Synology kêu gọi cập nhật DSM sau khi ransomware C3RB3R khai thác các lỗ hổng cũ

Synology đang thúc giục khách hàng cập nhật phần mềm DiskStation Manager (DSM) trên các thiết bị lưu trữ kết nối mạng (NAS) của họ sau một loạt các cuộc tấn công bằng ransomware. Nhà cung cấp đến từ Đài Loan xác nhận rằng các nhóm đe dọa đang tích cực khai thác một lỗ hổng đã được vá vào tháng 12 năm 2024 để nhắm mục tiêu vào các thiết bị chạy phiên bản hệ điều hành cũ.

Chuyện gì đã xảy ra

Theo tuyên bố do Synology đưa ra tuần trước, các cuộc tấn công nhằm mã hóa dữ liệu người dùng và tống tiền. Mặc dù công ty không tiết lộ chính xác lỗ hổng bảo mật nào đang bị khai thác trong các sự cố gần đây cụ thể này, nhưng họ đã liên kết đến một thông báo an ninh từ tháng 11 năm 2024 liệt kê ba lỗ hổng nghiêm trọng. Những lỗ hổng này dao động từ rủi ro thực thi mã từ xa đến việc xác thực chứng chỉ không đúng cách, tất cả đều có thể cho phép kẻ tấn công truy cập trái phép hoặc sửa đổi tệp trên thiết bị.

Các báo cáo từ những khách hàng bị ảnh hưởng cho thấy thiết bị Synology của họ đã bị xâm nhập bởi ransomware C3RB3R. Phần mềm độc hại này khóa các tệp của người dùng bằng cách thêm đuôi ".L0CK3D" và thả một ghi chú đòi tiền chuộc tên là "read-me3.txt" trong mỗi thư mục đã bị mã hóa. Trung tâm An ninh Internet Qihoo 360, một nhà cung cấp bảo mật Trung Quốc, đã phân tích phần mềm độc hại và lưu ý rằng C3RB3R có lịch sử lâu dài trong việc nhắm mục tiêu vào các thiết bị NAS. Nhóm này trước đây đã khai thác các lỗ hổng DSM khác mà Synology đã khắc phục vào tháng 9 năm 2026, cho thấy sự tập trung dai dẳng vào các hệ thống lưu trữ chưa được vá lỗi.

Để giảm thiểu rủi ro, Synology đã chỉ định các phiên bản DSM tối thiểu cần thiết để đảm bảo an toàn trên các nhánh hỗ trợ của mình. Người dùng chạy DSM 7.2.2 phải nâng cấp lên phiên bản 7.2.2-72806-1 trở lên, trong khi những người dùng trên DSM 7.2.1 cần phiên bản 7.2.1-69057-6 trở lên. Các nhánh cũ hơn cũng có các mục tiêu cụ thể: DSM 7.2 yêu cầu 7.2-64570-4, DSM 7.1 cần 7.1.1-42962-7, và người dùng DSM 6.2 phải cài đặt 6.2.4-25556-8 trở lên. Công ty đặc biệt khuyến nghị bật tính năng cập nhật tự động để đảm bảo hệ thống vẫn được bảo vệ trước các mối đe dọa trong tương lai.

Chi tiết chính

• Khai thác chủ động: Kẻ tấn công đang sử dụng một lỗ hổng đã được vá vào tháng 12 năm 2024 để xâm nhập các thiết bị Synology NAS chưa được cập nhật.
• Danh tính phần mềm độc hại: Ransomware liên quan được xác định là C3RB3R, thêm đuôi ".L0CK3D" vào các tệp đã mã hóa.
• Chiến thuật lẩn tránh: C3RB3R bỏ qua 27 thư mục và các phần mở rộng tệp cụ thể như BAT, DLL và EXE để tránh làm sập hệ thống trong quá trình mã hóa.
• Bối cảnh lịch sử: Qihoo 360 lưu ý rằng C3RB3R trước đây đã khai thác hai lỗ hổng DSM mức độ nghiêm trọng cao được vá vào tháng 9 năm 2026.
• Yêu cầu cập nhật: Synology liệt kê các số build cụ thể cho DSM 6.2 đến 7.2.2 giúp giải quyết các vấn đề bảo mật đã biết.
• Lời khuyên từ nhà cung cấp: Synology thúc giục cập nhật thủ công ngay lập tức đối với các phiên bản dễ bị tổn thương và khuyến nghị bật cập nhật tự động để bảo vệ liên tục.

