O ransomware Synology voltou ao centro das preocupações de segurança após a fabricante alertar sobre uma onda de ataques direcionados a dispositivos NAS que executam versões desatualizadas do DiskStation Manager (DSM). A campanha envolve o ransomware C3RB3R, que criptografa arquivos armazenados nos equipamentos e utiliza a extensão .L0CK3D para identificar os dados sequestrados.
O alerta exige atenção de administradores de sistemas, pequenas empresas e usuários domésticos que utilizam equipamentos Synology para armazenar documentos, fotografias, backups e informações corporativas. A fabricante identificou invasões que exploram uma vulnerabilidade corrigida anteriormente, mas ainda presente em dispositivos que não receberam as atualizações necessárias.
Entre os problemas de segurança associados ao alerta está a CVE-2024-10441, uma falha crítica com pontuação CVSS 9.8, relacionada ao mecanismo System Plugin Daemon. Entretanto, existe uma distinção importante: a Synology ainda não confirmou publicamente que essa vulnerabilidade específica seja o vetor utilizado em todos os ataques recentes do C3RB3R. A recomendação é atualizar o DSM imediatamente, restringir o acesso externo e verificar possíveis sinais de comprometimento.
Como funciona o ataque do ransomware C3RB3R contra o Synology NAS
O C3RB3R é o ransomware identificado na atual campanha direcionada aos dispositivos de armazenamento conectado à rede da Synology. Seu comportamento envolve a criptografia dos arquivos disponíveis no equipamento, impedindo que os proprietários acessem normalmente os próprios dados.
Um dos indicadores observáveis da infecção é a extensão .L0CK3D, adicionada aos arquivos comprometidos. Esse detalhe ajuda administradores a identificar possíveis incidentes, embora a ausência dessa extensão não seja suficiente para garantir que o equipamento esteja seguro.
O problema é particularmente preocupante porque os dispositivos NAS frequentemente concentram grandes volumes de informações. Em pequenas empresas, podem armazenar documentos financeiros, projetos, contratos, bancos de dados e cópias de segurança de estações de trabalho.
Quando um invasor consegue comprometer esse ambiente, o impacto pode ultrapassar a simples indisponibilidade dos arquivos. Dependendo das permissões e dos recursos acessíveis ao invasor, outros sistemas conectados também podem ficar expostos.
CVE-2024-10441: vulnerabilidade crítica no System Plugin Daemon
A CVE-2024-10441 possui classificação CVSS 9.8, considerada crítica, e afeta o System Plugin Daemon presente em versões vulneráveis do software da Synology.
A falha está relacionada ao tratamento inadequado de codificação ou escape de saídas, uma condição que pode permitir que um invasor remoto execute código arbitrário no dispositivo afetado.
O cenário é especialmente perigoso porque a vulnerabilidade apresenta características que reduzem as barreiras necessárias para uma exploração bem-sucedida:
- Vetor de ataque pela rede: não exige necessariamente acesso físico ao equipamento.
- Baixa complexidade: a exploração não depende de condições técnicas particularmente complexas.
- Ausência de privilégios prévios: o cenário CVSS considera que o invasor não precisa estar autenticado.
- Sem interação do usuário: a vítima não precisa executar manualmente uma ação para que a exploração seja possível.
- Impacto elevado: a execução de código pode comprometer a confidencialidade, a integridade e a disponibilidade do sistema.
A vulnerabilidade foi divulgada no contexto dos problemas identificados durante a competição Pwn2Own 2024. A Synology publicou correções para diferentes ramificações do DSM em seu boletim de segurança.
É importante não confundir a existência dessa falha com a confirmação do vetor da campanha atual. A fabricante relacionou os ataques recentes a uma vulnerabilidade corrigida em dezembro de 2024, mas não identificou publicamente qual CVE está sendo explorada. Portanto, a CVE-2024-10441 é uma ameaça relevante para dispositivos desatualizados, mas sua participação específica nos incidentes do C3RB3R permanece sem confirmação pública.
