Synology מזהירה: כופרת C3RB3R מצפינה שרתי NAS שלא עודכנו
Synology פרסמה אזהרה נדירה ללקוחות: תוקפים מנצלים פרצה ישנה במערכת DSM כדי להצפין את הנתונים בשרתי NAS ולדרוש כופר. כך תבדקו שהשרת שלכם מוגן.
TL;DR בקצרה
- Synology מדווחת על מתקפות כופרה נגד שרתי NAS עם גרסאות DSM ישנות, ומבקשת לעדכן מיד
- הקבצים המוצפנים מקבלים סיומת .L0CK3D, ולצדם נשאר מכתב כופר בשם read-me3.txt
- יש מחלוקת על הפרצה שמנוצלת: Synology מצביעה על חולשה מ-2024, וחברת 360 על שתי חולשות שתוקנו בספטמבר
- הצעד הבטוח: עדכון לגרסה האחרונה בענף שלכם, חסימת ממשק הניהול מהאינטרנט וגיבוי מנותק
חברת Synology, שמייצרת שרתי אחסון ביתיים ועסקיים מסוג NAS, פרסמה אזהרה דחופה ללקוחות. לדבריה, תוקפים מנצלים פרצה ישנה במערכת ההפעלה DSM כדי להצפין את הנתונים בשרתים ישנים ולסחוט את בעליהם. ההודעה פורסמה ב-29 באוקטובר, והיום דיווח עליה גם BleepingComputer. החברה מבקשת לעדכן את DSM מיד ולהפעיל עדכונים אוטומטיים.
כך נראית מתקפת הכופרה על שרתי Synology
שם הנוזקה שמאחורי הגל הוא C3RB3R. השם לקוח מ-Cerber, כנופיית סחטנים שפעלה כבר ב-2016. מאז סוף 2021 התוקפים השתמשו בגרסה הזו גם נגד שרתי Confluence ו-GitLab.
במכשירים שנפגעו, כל הקבצים מקבלים את הסיומת .L0CK3D. בתיקיות נשאר מכתב בשם read-me3.txt, שמפנה לאתר ברשת האפלה. שם התוקפים מוכרים כלי פענוח תמורת אלפי דולרים, לפי הדיווחים של הנפגעים.
אזהרה כזו היא צעד נדיר מצד Synology. הפעם הקודמת שבה החברה התריעה כך הייתה באוגוסט 2019, בגל של הנוזקה eCh0raix. לפי Shadowserver, ארגון שסורק את האינטרנט, יש כ-380 אלף שרתי Synology שנגישים ישירות מהרשת. לא ידוע כמה מהם עודכנו.
איזו פרצה ב-Synology התוקפים מנצלים? המקורות חלוקים
בהודעה הרשמית Synology לא ציינה מספר CVE (מזהה רשמי של חולשת אבטחה). היא כתבה רק שמדובר בחולשה שתוקנה בדצמבר 2024. ההודעה מפנה לעדכון האבטחה Synology-SA-24:20. בעדכון הזה החולשה החמורה היא CVE-2024-10441. היא התגלתה בתחרות הפריצות Pwn2Own ב-2024, וקיבלה ציון חומרה של 9.8 מתוך 10. התוקף לא צריך סיסמה כדי להריץ עליה קוד.
לפי אתר האבטחה הצרפתי IT-Connect, חברת האבטחה הסינית 360 מציגה תמונה אחרת. לטענתה, בעלי שרתים החלו לפנות אליה בתחילת אוקטובר. היא מייחסת את הפריצות לשתי חולשות חדשות, CVE-2026-13639 ו-CVE-2026-13684. החברה סגרה אותן ב-18 בספטמבר, בעדכון Synology-SA-26:13. גם הן מדורגות 9.8, וגם הן לא דורשות הזדהות.
המשמעות המעשית פשוטה. גם מי שעדכן את השרת בסוף 2024 עלול להיות חשוף, אם לא התקין את העדכון של ספטמבר 2026. לכן לא מספיק לעבור את הגרסה שמופיעה בהודעה של Synology. צריך להגיע לגרסה האחרונה בענף שלכם.
למה שרת NAS הוא מטרה נוחה
בעסקים קטנים בישראל, שרת Synology משמש לעתים קרובות ככונן המשותף של המשרד. עליו יושבים מסמכים, הנהלת חשבונות, צילומי מצלמות ולפעמים גם את הגיבוי של המחשבים. כשהתוקף מצפין את השרת, העסק מאבד הכול בבת אחת.
הבעיה מתחילה בנוחות. כדי לגשת לקבצים מהבית, רבים פותחים את ממשק הניהול של DSM לאינטרנט. כך השרת חשוף לכל סורק אוטומטי שמחפש גרסאות פגיעות. רבים גם מכבים עדכונים אוטומטיים, כדי שהשרת לא יתאתחל באמצע יום עבודה.
חשוב לזכור: מערך RAID הוא לא גיבוי. הוא מגן מפני כונן שהתקלקל, לא מפני תוקף. אם התוקף מגיע לשרת, הוא מצפין את כל הכוננים יחד.
מה זה אומר עבורכם
- בדקו את גרסת DSM עוד היום. היכנסו ללוח הבקרה, לעדכון ושחזור, ועדכנו לגרסה האחרונה. לפי Synology, הגרסאות המתוקנות האחרונות הן 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ו-7.2.1-69057-12. מי שעדיין על DSM 7.1 או 6.2 צריך לעדכן לפחות לגרסה המתוקנת בענף שלו, ולשקול מעבר לענף חדש.
- הפעילו עדכונים אוטומטיים. זו ההמלצה המפורשת של Synology. אפשר לתזמן אותם לשעות הלילה.
- סגרו את ממשק הניהול מהאינטרנט. בטלו העברת פורטים בנתב אל השרת. לגישה מרחוק השתמשו ב-VPN.
- הקשיחו את ההתחברות. בטלו את חשבון admin המובנה, הפעילו אימות דו-שלבי וחסימה אוטומטית של כתובות IP אחרי ניסיונות כושלים.
- החזיקו גיבוי שהכופרה לא תגיע אליו. הפעילו תמונות מצב (Snapshots) מוגנות מכתיבה, ושמרו עותק אחד מחוץ לרשת, למשל בכונן חיצוני או בענן אחר.
אם התוקפים כבר הצפינו את שרת ה-Synology
נתקו את השרת מהרשת מיד, כדי שההצפנה לא תתפשט לכוננים משותפים אחרים. אל תמחקו את מכתב הכופר ואל תאתחלו את השרת לפני שאתם מתייעצים עם התמיכה של Synology. בישראל אפשר לדווח למערך הסייבר הלאומי במוקד 119. תשלום לתוקפים הוא הימור. אין שום ערובה שתקבלו כלי פענוח שעובד.
מקורות והרחבה
- Synology urges users to update DSM following ransomware attacks on outdated DSM versionsSynology
- Synology warns of C3RB3R ransomware attacks targeting NAS devicesBleepingComputer
- Synology-SA-24:20 DSM (PWN2OWN 2024)Synology
- Synology-SA-26:13 DSMSynology
- C3RB3R ransomware is hitting Synology NAS devices: how to protect yoursIT-Connect
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
