Synology insta a actualizar DSM tras explotar C3RB3R ransomware fallos antiguos

Synology está instando a sus clientes a actualizar el software DiskStation Manager (DSM) en sus dispositivos de almacenamiento conectado en red (NAS) tras una oleada de ataques de ransomware. El proveedor taiwanés confirmó que los actores de amenazas están explotando activamente una vulnerabilidad que fue parcheada en diciembre de 2024 para atacar dispositivos que ejecutan versiones obsoletas del sistema operativo.

Qué ha ocurrido

Los ataques tienen como objetivo cifrar los datos del usuario y extorsionar mediante pagos de rescate, según un comunicado emitido por Synology la semana pasada. Aunque la empresa no reveló la falla de seguridad exacta que se explota en estos incidentes recientes específicos, hizo referencia a un aviso de seguridad de noviembre de 2024 que listaba tres vulnerabilidades críticas. Estos fallos van desde riesgos de ejecución remota de código hasta validación incorrecta de certificados, todos los cuales podrían permitir a los atacantes obtener acceso no autorizado o modificar archivos en el dispositivo.

Los informes de clientes afectados indican que sus dispositivos Synology han sido comprometidos por el ransomware C3RB3R. Este malware bloquea los archivos de los usuarios añadiendo una extensión ".L0CK3D" y deja una nota de rescate llamada "read-me3.txt" en cada directorio cifrado. El centro de seguridad de Internet de Qihoo 360, proveedor chino de seguridad, analizó el malware y señaló que C3RB3R tiene un largo historial de ataque a dispositivos NAS. El grupo ha explotado previamente otras vulnerabilidades de DSM que fueron abordadas por Synology en septiembre de 2026, demostrando un enfoque persistente en sistemas de almacenamiento sin parchear.

Para mitigar el riesgo, Synology ha especificado las versiones mínimas de DSM requeridas para garantizar la seguridad en sus ramas compatibles. Los usuarios que ejecutan DSM 7.2.2 deben actualizar a la versión 7.2.2-72806-1 o superior, mientras que aquellos en DSM 7.2.1 necesitan la versión 7.2.1-69057-6 o más reciente. Las ramas anteriores también tienen objetivos específicos: DSM 7.2 requiere la 7.2-64570-4, DSM 7.1 necesita la 7.1.1-42962-7, y los usuarios de DSM 6.2 deben instalar la 6.2.4-25556-8 o posterior. La compañía recomienda encarecidamente habilitar las actualizaciones automáticas para asegurar que los sistemas permanezcan protegidos contra futuras amenazas.

Detalles clave

• Explotación activa: Los atacantes están utilizando una vulnerabilidad parcheada en diciembre de 2024 para comprometer dispositivos NAS Synology no actualizados.
• Identidad del malware: El ransomware involucrado se identifica como C3RB3R, que añade ".L0CK3D" a los archivos cifrados.
• Tácticas de evasión: C3RB3R omite 27 directorios y extensiones de archivo específicas como BAT, DLL y EXE para evitar colapsar el sistema durante el cifrado.
• Contexto histórico: Qihoo 360 señala que C3RB3R explotó previamente dos vulnerabilidades de DSM de alta severidad parcheadas en septiembre de 2026.
• Actualizaciones necesarias: Synology lista números de compilación específicos para DSM 6.2 hasta 7.2.2 que resuelven los problemas de seguridad conocidos.
• Consejo del proveedor: Synology insta a realizar actualizaciones manuales inmediatas para las versiones vulnerables y recomienda habilitar las actualizaciones automáticas para una protección continua.

Antecedentes

Los dispositivos de almacenamiento conectado en red (NAS) son populares entre pequeñas empresas y entusiastas de los homelabs para almacenar grandes cantidades de datos localmente. Sin embargo, debido a que a menudo están conectados a internet para permitir el acceso remoto, se convierten en objetivos atractivos para los ciberdelincuentes. DiskStation Manager (DSM) es el sistema operativo que funciona en los dispositivos NAS de Synology, gestionando todo, desde la administración de archivos hasta los permisos de usuario. Cuando se descubren vulnerabilidades en DSM, estas pueden permitir a los atacantes ejecutar código remotamente o saltarse la autenticación, dándoles efectivamente control sobre los datos almacenados.

Grupos de ransomware como C3RB3R apuntan específicamente a estos dispositivos porque a menudo contienen registros empresariales críticos o archivos personales que las víctimas están dispuestas a pagar para recuperar. Al omitir archivos del sistema y ciertos formatos ejecutables, el malware asegura que el NAS permanezca lo suficientemente operativo para mostrar la nota de rescate, aumentando la presión sobre la víctima para que pague. Esta táctica contrasta con el malware destructivo que podría inutilizar completamente el dispositivo, ya que el objetivo principal de los atacantes es la extorsión financiera en lugar de una simple interrupción.

Por qué importa

Para los equipos que ejecutan su propio software y gestionan su propia infraestructura, este incidente destaca la importancia crítica de la gestión de parches para los sistemas periféricos. Es común que los líderes de TI se centren intensamente en asegurar servidores de aplicaciones y bases de datos mientras descuidan los electrodomésticos de almacenamiento subyacentes. Un NAS comprometido puede llevar a la pérdida total de datos, interrumpiendo las operaciones mucho más gravemente que una caída temporal de la aplicación. Dado que muchas pequeñas y medianas empresas dependen de soluciones autoalojadas por eficiencia de costos, la carga del mantenimiento de seguridad recae completamente en sus equipos internos.

Además, el uso de vulnerabilidades antiguas y parcheadas sugiere que muchos dispositivos no se están actualizando regularmente. Este retraso crea una ventana de oportunidad para los atacantes que escanean internet buscando puntos débiles conocidos. Para los ingenieros de DevOps y administradores de sistemas, esto sirve como recordatorio de que la seguridad no es una configuración única, sino un proceso continuo. No aplicar actualizaciones de firmware puede hacer ineficaces incluso defensas de red robustas si la capa de almacenamiento en sí misma está comprometida.

Qué puedes hacer

• Verifica tu versión de DSM: Inicia sesión en tu NAS Synology y verifica el número de compilación actual contra las versiones seguras listadas en el aviso.
• Aplica las actualizaciones inmediatamente: Si tu versión está por debajo del umbral recomendado, descarga e instala la última actualización de DSM sin demora.
• Habilita las actualizaciones automáticas: Configura tu NAS para buscar e instalar parches de seguridad automáticamente para prevenir futuros descuidos.
• Audita la integridad de tus copias de seguridad: Asegúrate de que tus backups estén almacenados en medios separados, offline o inmutables para protegerlos contra el cifrado de ransomware.
• Restringe el acceso de red: Limita la exposición deshabilitando servicios no utilizados y asegurando que solo los puertos necesarios estén abiertos a internet.
• Monitorea anomalías: Vigila extensiones de archivo inusuales o notas de rescate inesperadas en tus directorios de almacenamiento como indicadores tempranos de compromiso.