Synology NAS Ransomware: Veraltetes DSM im Visier

Synology NAS Ransomware trifft Geräte mit veralteten DSM-Versionen. Am 29. Oktober teilte Synology mit, Angreifer nutzten eine im Dezember 2024 geschlossene Schwachstelle, um Daten zu verschlüsseln und Lösegeld zu fordern. Qihoo 360 nennt die Schadsoftware C3RB3R, eine Cerber-Variante. Stand 2. November ist umstritten, welche Lücke den Angreifern den Zugang öffnet, und weder Synology noch die Berichte, die wir gelesen haben, belegen einen neuen Zero-Day.

Was bei den Synology NAS Ransomware-Angriffen passiert ist

Laut Synology nutzen Angreifer eine im Dezember 2024 behobene Lücke gegen NAS-Geräte mit veralteten DiskStation-Manager-Versionen (DSM). Synology drängt auf sofortige Updates, empfiehlt automatische Updates und verweist auf das Advisory Synology-SA-24:20. Eine CVE nennt die Mitteilung nicht. Dieses Advisory behandelt CVE-2024-10441, und laut heise wurden die dort behobenen Lücken Ende Oktober 2024 beim Pwn2Own bekannt. Die Mitteilung nennt weder Opferzahlen noch Details zur Lösegeldforderung.

Der Einstiegspunkt ist nicht geklärt. Laut dem Bericht von Qihoo 360 vom 29. Oktober hat dessen Anti-Ransomware-Team seit Anfang Oktober mehrere Angriffe auf Synology-NAS untersucht und den Einstiegspunkt in zwei neueren Lücken aus dem Advisory Synology-SA-26:13 vom 18. September 2026 gefunden: CVE-2026-13639 und CVE-2026-13684, beide CVSS 9.8, behoben in DSM 7.4-90075, 7.3.2-86009-4 und 7.2.2-72806-9. Synology hat diesen Zusammenhang nicht bestätigt, und 360 äußert sich nur zu den Fällen, die es untersucht hat. 360 beschreibt außerdem verschlüsselte Dateien mit der Endung .L0CK3D und eine Lösegeldnotiz namens read-me3.txt in jedem betroffenen Ordner. Stand der Katalogversion vom 30. Oktober steht keine der drei CVEs im CISA-KEV-Katalog.

Warum das wichtig ist

Auf einem NAS liegen bei vielen mittelständischen Unternehmen die Backups. Ein Gerät, das fast zwei Jahre nach einem mit 9.8 bewerteten Fix auf einer alten DSM-Version bleibt, ist ein leichtes Ziel. Erreichen Angreifer das NAS, sind die Daten und die Kopien daneben gemeinsam gefährdet.

Annahme: Viele NAS in kleinen und mittleren Büros werden von dem betreut, der sie eingerichtet hat, mit aus Bequemlichkeit offenem Fernzugriff und seltenen Updates. Dann sind sie die unverwalteten Randgeräte, die aus dem normalen Patch-Zyklus fallen. Unter NIS2 gehört die Integrität der Backups zu den Resilienzpflichten, ein veraltetes NAS ist damit auch ein Audit-Befund.

Was Sie jetzt tun sollten

1. Prüfen Sie die DSM-Version unter Systemsteuerung, Update & Wiederherstellung, und vergleichen Sie sie mit den behobenen Builds in Synology-SA-24:20 und Synology-SA-26:13 (SA-26:13: DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9). Jetzt aktualisieren und automatische Updates einschalten.
2. Entfernen Sie den direkten Internetzugang zu DSM. Prüfen Sie im Router die Portweiterleitungen zum NAS, prüfen Sie, ob QuickConnect oder DDNS die Admin-Oberfläche freigibt, und nutzen Sie für den Fernzugriff ein VPN.
3. Schützen Sie die Backups. Halten Sie Snapshots und mindestens eine Kopie außerhalb des NAS, die mit den NAS-Zugangsdaten nicht erreichbar ist (offline oder unveränderlich). Testen Sie eine Wiederherstellung.
4. Suchen Sie nach Anzeichen einer Kompromittierung: unbekannte Admin-Konten, unerwartete Anmeldungen im Protokoll, Dateien mit der Endung .L0CK3D. Sind Dateien verschlüsselt, trennen Sie das Gerät vom Netzwerk, sichern Sie die Protokolle und stellen Sie aus der Offline-Kopie wieder her.

DIESEC Perspektive

Der Fix in dieser Geschichte ist fast zwei Jahre alt. Eingespielt hat ihn niemand, weil das Gerät niemandem gehört. Benennen Sie eine Person für jedes NAS- und Speichergerät, nehmen Sie es in denselben Patch-Kalender wie die Server auf und prüfen Sie einmal pro Quartal, welche Geräte aus dem Internet erreichbar sind.

Sie sind unsicher, ob Ihr NAS erreichbar ist oder Ihre Backups einen Angriff überstehen? Kontaktieren Sie DIESEC für eine Expositionsprüfung und eine Prüfung der Backup-Resilienz.

Quellen: Synology-Mitteilung | Synology-SA-26:13 | Synology-SA-24:20 | heise online | Qihoo 360 (chinesisch)
Veröffentlicht: 2026-11-04 | Kategorie: Ransomware & Erpressung | ~4 Min. Lesezeit