KIungefiltert

· 4 Min. Lesezeit · Read in English

Synology warnt: C3RB3R-Ransomware verschlüsselt veraltete NAS

Angreifer verschlüsseln Synology-NAS mit veraltetem DSM per C3RB3R-Ransomware. Synology nennt eine Lücke von 2024, 360 zwei von September 2026. Gepatcht ist beides. Was jetzt zu tun ist.

SicherheitSelfhosting

Synology warnt nur selten öffentlich vor Angriffen. Die letzte Warnung dieser Art kam 2019, nach Brute-Force-Angriffen mit der Ransomware eCh0raix. Am 29. Oktober 2026 hat der Hersteller wieder eine Warnung veröffentlicht: Angreifer nutzen auf NAS-Geräten mit veraltetem DiskStation Manager (DSM, das Betriebssystem der Synology-NAS) eine Sicherheitslücke aus, verschlüsseln die Daten und fordern Lösegeld. BleepingComputer und heise Security haben darüber berichtet.

Was sich seit meinem Post geändert hat

Auf X und im WhatsApp-Kanal hatte ich geschrieben, dass die Meldungen weder betroffene Versionen noch eine CVE-Nummer nennen. Das stimmt so nicht mehr. Es gibt inzwischen zwei Erklärungen, und sie passen nicht ganz zusammen:

  • Synology sagt nicht ausdrücklich, welche Lücke ausgenutzt wird. Der Hersteller schreibt nur, sie sei im Dezember 2024 geschlossen worden, und verweist auf die Sicherheitsmeldung Synology-SA-24:20. Diese Meldung betrifft Lücken, die bei Pwn2Own 2024 vorgeführt wurden, darunter CVE-2024-10441. Das ist eine Remote-Code-Ausführung mit dem CVSS-Wert 9,8 von 10. Remote-Code-Ausführung heißt, dass ein Angreifer über das Netz eigenen Code auf dem Gerät starten kann.
  • Das chinesische Sicherheitsunternehmen 360 hat betroffene Geräte untersucht und führt die Angriffe laut Gridinsoft auf CVE-2026-13639 und CVE-2026-13684 zurück. Beide Lücken sind ebenfalls mit 9,8 bewertet und stehen in Synology-SA-26:13 vom 18. September 2026. Über sie können Angreifer ohne Anmeldung beliebige Dateien lesen und schreiben.

Welche Erklärung zutrifft, lässt sich von außen nicht entscheiden. Vielleicht stimmen auch beide, wenn verschiedene Angreifer verschiedene Lücken nutzen. Für die Praxis spielt das kaum eine Rolle, denn für beide gibt es Updates. Wer nur den Patch von 2024 eingespielt hat, ist nach der Analyse von 360 aber nicht automatisch sicher.

Wie der Angriff aussieht

Laut BleepingComputer tauchten die ersten Berichte von Opfern in Foren und auf Reddit mehr als zwei Wochen vor Synologys Warnung auf. Verschlüsselte Dateien bekommen die Endung .L0CK3D, und in den Ordnern liegt eine Lösegeldforderung namens read-me3.txt. Darin behaupten die Täter, dass Wiederherstellungssoftware die Dateien zerstört und nur ihr eigener „C3rb3r Decryptor“ hilft. Der kostet über ein Darknet-Portal mehrere Tausend Dollar. Als Beweis bieten sie an, eine Datei kostenlos zu entschlüsseln. Ein kostenloses Entschlüsselungsprogramm gibt es bisher nicht.

Der Name ist von Cerber übernommen, einer Ransomware, die ab 2016 als Dienst vermietet wurde. C3RB3R selbst gibt es seit Ende 2021. Bisher hat sie vor allem Confluence- und GitLab-Server angegriffen.

Wer betroffen ist

Betroffen sind alle Synology-NAS mit einem DSM-Stand, der eine der genannten Lücken noch enthält. Besonders gefährdet sind Geräte, deren Weboberfläche aus dem Internet erreichbar ist. Shadowserver zählt laut BleepingComputer mehr als 380.000 Synology-NAS, die offen im Netz stehen. Wie viele davon gepatcht sind, ist nicht bekannt.

Die Mindestversionen aus den beiden Sicherheitsmeldungen:

DSM Fix aus SA-24:20 Fix aus SA-26:13
7.4 – 7.4-90075
7.3 – 7.3.2-86009-4
7.2.2 7.2.2-72806-1 7.2.2-72806-9
7.2.1 7.2.1-69057-6 7.2.1-69057-12

Ältere Zweige wie 7.1 und 6.2 sind nur in SA-24:20 aufgeführt. Wer noch darauf läuft, sollte auf einen unterstützten Zweig wechseln, wenn das Modell es erlaubt.

Was du jetzt tun solltest

  1. DSM sofort aktualisieren, und zwar auf die neueste verfügbare Version, nicht nur auf den Patch von 2024. Danach automatische Updates einschalten, wie Synology rät.
  2. Die Verwaltungsoberfläche nicht ins Internet stellen. Fernzugriff besser über VPN, also einen verschlüsselten Tunnel ins eigene Netz, statt über eine Portfreigabe im Router.
  3. Backups getrennt vom NAS aufbewahren, offline oder auf einem System, auf das das NAS nicht schreiben kann. Snapshots auf demselben Gerät helfen nicht, wenn der Angreifer das ganze Gerät kontrolliert.
  4. Bei einem Befall nicht vorschnell zahlen. Das Gerät vom Netz trennen und die Lösegeldforderung samt Beispieldateien sichern. Dann den Synology-Support und gegebenenfalls einen Incident-Response-Dienstleister einschalten.

Meine Einordnung: Das Update ist Pflicht, aber nicht der Kern des Problems. Die Lücken von 2024 sind seit fast zwei Jahren geschlossen und werden trotzdem ausgenutzt. Ein NAS, das offen im Internet steht und nie aktualisiert wird, ist bei jeder neuen Lücke wieder angreifbar. Am meisten schützt es, das Gerät gar nicht erst aus dem Internet erreichbar zu machen.

Quellen