Bối cảnh chung

Thiết bị Lưu trữ Kết nối Mạng (NAS) rất phổ biến trong các doanh nghiệp nhỏ và những người đam mê homelab để lưu trữ lượng lớn dữ liệu cục bộ. Tuy nhiên, vì chúng thường được kết nối với internet để truy cập từ xa, chúng trở thành mục tiêu hấp dẫn cho tội phạm mạng. DiskStation Manager (DSM) là hệ điều hành chạy trên các thiết bị NAS của Synology, xử lý mọi thứ từ quản lý tệp đến quyền hạn người dùng. Khi các lỗ hổng được phát hiện trong DSM, chúng có thể cho phép kẻ tấn công thực thi mã từ xa hoặc vượt qua xác thực, về cơ bản trao cho chúng quyền kiểm soát dữ liệu được lưu trữ.

Các nhóm ransomware như C3RB3R đặc biệt nhắm mục tiêu vào các thiết bị này vì chúng thường chứa các hồ sơ kinh doanh quan trọng hoặc kho lưu trữ cá nhân mà nạn nhân sẵn sàng trả tiền để khôi phục. Bằng cách bỏ qua các tệp hệ thống và một số định dạng thực thi nhất định, phần mềm độc hại đảm bảo NAS vẫn hoạt động đủ để hiển thị ghi chú đòi tiền chuộc, tăng áp lực buộc nạn nhân phải trả tiền. Chiến thuật này tương phản với phần mềm độc hại phá hủy có thể làm hỏng hoàn toàn thiết bị, vì mục tiêu chính của kẻ tấn công là tống tiền tài chính chứ không đơn thuần là gây gián đoạn.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm riêng và quản lý hạ tầng riêng, sự cố này nhấn mạnh tầm quan trọng then chốt của việc quản lý bản vá cho các hệ thống ngoại vi. Phổ biến là các trưởng nhóm IT tập trung nhiều vào việc bảo mật máy chủ ứng dụng và cơ sở dữ liệu trong khi bỏ quên các thiết bị lưu trữ nền tảng. Một NAS bị xâm nhập có thể dẫn đến mất toàn bộ dữ liệu, gây gián đoạn hoạt động nghiêm trọng hơn nhiều so với sự cố ngừng hoạt động tạm thời của ứng dụng. Vì nhiều công ty vừa và nhỏ dựa vào các giải pháp tự lưu trữ (self-hosted) để tiết kiệm chi phí, gánh nặng duy trì bảo mật hoàn toàn thuộc về các đội ngũ nội bộ của họ.

Hơn nữa, việc sử dụng các lỗ hổng cũ đã được vá cho thấy nhiều thiết bị không được cập nhật thường xuyên. Sự chậm trễ này tạo ra cửa sổ cơ hội cho những kẻ tấn công quét internet tìm kiếm các điểm yếu đã biết. Đối với các kỹ sư DevOps và quản trị viên hệ thống, đây là lời nhắc nhở rằng bảo mật không phải là cấu hình một lần mà là một quy trình liên tục. Việc không áp dụng các bản cập nhật firmware có thể khiến ngay cả những phòng thủ mạng vững chắc trở nên vô hiệu nếu chính lớp lưu trữ bị xâm nhập.

Bạn có thể làm gì

• Kiểm tra phiên bản DSM của bạn: Đăng nhập vào NAS Synology của bạn và xác minh số build hiện tại so với các phiên bản an toàn được liệt kê trong thông báo.
• Áp dụng cập nhật ngay lập tức: Nếu phiên bản của bạn thấp hơn ngưỡng khuyến nghị, hãy tải xuống và cài đặt bản cập nhật DSM mới nhất mà không trì hoãn.
• Bật cập nhật tự động: Cấu hình NAS của bạn để tự động kiểm tra và cài đặt các bản vá bảo mật nhằm ngăn ngừa các sơ suất trong tương lai.
• Kiểm toán tính toàn vẹn của bản sao lưu: Đảm bảo các bản sao lưu của bạn được lưu trữ trên phương tiện riêng biệt, ngoại tuyến hoặc bất biến để bảo vệ chống lại mã hóa ransomware.
• Hạn chế truy cập mạng: Giảm thiểu khả năng tiếp xúc bằng cách tắt các dịch vụ không sử dụng và đảm bảo chỉ các cổng cần thiết mới được mở ra internet.
• Giám sát các bất thường: Theo dõi các phần mở rộng tệp bất thường hoặc ghi chú đòi tiền chuộc không mong muốn trong các thư mục lưu trữ của bạn như những dấu hiệu sớm của sự xâm nhập.