C3RB3R: Synology warnt vor Ransomware-Angriffen auf NAS mit veraltetem DSM

Synology hat am 29. Oktober 2026 eine ungewöhnlich deutliche Warnung veröffentlicht: Angreifer nutzen eine im Dezember 2024 geschlossene Lücke, um NAS mit veraltetem DiskStation Manager (DSM) zu verschlüsseln und Lösegeld zu fordern. BleepingComputer ordnet die Welle der Ransomware C3RB3R zu.

Gefährdet sind Geräte, deren DSM unter den Korrekturständen aus dem Advisory SA-24:20 liegt. Wer einen aktuellen Stand fährt, ist von dieser Warnung nach Herstellerangaben nicht erfasst. Geräte mit älterem DSM sollten sofort aktualisiert werden, ein Wartungsfenster ist hier nicht angebracht.

Was ist passiert?

In der Pressemitteilung schreibt Synology von Tätern, die eine Schwachstelle auf Geräten mit veraltetem DSM ausnutzen, um Daten zu verschlüsseln und zu erpressen. Der Hersteller fordert alle Nutzer anfälliger Versionen auf, sofort zu aktualisieren, und empfiehlt automatische Updates.

Welche Lücke genau benutzt wird, sagt Synology nicht. Der Text verweist nur auf SA-24:20. Dieses Advisory stammt aus dem Pwn2Own-Umfeld 2024 und beschreibt drei Lücken: CVE-2024-10441 (Codeausführung aus der Ferne, CVSS 9,8), CVE-2024-50629 (Lesen bestimmter Dateien, CVSS 5,3) und CVE-2024-10445 (Schreiben bestimmter Dateien aus dem benachbarten Netz, CVSS 4,3).

Laut BleepingComputer gibt es seit mehr als zwei Wochen Berichte von Betroffenen. Die Erpresser hinterlassen demnach die Notiz read-me3.txt, hängen den Dateien die Endung .L0CK3D an und verkaufen ein Werkzeug namens „C3rb3r Decryptor“ für mehrere tausend Dollar.

Wer ist betroffen?

SA-24:20 nennt diese Mindeststände:

• DSM 7.2.2: 7.2.2-72806-1 oder neuer
• DSM 7.2.1: 7.2.1-69057-6 oder neuer
• DSM 7.2: 7.2-64570-4 oder neuer
• DSM 7.1: 7.1.1-42962-7 oder neuer
• DSM 6.2: 6.2.4-25556-8 oder neuer

Das sind nur die Korrekturstände von damals. Synology rät, DSM stets aktuell zu halten. Wie viele Geräte tatsächlich anfällig sind, ist nicht bekannt. BleepingComputer nennt nach Daten von Shadowserver mehr als 380.000 aus dem Internet erreichbare Synology-NAS, ohne dass daraus der Patchstand hervorgeht.

Wie kritisch ist das?

Für Betreiber von NAS mit altem DSM ist die Lage akut, weil die Angriffe laufen und das Ergebnis der Verlust der Daten auf dem NAS ist. Der wahrscheinlichste Weg führt nach Einschätzung der Redaktion über die aus dem Internet erreichbare DSM-Oberfläche, belegt hat Synology das nicht. Offen bleibt auch, ob andere Geräte im Netz betroffen sein können. Laut BleepingComputer warnt Synology nur selten so vor Angriffen, zuletzt im August 2019 wegen der Ransomware eCh0raix.

Was sollten Admins jetzt tun?

• Inventar: DSM-Version aller Synology-Geräte erfassen, auch die von Zweitstandorten und Backup-Zielen.
• Patchstand: Alles unter den oben genannten Ständen sofort aktualisieren, automatische Updates einschalten.
• Erreichbarkeit: Die DSM-Oberfläche aus dem Internet nehmen, wie es auch BleepingComputer empfiehlt, und Portweiterleitungen auf das NAS prüfen.
• Spuren: Freigaben nach read-me3.txt und Dateien mit der Endung .L0CK3D durchsuchen.
• Backup: Prüfen, ob eine Kopie außerhalb des NAS existiert, die von dort aus nicht überschrieben werden kann.

Einordnung für Unternehmen

Die Lücke ist fast zwei Jahre alt, das Problem sind vergessene Geräte. Gerade NAS in Außenstellen oder als Backup-Ziel laufen oft jahrelang ohne Update. Ein Update schließt die Lücke, es bereinigt aber kein bereits kompromittiertes Gerät. Wer verschlüsselte Dateien findet, sollte das NAS vom Netz nehmen und nach dem Notfallplan vorgehen, statt vorschnell neu aufzusetzen.

Passende Anleitungen auf S-EDV

• Ransomware-Notfallplan: die ersten 60 Minuten
• Immutable Backups gegen Ransomware: 3-2-1-1-0 praktisch mit restic und Hetzner Storage Box
• DSM-Firewall auf dem Synology NAS: Ports für Docker-Container freigeben

Quellen

• Synology: Pressemitteilung zu den Ransomware-Angriffen
• Synology: Advisory SA-24:20
• BleepingComputer: Bericht zu den C3RB3R-Angriffen
• heise online: Angriffe auf Drupal, Ivanti und Synology