C3RB3R шифрует данные на устройствах Synology NAS

С конца октября 2026 года кампания по распространению шифровальщика нацелена на устройства Synology NAS в Южной Корее и других регионах. Вредоносное ПО C3RB3R, которое описывают как вариант семейства шифровальщиков Cerber, шифрует файлы на затронутых устройствах, меняет их расширение на .L0CK3D и сохраняет в каждой директории требование о выкупе read-me3.txt. Жертвам предлагают заплатить за восстановление доступа к данным.

По данным анализа, C3RB3R сочетает ChaCha8 для шифрования файлов и RSA-2048 для защиты ключей шифрования. Зашифрованные файлы, по имеющимся сведениям, сейчас нельзя восстановить без закрытого ключа злоумышленников.

Кампания, по всей видимости, особенно актуальна для устройств, интерфейсы управления DSM которых напрямую доступны из интернета. Это может повышать риск несанкционированного доступа и компрометации. Администраторам устройств Synology рекомендуется немедленно проверить версию DSM и установить соответствующие обновления безопасности, если используется более старая версия.

Порты управления DSM, доступные из интернета, в том числе порты по умолчанию 5000 и 5001, следует исключить из правил перенаправления портов на маршрутизаторе. Удалённое администрирование рекомендуется проводить через VPN. Также администраторам следует обновить установленные пакеты, включая PHP, Synology Calendar и Mail Station, удалить неиспользуемые пакеты и контейнеры и отозвать ненужные общие ссылки.

Для повышения шансов на восстановление данных организациям рекомендуется настроить неизменяемые снимки (snapshots) общих папок и хранить как минимум одну офлайн-резервную копию, изолированную от NAS.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.