Новости
PHP2Shell добрался до NAS: Synology патч вышел, QNAP ждёт
Synology патчит PHP2Shell с 22 октября — у QNAP фикса ещё нет. Что делать владельцам NAS.
Коротко: Synology предупредила 2 ноября 2026 о продолжающейся волне атак шифровальщика C3RB3R, который шифрует файлы на домашних и офисных NAS и добавляет к ним расширение .L0CK3D. Атаки используют уязвимость CVE-2024-10441 (RCE, CVSS 9.8), найденную ещё на Pwn2Own 2024 и закрытую патчем Synology-SA-24:20 в декабре того же года — под угрозой остаются устройства с устаревшей прошивкой DSM. По данным Shadowserver, в интернет открыто более 380 000 накопителей Synology. Компания настойчиво рекомендует немедленно обновить DSM и включить автоматические обновления.
Содержание
Что случилось
Первые жалобы пользователей на зашифрованные файлы на накопителях Synology появились больше двух недель до официального предупреждения — пользователи обнаруживали, что документы, фото и резервные копии на NAS внезапно получали расширение .L0CK3D, а в каждой затронутой папке появлялся текстовый файл read-me3.txt. Исследователи из Qihoo 360 идентифицировали вредонос как C3RB3R — вариант известного семейства шифровальщиков Cerber. 2 ноября Synology официально подтвердила проблему и опубликовала предупреждение с рекомендацией срочно обновить систему.
Как работает C3RB3R
После проникновения на устройство C3RB3R шифрует пользовательские файлы и оставляет записку с требованием выкупа. В read-me3.txt жертве сообщают, что единственный безопасный способ восстановить данные — купить специальную программу «C3rb3r Decryptor» на портале в дарквебе; по данным отдельных источников, сумма выкупа достигала эквивалента около 3,9 млн южнокорейских вон в биткоинах. Как и у большинства шифровальщиков, оплата не гарантирует восстановление файлов, а резервная копия вне атакованного устройства остаётся единственным надёжным способом вернуть данные без контакта с злоумышленниками.
Какая уязвимость используется
Synology не назвала новую уязвимость — вместо этого компания сослалась на уже известный бюллетень Synology-SA-24:20, где устранена критическая брешь CVE-2024-10441 (CVSS 9.8) в системном плагин-демоне DSM. Уязвимость позволяет выполнить произвольный код без авторизации и была обнаружена исследователями DEVCORE на конкурсе Pwn2Own 2024. Патч вышел ещё в декабре 2024 года, но атаки показывают, что заметная часть владельцев NAS так и не установила обновление за почти два года.
- DSM 7.2.2 — обновить до 7.2.2-72806-1 и новее
- DSM 7.1 — обновить до 7.1.1-42962-7 и новее
- DSM 6.2 — обновить до 6.2.4-25556-8 и новее
!
Почему это снова актуально
Уязвимость закрыта два года назад, но продолжает эксплуатироваться — значит, автообновление DSM на части устройств до сих пор отключено или игнорируется владельцами.
Что делать владельцам Synology NAS
- Обновите DSM до версии не ниже указанной в бюллетене Synology-SA-24:20 — зайдите в «Панель управления» → «Обновление и восстановление».
- Включите автоматические обновления безопасности, чтобы не зависеть от ручной проверки.
- Ограничьте удалённый доступ к веб-панели устройства — отключите проброс портов и UPnP на роутере, если прямой выход в интернет не нужен постоянно.
- Проверьте бэкапы: резервная копия файлов должна храниться отдельно от самого NAS — на другом устройстве или в облаке, иначе шифровальщик может добраться и до неё.
Если файлы на устройстве уже зашифрованы — не платите выкуп: гарантий расшифровки нет, а оплата подтверждает злоумышленникам, что атака сработала. Общие принципы защиты хранилищ от вредоносного кода и правила резервного копирования собраны в разделе безопасность файлов. Похожая история с уязвимостью в прошивке NAS уже случалась в октябре — подробности в заметке «PHP2Shell добрался до NAS: Synology патч вышел, QNAP ждёт».
