Eski DSM sürümlü Synology NAS'lar fidye yazılımı saldırılarının hedefinde

Synology, 29 Ekim’de yayımladığı açıklamada, saldırganların Aralık 2024’te kapatılan bir açığı kullanarak eski DSM sürümlerini çalıştıran cihazları hedef aldığını duyurdu. Synology’ye göre saldırıların amacı verileri şifreleyip fidye istemek. Şirket, açık bulunan sürümleri kullanan herkesin DSM’yi hemen güncellemesini ve DSM’nin her zaman güncel kalması için otomatik güncellemeleri açmasını istedi. DSM, Synology’nin NAS cihazlarında çalışan işletim sistemi.

Synology açıklamasında ayrıntı için Synology-SA-24:20 danışma notunu gösteriyor, ancak saldırılarda bu notta yer alan açıklardan hangisinin kullanıldığını belirtmiyor. Kasım 2024’te yayımlanan ve Pwn2Own 2024 yarışmasında bulunan açıkları kapsayan bu notta üç CVE var. Bunlardan CVE-2024-10441, notta 9.8 puanla Critical olarak sınıflandırılıyor ve uzaktan kod çalıştırmaya izin veriyor. Notun değişiklik geçmişine göre DSM 6.2 için düzeltme 5 Aralık 2024’te yayımlandı.

360’ın incelemesi

Çinli güvenlik şirketi 360, 29 Ekim’de yayımladığı uyarıda, Ekim başından bu yana fidye yazılımı müdahale hizmetine Synology NAS cihazlarına yönelik saldırılarla ilgili çok sayıda yardım talebi geldiğini açıkladı. 360’a göre etkilenen cihazlardan alınan örneklerin incelenmesi, saldırıların ana kaynağının NAS cihazlarını uzun süredir hedef alan Cerber fidye yazılımı ailesinin “C3RB3R” adlı bir türevi olduğunu gösterdi.

360’a göre saldırganlar cihazlara, Eylül’de açıklanan iki kritik açıkla, CVE-2026-13639 ve CVE-2026-13684 ile giriyor. Şirket bunu, açıklar kapatıldıktan kısa süre sonra yamasız kalan cihazlara yönelik tipik bir saldırı olarak tanımlıyor. Synology’nin 18 Eylül’de yayımladığı Synology-SA-26:13 danışma notuna göre iki açığın da CVSS 3.1 puanı 9.8 ve ikisi de uzaktaki bir saldırganın istediği dosyaları okumasına ya da yazmasına ve hizmet dışı bırakma saldırısı yapmasına izin veriyor. CVE-2026-13684 DSM’nin SCGI bileşenindeki, CVE-2026-13639 ise giriş mantığındaki bir açık. Danışma notunda geçici bir önlem yer almıyor.

Synology’nin açıklaması ile 360’ın raporu farklı açıkları gösteriyor ve iki kaynağın aynı saldırıları anlatıp anlatmadığı belli değil.

Fidye yazılımının yaptıkları

360’a göre C3RB3R, sistemin çökmemesi için 27 sistem klasörünü ve yaygın çalıştırılabilir dosyalarla betikleri atlıyor, diğer bütün klasörleri tarayıp içindeki dosyaları şifreliyor. Fidye yazılımı her dosya için ayrı bir 256 bitlik anahtar ve 64 bitlik nonce oluşturuyor, dosya içeriğini ChaCha8 ile şifreliyor ve anahtarı içine gömülü RSA-2048 açık anahtarıyla şifreleyip dosyanın sonuna ekliyor. Şifrelenen dosyaların uzantısı .L0CK3D oluyor. 360’a göre 187 uzantıdaki dosyalar boyutundan bağımsız olarak tamamen, diğer dosyalar ise boyutuna göre kısmen şifreleniyor. Fidye yazılımı şifrelediği her klasöre read-me3.txt adlı bir fidye notu bırakıyor.

Önerilen önlemler

Synology, açık bulunan DSM sürümlerini kullananların hemen güncelleme yapmasını ve otomatik güncellemeleri açmasını öneriyor. Synology-SA-26:13’e göre düzeltilmiş sürümler DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ve 7.2.1-69057-12 ve sonrası.

360 ayrıca şunları öneriyor:

• NAS yönetim bağlantı noktalarını doğrudan internete açmayın. Dışarıdan erişim gerekiyorsa üreticinin sunduğu bağlantı hizmetini ya da VPN kullanın.
• Cihazın varsayılan yönetici hesabını kapatın, bütün hesaplara güçlü parola verin, iki aşamalı doğrulamayı ve otomatik IP engellemeyi açın.
• Paylaşılan klasörlerde anlık görüntüleri (snapshot) ve bunların değiştirilmesini engelleyen korumayı açın, anlık görüntülerin düzenli alındığını kontrol edin.
• Önemli veriler için NAS’a hiçbir şekilde bağlı olmayan en az bir çevrim dışı yedek tutun.
• Cihazın güvenlik duvarında yalnızca gerekli bağlantı noktalarına izin verin ve yönetim paneline erişimi güvenilir IP adresleriyle sınırlayın.
• Günlüklerde olağandışı girişleri, toplu dosya değişikliklerini ve şüpheli uzantıları izleyin, böyle bir durumda cihazı hemen ağdan ayırın.
• Kullanılmayan paylaşım bağlantılarını, paketleri ve hizmetleri kaldırın.
• Fidye ödemeyin.