A Synology ransomware-támadások miatt idén ősszel két külön biztonsági ügy is foglalkoztatja a NAS-tulajdonosokat. A kínai Qihoo 360 szerint október eleje óta több segélykérés érkezett hozzá olyan Synology eszközök gazdáitól, amelyeket a Cerber-család C3RB3R nevű változata titkosított. Emellett a PHP2Shell néven emlegetett, két kritikus PHP-sebezhetőség is javításra szorul. A két történet első látásra összefügghet, de a jelenlegi információk alapján külön problémáról van szó.
Mi az a LOCK3D / C3RB3R támadás?
A 360 elemzése szerint a zsarolóvírus a DSM egyes sebezhetőségein keresztül jut be a rendszerbe, majd végigpásztázza és titkosítja a fájlokat. A „LOCK3D” elnevezés a titkosított állományokhoz fűzött .L0CK3D kiterjesztésre utal. A figyelmeztetés szerint a mappákban egy read-me3.txt nevű váltságdíjüzenet is megjelenik.
A technikai részletek:
- a fájltartalom titkosítására ChaCha8-at használ,
- a kulcsokat RSA-2048-cal védi,
- a vizsgált minták a CVE-2026-13639 és a CVE-2026-13684 azonosítójú hibákat használták,
- ezeket a Synology a 2026. szeptember 18-i SA-26:13 biztonsági frissítésben javította.
A 360 azt tanácsolja, hogy az érintettek ne fizessenek váltságdíjat.
Eltérő beszámolók a támadás módjáról
A Synology október 29-i közleménye szerint a támadók a régi DSM-verziókat célozzák, és egy 2024 decemberében javított sebezhetőséget használnak ki. Ezt az SA-24:20 tanácsadó tartalmazza, benne a kritikus távoli kódfuttatást lehetővé tévő CVE-2024-10441-gyel. A cég sem a zsarolóvírus-családot nem nevezte meg, sem az áldozatok számát nem közölte. A nyilvános állítások nem tisztázzák, hogy különböző támadásokról, eltérő belépési pontokról vagy átfedő kampányról van-e szó, ezért egyik útvonalat sem szabad minden fertőzés magyarázatának tekinteni.
PHP2Shell: külön sebezhetőségpár
A PHP2Shell két kritikus PHP-hibát takar (CVE-2026-109618 és CVE-2026-109619). A PHP projekt szerint az érintett, webkéréseket kiszolgáló telepítéseken hitelesítés nélküli távoli támadó kódot futtathat. A hibák a memória és az alkalmazásállapot kezeléséhez kapcsolódnak. A kód a webes munkafolyamat jogosultságaival fut, ami nem jelent automatikusan rendszergazdai hozzáférést, de az érintett alkalmazást és adatait veszélybe sodorhatja. A hiba nem csak a Synologyt érinti.
A Synology szerint az érintett csomagok között van a Calendar, a Mail Station, a Web Station, valamint harmadik féltől származó csomagok, például a WordPress, a Joomla és a phpMyAdmin. A Synology Drive és a Hyper Backup nem érintett, a rendszer beépített PHP-komponensét pedig nagyon alacsony kockázatúnak ítélik, mert nincs kívülről elérhető modulja.
- PHP-frissítés érkezett a DSM 7.4 és 7.3 ágra, majd a támogatását vesztett 7.2, 7.1, 7.0 és 6.2 ágra is.
- A frissítést a Package Centerben kell telepíteni; a függő csomagok automatikusan újraindulnak, a Mail Station viszont kézi frissítést igényel.
- A PHP 7.3 életciklusa véget ért, ahhoz nem lesz javítás.
- A 6.2-nél régebbi DSM-nél az érintett csomagokat ideiglenesen le kell tiltani, és támogatott verzióra kell váltani.
Mit tegyél a NAS védelméért?
A cikk gyakorlati teendői:
- telepítsd a NAS-modelledhez elérhető legfrissebb DSM-et, és kapcsold be az automatikus frissítést,
- távolítsd el a felesleges port forwardokat, a távoli adminisztrációhoz használj VPN-t,
- tiltsd le az alapértelmezett rendszergazdai fiókot, használj egyedi jelszavakat és kétlépéses azonosítást,
- kapcsold ki az SSH-t, ha nincs rá szükség, és szűrj a NAS tűzfalával,
- figyeld a naplókat a szokatlan belépések és a hirtelen fájlváltozások miatt,
- a pillanatképek mellett tarts külön, offline vagy módosíthatatlan mentést, és próbáld ki a visszaállítást.
Ha a fájlok váratlanul változni kezdenek, vagy .L0CK3D állományok jelennek meg, azonnal válaszd le a NAS-t a hálózatról, és őrizd meg a rendszert a vizsgálathoz. A Synology-eszközök újabb generációiról a DiskStation neo+ modellekről szóló cikkünkben olvashatsz.
Miért halogatják sokan a DSM-frissítést?
A nagy DSM-frissítések funkciókat is megváltoztatnak. A DSM 7.0 a Photo Stationt és a Momentst a Synology Photosra cserélte, a Cloud Station felhasználóit pedig a Synology Drive felé terelte. A DSM 7.2.2 eltávolította a Video Stationt, a DSM 7.4 pedig megszüntette a PHP 8.1, a Mail Station és a Synology Mail Server támogatását. Sokan ezért félnek a frissítéstől. Ez érthető, de egy internetről elérhető, sebezhető verzión futó NAS az adatokat kockáztatja. A források nem mutatják, hogy ezek a funkcióváltozások okoztak volna bármelyik támadást.
Gyakori kérdések
Mi a .L0CK3D kiterjesztés?
A 360 szerint a C3RB3R zsarolóvírus ezt a kiterjesztést adja a titkosított fájloknak. A mappákban emellett read-me3.txt váltságdíjüzenet marad.
Ugyanaz a PHP2Shell, mint a zsarolóvírus?
Nem. A PHP2Shell két PHP-sebezhetőség, a jelentések pedig nem bizonyítják, hogy ez okozta volna a ransomware-támadásokat.
Melyik Synology-csomagokat érinti a PHP2Shell?
Érintett a Calendar, a Mail Station, a Web Station, valamint a WordPress, a Joomla és a phpMyAdmin. A Synology Drive és a Hyper Backup nem érintett.
Fizessek váltságdíjat?
A 360 szerint nem érdemes fizetni.
Forrás: NASCompares
