Ransomware C3RB3R sui NAS Synology: verificare DSM e proteggere i dati

Articolo aggiornato al 31 ottobre 2026. La situazione è ancora in evoluzione: lo aggiornerò se Synology pubblica nuove correzioni o dettagli sulla vulnerabilità sfruttata.

In questi giorni stanno arrivando segnalazioni di NAS Synology che, da un giorno all’altro, si ritrovano con documenti, foto, archivi e perfino le cartelle di backup inutilizzabili. I file hanno un’estensione nuova, .L0CK3D (in alcune segnalazioni .LOCK3D), e in ogni cartella compare un file read-me3.txt con le istruzioni per pagare il riscatto tramite un sito Tor.

Il ransomware è stato chiamato C3RB3R dai ricercatori di Qihoo 360, che lo descrivono come una variante della famiglia Cerber e ricevono richieste di aiuto da inizio ottobre. Il 29 ottobre Synology ha inviato agli utenti un avviso: degli attaccanti stanno sfruttando una vulnerabilità corretta a dicembre 2024 per cifrare i dati dei NAS con DSM non aggiornato. Al momento non esiste un decryptor gratuito: chi viene colpito può contare solo su snapshot e backup che l’attaccante non è riuscito a raggiungere.

Chi è coinvolto

Il punto d’ingresso non è ancora chiaro e le fonti non concordano del tutto. Synology rimanda al bollettino Synology-SA-24:20, quello del Pwn2Own 2024, con la CVE-2024-10441 (esecuzione di codice da remoto senza autenticazione, CVSS 9.8). Secondo 360, invece, i campioni analizzati sfruttano le due falle critiche del bollettino Synology-SA-26:13 di settembre, CVE-2026-13639 e CVE-2026-13684, di cui vi avevo già parlato in Synology DSM: vulnerabilità SA-26:13, come aggiornare.

Per chi gestisce i NAS cambia poco: sono a rischio i dispositivi con DSM non aggiornato e raggiungibili da Internet. Le versioni che chiudono entrambi i bollettini sono:

• DSM 7.4: 7.4-90075 o successiva;
• DSM 7.3: 7.3.2-86009-4 o successiva;
• DSM 7.2.2: 7.2.2-72806-9 o successiva;
• DSM 7.2.1: 7.2.1-69057-12 o successiva.

Se avete ancora NAS su DSM 7.2, 7.1 o 6.2, non sono nemmeno nell’elenco di SA-26:13: io li considero da aggiornare subito o da togliere da Internet. Per il passaggio di versione trovate i passi in NAS Synology su DSM 7.2: come passare a DSM 7.3 o 7.4.

Attenzione: un gruppo di ricerca riporta un caso su DSM 7.4.1 e non esclude altre strade, come un pacchetto vulnerabile, un container esposto o credenziali rubate. Aggiornare è indispensabile, ma da solo non basta.

Prima di iniziare

Prima di aggiornare, verificate che l’ultimo backup del NAS sia andato a buon fine ed esportate la configurazione da Pannello di controllo → Aggiorna e ripristina → Backup configurazione. Se il NAS ospita servizi usati di giorno, come cartelle condivise o un gestionale, l’aggiornamento richiede un riavvio: concordate una finestra, ma non rimandate di settimane.

Controllare se il NAS è già stato colpito

Prima ancora di aggiornare, guardate se ci sono segni di cifratura. Se avete SSH attivo, una ricerca sui volumi vi toglie il dubbio in pochi minuti (adattate /volume1 ai vostri volumi):

sudo find /volume1 \( -iname "*.L0CK3D" -o -iname "*.LOCK3D" -o -name "read-me3.txt" \) 2>/dev/null | head -n 20

Se non trova nulla, aprite comunque il Centro registri e cercate accessi da indirizzi sconosciuti o account che non dovrebbero essere attivi, poi lanciate una scansione da Security Advisor.

Se invece trovate file cifrati, fermatevi: staccate il cavo di rete del NAS, non reinstallate DSM e non cancellate nulla. Conservate la nota di riscatto e i log, perché servono per l’analisi e per capire da dove è entrato l’attaccante. Pagare lo sconsiglio, ed è anche l’indicazione di 360.

La procedura per mettere in sicurezza il NAS

1. Aprite Pannello di controllo → Aggiorna e ripristina, verificate la versione di DSM e installate l’ultima disponibile per il vostro modello. Nella stessa schermata impostate l’installazione automatica degli aggiornamenti importanti.
2. Sul router o firewall eliminate i port forwarding verso il NAS, in particolare verso le porte di DSM (5000 e 5001 di default) e verso SSH. Disattivate UPnP. Per l’accesso da fuori usate una VPN.
3. In Pannello di controllo → Sicurezza → Firewall attivate il firewall e consentite l’accesso solo dalle reti interne e dalla VPN, ad esempio 192.168.1.0/24.
4. In Pannello di controllo → Sicurezza → Protezione abilitate il blocco automatico degli IP dopo i tentativi di accesso falliti.
5. In Pannello di controllo → Utente e gruppo disattivate l’account predefinito admin se è ancora attivo, e dalla scheda Avanzate rendete obbligatoria la verifica in due passaggi almeno per gli amministratori.
6. In Package Center → Installati aggiornate tutti i pacchetti e disinstallate quelli che nessuno usa più. Tenete d’occhio PHP, Mail Station e Synology Calendar, toccati anche dalle falle PHP2Shell del bollettino Synology-SA-26:14. Se usate Container Manager, controllate quali container pubblicano porte verso l’esterno.
7. Se SSH non vi serve tutti i giorni, disattivatelo da Pannello di controllo → Terminale e SNMP e riaccendetelo solo quando vi serve.

Per verificare l’esposizione, da una connessione esterna, ad esempio la rete cellulare del telefono, provate a raggiungere l’IP pubblico dell’ufficio sulle porte del NAS: non deve rispondere nulla.

Proteggere i dati, non solo il NAS

Questo attacco cifra anche le cartelle di backup che stanno sullo stesso NAS, quindi è il momento di ricordarlo: il RAID non è un backup, e un backup sullo stesso dispositivo nemmeno. Io su ogni NAS aziendale voglio tre cose:

• snapshot pianificati delle cartelle condivise con Snapshot Replication, su volumi Btrfs, con l’opzione degli snapshot immutabili attiva dove DSM la offre;
• una copia su un secondo dispositivo o nel cloud, con credenziali diverse da quelle del NAS;
• almeno una copia offline, ad esempio un disco USB a rotazione, scollegato quando non serve.

E una prova di ripristino ogni tanto: un backup mai ripristinato è solo una speranza.

Se il problema persiste

Se l’aggiornamento non compare in DSM, scaricate il file dall’Archivio download di Synology per il vostro modello e installatelo manualmente da Aggiorna e ripristina. Se il NAS è stato raggiungibile da Internet nelle ultime settimane con una versione vecchia, dopo l’aggiornamento cambiate tutte le password degli account amministrativi e controllate le chiavi SSH autorizzate e le attività pianificate in Pannello di controllo → Utilità di pianificazione. Se qualcosa non vi convince, scollegate il NAS dalla rete e aprite un ticket con Synology.

Vi è capitato di trovare file .L0CK3D su un NAS, o di scoprire un port forwarding verso DSM che nessuno ricordava? Raccontate nei commenti come l’avete gestito: possono essere utili ad altri.