrolle über die gespeicherten Daten gibt.

Ransomware-Gruppen wie C3RB3R zielen speziell auf diese Geräte ab, da sie oft kritische Geschäftsdatensätze oder persönliche Archive enthalten, deren Wiederherstellung Opfer bereit sind, zu bezahlen. Indem die Malware Systemdateien und bestimmte ausführbare Formate überspringt, stellt sie sicher, dass das NAS noch funktionsfähig genug bleibt, um die Lösegeldnotiz anzuzeigen, was den Druck auf das Opfer erhöht, zu zahlen. Diese Taktik steht im Gegensatz zu destruktiver Malware, die das Gerät möglicherweise vollständig unbrauchbar macht, da das primäre Ziel der Angreifer finanzielle Erpressung ist und nicht bloße Störung.

Warum das wichtig ist

Für Teams, die ihre eigene Software betreiben und ihre Infrastruktur selbst verwalten, unterstreicht dieser Vorfall die entscheidende Bedeutung des Patch-Managements für Peripheriesysteme. Es ist üblich, dass IT-Leiter sich stark auf die Absicherung von Anwendungsservern und Datenbanken konzentrieren, dabei aber die darunterliegenden Speichergeräte vernachlässigen. Ein kompromittiertes NAS kann zum vollständigen Datenverlust führen und den Betrieb weitaus schwerwiegender stören als ein temporärer Ausfall einer Anwendung. Da viele kleine und mittlere Unternehmen aus Kostengründen auf Self-Hosting-Lösungen setzen, liegt die Last der Sicherheitswartung vollständig bei ihren internen Teams.

Darüber hinaus deutet die Nutzung älterer, bereits gepatchter Schwachstellen darauf hin, dass viele Geräte nicht regelmäßig aktualisiert werden. Diese Verzögerung schafft ein Zeitfenster für Angreifer, die das Internet nach bekannten Schwachstellen absuchen. Für DevOps-Ingenieure und Systemadministratoren dient dies als Erinnerung daran, dass Sicherheit keine einmalige Konfiguration ist, sondern ein kontinuierlicher Prozess. Das Versäumnis, Firmware-Updates anzuwenden, kann selbst robuste Netzwerkverteidigungen wirkungslos machen, wenn die Speicherebene selbst kompromittiert ist.

Was Sie tun können

• Überprüfen Sie Ihre DSM-Version: Melden Sie sich bei Ihrem Synology-NAS an und vergleichen Sie die aktuelle Build-Nummer mit den sicheren Versionen, die in der Empfehlung aufgelistet sind.
• Wenden Sie Updates sofort an: Wenn Ihre Version unter dem empfohlenen Schwellenwert liegt, laden Sie das neueste DSM-Update herunter und installieren Sie es unverzüglich.
• Aktivieren Sie automatische Updates: Konfigurieren Sie Ihr NAS so, dass es automatisch nach Sicherheitspatches sucht und diese installiert, um zukünftige Lücken zu verhindern.
• Prüfen Sie die Integrität Ihrer Backups: Stellen Sie sicher, dass Ihre Backups auf separaten, offline verfügbaren oder unveränderlichen Medien gespeichert sind, um sie vor Ransomware-Verschlüsselung zu schützen.
• Schränken Sie den Netzwerkzugriff ein: Reduzieren Sie die Exposition, indem Sie ungenutzte Dienste deaktivieren und sicherstellen, dass nur notwendige Ports für das Internet geöffnet sind.
• Überwachen Sie auf Anomalien: Achten Sie auf ungewöhnliche Dateiendungen oder unerwartete Lösegeldnotizen in Ihren Speicher directories als frühe Indikatoren für eine Kompromittierung.