Kurz gesagt
Seit Anfang Oktober werden Synology-NAS-Geräte mit veralteter Software durch Erpresser-Software verschlüsselt. Die Sicherheitslücken sind seit September behoben. Wer sein Gerät noch nicht aktualisiert hat, sollte das heute tun.
Was ist passiert?
Synology hat am 29. Oktober bestätigt, dass Geräte mit veraltetem Betriebssystem (DSM) angegriffen werden. Sicherheitsforscher des Anti-Ransomware-Teams von 360 ordnen die Angriffe der C3RB3R zu, einer Variante der bekannten Cerber-Familie. Betroffene Dateien erhalten die Endung .L0CK3D, in jedem Ordner liegt eine Lösegeldnachricht namens read-me3.txt.
Mit den Angriffen werden zwei Lücken in Verbindung gebracht (CVE-2026-13639 und CVE-2026-13684), die ohne Anmeldung ausnutzbar sind und jeweils mit 9,8 von 10 Punkten bewertet wurden. Synology hat sie am 18. September in der Sicherheitsmitteilung SA-26:13 behoben. Wichtig: Die Namen der Schadsoftware und der Lücken stammen von externen Forschern, nicht von Synology selbst. Auch ein anderer Einstiegsweg, etwa über ein Zusatzpaket, einen Container oder gestohlene Zugangsdaten, ist nicht ausgeschlossen.
Warum ist das für kleine Unternehmen wichtig?
Ein NAS ist in vielen Büros alles in einem: Dateiserver, Backup-Ziel und Zugang für Mitarbeitende im Homeoffice. Genau deshalb steht es oft mit einer Port-Weiterleitung im Internet. Wird es verschlüsselt, steht im schlimmsten Fall der ganze Betrieb still, vor allem wenn die auf demselben Gerät liegt. Ein kostenloses Entschlüsselungswerkzeug ist nach aktuellem Stand nicht bestätigt.
Das sollten Sie jetzt tun
- DSM aktualisieren. Gepatcht sind diese Stände oder neuere: DSM 7.4 ab 7.4-90075, DSM 7.3 ab 7.3.2-86009-4, DSM 7.2.2 ab 7.2.2-72806-9, DSM 7.2.1 ab 7.2.1-69057-12. Die Version 6.x erhält keine mehr. Aktivieren Sie automatische Updates.
- Das NAS nicht direkt ins Internet stellen. Entfernen Sie Port-Weiterleitungen am sowie öffentliche Namen für das Gerät, und nutzen Sie für den Fernzugriff ein .
- Zugänge absichern. Schalten Sie die Zwei-Schritt-Anmeldung, die automatische IP-Sperre und die mit einer Liste vertrauenswürdiger Adressen ein. Deaktivieren Sie den Standard-Administrator.
- Ein Backup offline halten. Mindestens eine Kopie sollte auf einem getrennten Medium liegen, das das NAS nicht überschreiben kann. Testen Sie die Wiederherstellung.
- Auf Spuren prüfen. Suchen Sie in den Freigaben nach Dateien mit der Endung
.L0CK3Dund nachread-me3.txt, und sehen Sie im Log Center nach ungewöhnlichen Anmeldungen.
Was tun bei einem Befall?
Trennen Sie das Gerät vom , sichern Sie Lösegeldnachricht, Protokolle und Proben, und starten Sie es nicht neu und installieren Sie es nicht neu, bevor die Wiederherstellungsmöglichkeiten geklärt sind. Erstatten Sie Anzeige bei der Polizei.
Unsicher, wie Ihr NAS dasteht?
DSTech-IT aus Rahden prüft Ihr System gern mit Ihnen: Versionsstand, Fernzugriff und Datensicherung. Melden Sie sich unter hilfe@dstech-it.de oder telefonisch unter 05771 - 914771.