Histórico de ataques contra dispositivos NAS
Os ataques contra equipamentos de armazenamento conectado à rede não são novidade. Dispositivos NAS se tornaram alvos interessantes para criminosos porque concentram informações valiosas e permanecem frequentemente ligados à rede durante longos períodos.
Entre as ameaças anteriores está o eCh0raix, também conhecido como QNAPCrypt, que atingiu dispositivos de armazenamento da QNAP e da Synology. A ameaça ficou conhecida por criptografar arquivos e exigir pagamento para tentar viabilizar a recuperação dos dados.
Outro exemplo é o StealthWorker, uma operação maliciosa associada a ataques contra dispositivos NAS e servidores, utilizando técnicas automatizadas para comprometer equipamentos e ampliar o alcance das invasões.
Esses episódios demonstram um padrão recorrente: equipamentos de armazenamento frequentemente são negligenciados na rotina de atualização, mesmo quando possuem acesso a informações essenciais de uma organização.
O ransomware Synology representa uma evolução preocupante desse cenário, especialmente quando dispositivos vulneráveis permanecem acessíveis pela internet.
Versões corrigidas do DSM e atualizações obrigatórias
A Synology publicou correções para as vulnerabilidades identificadas no boletim Synology-SA-24:20, disponibilizando atualizações para diferentes versões do DiskStation Manager.
Para a CVE-2024-10441, os números mínimos de compilação corrigidos são os seguintes:
Essas versões representam o patamar mínimo de correção para a vulnerabilidade de 2024. Não significam que sejam as versões mais seguras disponíveis atualmente.
Atenção às atualizações de segurança de 2026
Existe um detalhe adicional que os administradores precisam considerar. Em 18 de setembro de 2026, a Synology publicou outro boletim crítico, identificado como Synology-SA-26:13, envolvendo novas vulnerabilidades no DSM.
Entre elas estão:
- CVE-2026-13684: falha no componente SCGI que pode permitir leitura ou gravação arbitrária de arquivos e ataques de negação de serviço. CVSS 9.8.
- CVE-2026-13639: vulnerabilidade relacionada à insuficiência de entropia na lógica de autenticação, com possibilidade de leitura ou gravação arbitrária de arquivos e negação de serviço. CVSS 9.8.
As versões corrigidas indicadas nesse boletim são:
Atenção Para as ramificações contempladas pelo boletim de setembro, essas compilações mais recentes devem ser consideradas como referência de segurança, e não os números antigos da correção de 2024.
A Synology também publicou atualizações para versões antigas do DSM em resposta a outras vulnerabilidades, incluindo correções para determinadas instalações em fim de vida útil. Administradores que utilizam DSM 7.2, 7.1 ou 6.2 devem verificar a disponibilidade de atualizações específicas para seus equipamentos e não presumir que a aplicação do antigo patch seja suficiente.
Como atualizar manualmente:
- Acesse o painel de administração do Synology NAS.
- Abra Painel de Controle e entre na seção Atualização e restauração.
- Verifique a versão e o número completo da compilação instalada.
- Procure atualizações disponíveis para o modelo do equipamento.
- Caso a atualização automática não tenha sido disponibilizada, consulte o Centro de Download da Synology e obtenha o pacote compatível com o modelo e a versão instalada.
- Siga o procedimento oficial de instalação manual e confirme a versão após a reinicialização.
Não instale pacotes destinados a modelos diferentes. Antes de qualquer atualização importante, verifique a integridade dos backups e planeje uma janela de manutenção, especialmente em ambientes corporativos.
Medidas complementares de proteção para Synology NAS
Atualizar o DSM é a providência mais importante, mas não deve ser a única medida adotada. Um equipamento NAS precisa ser protegido como qualquer outro servidor que armazena informações críticas.
O ransomware Synology evidencia como a combinação de software desatualizado, serviços expostos e permissões excessivas pode transformar um dispositivo de armazenamento em um ponto de entrada para ataques.
1. Remova a exposição desnecessária à internet
Evite disponibilizar diretamente na internet a interface administrativa do DSM.
As portas tradicionalmente utilizadas para administração, como 5000 (HTTP) e 5001 (HTTPS), não devem ficar abertas indiscriminadamente no roteador ou firewall.
