🥷❗️Как программа-шифровальщик C3RB3R атакует сетевые хранилища Synology через старую уязвимость DSM Тайваньский производитель сетевых хранилищ (NAS) Synology предупредил клиентов о необходимости немедленно обновить устройства из-за всплеска атак программы-шифровальщика C3RB3R. Чтобы защитить данные и пресечь попытки злоумышленников взломать и зашифровать хранилища, компания призвала пользователей обновить программное обеспечение DiskStation Manager (DSM) до актуальной версии и включить автоматическое обновление, а также владельцам устройств рекомендуется срочно закрыть доступ к веб-интерфейсу управления из интернета. «Synology выявила злоумышленников, которые эксплуатируют уязвимость, исправленную в декабре 2024 года, для атак на устройства под управлением устаревших версий DSM. Эти атаки направлены на шифрование данных и вымогательство выкупа. Synology настоятельно призывает всех пользователей уязвимых версий немедленно обновить DSM для защиты своих систем. Synology также рекомендует включить автоматическое обновление, чтобы постоянно поддерживать DSM в актуальном состоянии» — говорится в уведомлении Synology. Хотя производитель пока не уточнил, какая именно уязвимость эксплуатируется в текущей кампании, в своём предупреждении он сослался на бюллетень безопасности от ноября 2024 года. В этом документе описаны патчи для уязвимостей, которые позволяют атакующим выполнять произвольный код (CVE-2024-10441), читать файлы (CVE-2024-50629) и записывать файлы (CVE-2024-10445) на необновлённых устройствах. Для защиты различных веток системы вендор предписывает установить следующие исправленные сборки: ▫️ Для ветки DSM 7.2.2 (критический уровень опасности) необходимо обновиться до версии 7.2.2-72806-1 или выше. ▫️ Для ветки DSM 7.2.1 (критический уровень опасности) требуется переход на версию 7.2.1-69057-6 или выше. ▫️ Для ветки DSM 7.2 (критический уровень опасности) нужно установить сборку 7.2-64570-4 или выше. ▫️ Для ветки DSM 7.1 (критический уровень опасности) необходимо обновление до версии 7.1.1-42962-7 или выше. ▫️ Для ветки DSM 6.2 (умеренный уровень опасности) предписан переход на версию 6.2.4-25556-8 или выше. Опубликованное на прошлой неделе предупреждение последовало за массовой волной жалоб от клиентов Synology, чьи данные оказались зашифрованы. Первые сообщения от пострадавших владельцев появились более двух недель назад. По словам пострадавших пользователей, программа-шифровальщик добавляет к зашифрованным файлам расширение .L0CK3D и оставляет записку с требованием выкупа read-me3.txt. В тексте записки злоумышленники заявляют, что любые попытки восстановить данные сторонними утилитами станут фатальными для файлов, и предлагают бесплатно расшифровать один любой файл для демонстрации работоспособности программы расшифрования «C3rb3r Decryptor», за покупку которой на портале в дарквебе от жертв требуют тысячи долларов. Применяемая в атаках на NAS-устройства Synology программа-вымогатель Cerber (также известная под названиями C3RB3R и CerberImposter) позаимствовала имя у известной группировки, работавшей по модели «программа-вымогатель как услуга» (RaaS) с 2016 года. До своего закрытия в конце 2019 года старая операция Cerber охватывала более 80% всех атак программ-вымогателей и четверть (25%) всех заражений вымогательским ПО на корпоративных конечных устройствах. Новое семейство C3RB3R впервые заметили в декабре 2021 года, после чего его разворачивали на серверах Atlassian Confluence и GitLab в ходе нескольких волн атак с эксплуатацией уязвимостей удалённого выполнения кода (CVE-2021-26084 и CVE-2021-22205) и обхода аутентификации (CVE-2023-22518). Сейчас организация по мониторингу интернет-угроз Shadowserver отслеживает более 380 000 доступных из интернета NAS-устройств Synology, однако в статистике не уточняется, сколько из них уже защищены от этих атак или выступают в роли ханипотов. ✋ @Russian_OSINT