„Synology hat Bedrohungsakteure identifiziert, die eine im Dezember 2024 gepatchte Schwachstelle ausnutzen, um Geräte mit veralteten DSM-Versionen anzugreifen. Diese Angriffe zielen darauf ab, Daten zu verschlüsseln und Lösegeld zu erpressen", heißt es in dem am Donnerstag veröffentlichten Hinweis. Das Unternehmen fordert alle Nutzer verwundbarer Versionen dringend zum sofortigen Update auf und empfiehlt, automatische Aktualisierungen zu aktivieren, damit DSM dauerhaft aktuell bleibt. Zusätzlich sollten Anwender den Zugriff auf die Weboberfläche zur Verwaltung aus dem Internet sofort sperren.

Welche Schwachstelle konkret ausgenutzt wird, hat Synology bislang nicht mitgeteilt. Der Hinweis verlinkt jedoch auf eine Sicherheitsmitteilung vom November 2024 zu Patches für Lücken, die Angreifern auf ungepatchten Geräten das Ausführen beliebigen Codes (CVE-2024-10441), das Lesen von Dateien (CVE-2024-50629) und das Schreiben von Dateien (CVE-2024-10445) erlauben.

Eine Stellungnahme eines Synology-Sprechers zu den C3RB3R-Angriffen lag zunächst nicht vor.

Warnungen dieser Art sind bei Synology selten: Die letzte vergleichbare Meldung stammt aus dem August 2019, nachdem großangelegte Brute-Force-Angriffe zu Infektionen mit der Ransomware eCh0raix geführt hatten.

Dem aktuellen Hinweis war eine Vielzahl von Meldungen betroffener Synology-Kunden vorausgegangen, deren Daten verschlüsselt wurden und die aufgefordert wurden, über ein Darknet-Portal ein Werkzeug namens „C3rb3r Decryptor" für mehrere tausend Dollar zu kaufen. Die ersten Berichte tauchten vor mehr als zwei Wochen auf. Betroffene berichteten, die Schadsoftware hinterlasse eine Erpressernachricht in der Datei read-me3.txt und hänge verschlüsselten Dateien die Endung .L0CK3D an.

In der Lösegeldforderung heißt es: „Alle Ihre wichtigen Dateien wurden verschlüsselt. Jeder Versuch, Ihre Dateien mit Software von Drittanbietern wiederherzustellen, wird für Ihre Dateien fatal sein! Der einzige Weg, Ihre Dateien sicher zu entschlüsseln, ist der Kauf der speziellen Entschlüsselungssoftware ‚C3rb3r Decryptor’." Auf der verlinkten Seite erhielten Opfer vollständige Anweisungen zum Kauf der Software und könnten zudem eine beliebige Datei kostenlos wiederherstellen lassen, um sich von der Funktionsfähigkeit zu überzeugen.

Die nun gegen Synology-NAS-Geräte eingesetzte Ransomware Cerber – auch bekannt als C3RB3R und CerberImposter – hat ihren Namen von einer berüchtigten Ransomware-as-a-Service-Operation gleichen Namens übernommen, die 2016 auftauchte. Vor ihrem Verschwinden Ende 2019 entfielen auf die alte Cerber-Operation mehr als 80 Prozent aller Ransomware-Angriffe und ein Viertel aller Ransomware-Infektionen auf Unternehmens-Endpunkten.

Seit Dezember 2021, als sie erstmals beobachtet wurde, kam die neue C3RB3R-Variante auch auf Servern von Atlassian Confluence und GitLab zum Einsatz. Mehrere Angriffswellen nutzten dabei Lücken zur Codeausführung aus der Ferne (CVE-2021-26084 und CVE-2021-22205) sowie eine Authentifizierungsumgehung (CVE-2023-22518).

Der Internet-Beobachtungsdienst Shadowserver erfasst derzeit mehr als 380.000 aus dem Internet erreichbare Synology-NAS-Geräte. Angaben dazu, wie viele davon bereits gegen diese Angriffe abgesichert sind oder es sich um Honeypots handelt, liegen nicht vor.