Quando o acesso remoto for necessário, prefira uma VPN, com autenticação forte e restrições de acesso por endereço IP. Serviços como QuickConnect também devem ser configurados com cuidado, respeitando as recomendações de segurança do fabricante.
Desativar o redirecionamento de portas que não são necessários reduz significativamente a superfície de ataque.
2. Ative a autenticação multifator
Configure autenticação multifator (MFA) para todas as contas administrativas e, sempre que possível, para os demais usuários.
Desative contas padrão que não sejam necessárias, elimine usuários antigos e utilize senhas exclusivas e resistentes a tentativas automatizadas.
Também é recomendável revisar os registros de autenticação para identificar acessos em horários incomuns, tentativas repetidas de login e conexões provenientes de localidades inesperadas.
3. Revise permissões e privilégios
Aplique o princípio do menor privilégio. Cada usuário deve acessar somente os diretórios e serviços necessários para suas atividades.
Evite utilizar uma conta administrativa para tarefas cotidianas. Separe as contas de administração das contas utilizadas para acessar arquivos compartilhados.
Também revise as permissões de aplicativos, serviços de terceiros e pastas compartilhadas. Uma conta comprometida com privilégios excessivos pode ampliar consideravelmente o impacto de um ataque.
4. Mantenha backups isolados
Uma das medidas mais importantes contra ransomware é manter cópias de segurança independentes do dispositivo principal.
A estratégia 3-2-1 continua sendo uma boa referência:
- Mantenha pelo menos três cópias dos dados.
- Utilize dois tipos diferentes de mídia ou armazenamento.
- Guarde uma cópia fora do ambiente principal.
Sempre que possível, mantenha backups offline, imutáveis ou protegidos contra alterações e exclusões realizadas por contas comprometidas.
Os snapshots do sistema de arquivos podem ajudar na recuperação, mas não devem ser considerados uma proteção absoluta. Se o invasor obtiver privilégios suficientes, poderá tentar comprometer também os mecanismos de recuperação.
Realize testes periódicos de restauração para confirmar que os backups realmente podem ser utilizados em uma situação de emergência.
5. Monitore atividades suspeitas
Utilize os recursos de monitoramento do DSM para acompanhar alterações nos arquivos, autenticações, atividades administrativas e comportamento dos serviços.
Preste atenção especial a:
- Renomeação repentina de grandes quantidades de arquivos.
- Criação de arquivos desconhecidos, especialmente read-me3.txt.
- Presença da extensão .L0CK3D.
- Acessos administrativos não reconhecidos.
- Alterações inesperadas nas configurações de segurança.
- Aumento incomum da atividade de leitura e gravação.
O Log Center e as notificações do DSM podem ajudar na identificação antecipada de comportamentos anormais.
Impacto do ransomware Synology e cuidados imediatos para administradores
A campanha do C3RB3R demonstra que a segurança de um NAS não pode depender exclusivamente da instalação inicial do equipamento. Mesmo dispositivos adquiridos para armazenar backups podem se transformar em alvos quando permanecem expostos e sem atualizações durante longos períodos.
Para administradores de sistemas, a prioridade deve ser identificar todos os equipamentos Synology presentes na infraestrutura, verificar suas versões do DSM e confirmar se estão protegidos pelas correções aplicáveis.
A atenção também deve alcançar dispositivos utilizados em residências. Fotografias, documentos pessoais, vídeos e cópias de segurança podem representar anos de informações que não serão facilmente recuperadas após uma criptografia maliciosa.
Se houver suspeita de infecção, não tente resolver o problema simplesmente renomeando os arquivos ou reinstalando o DSM. Isole o equipamento da rede, preserve registros e evidências, investigue a extensão do comprometimento e procure assistência especializada. Também é importante trocar credenciais potencialmente comprometidas a partir de um dispositivo confiável.
Não pague o resgate como primeira alternativa. O pagamento não garante a recuperação dos arquivos e tampouco impede novas tentativas de extorsão.
A aplicação das atualizações, o isolamento dos serviços administrativos, a autenticação multifator e a manutenção de backups independentes formam uma camada essencial de proteção contra esse tipo de ameaça.