Synology cảnh báo một làn sóng ransomware C3RB3R đang nhắm vào các thiết bị NAS chạy phiên bản DiskStation Manager (DSM) lỗi thời. Kẻ tấn công khai thác lỗ hổng đã được vá từ tháng 12/2024 để mã hóa dữ liệu và đòi tiền chuộc. Người quản trị cần cập nhật DSM ngay, ngắt giao diện quản trị khỏi Internet và kiểm tra khả năng phục hồi từ bản sao lưu.
Cảnh báo hiếm hoi từ Synology
Trong thông báo ngày 29/10/2026, Synology xác nhận các tác nhân đe dọa đang lợi dụng một lỗ hổng cũ trên những thiết bị chưa cập nhật. Hãng chưa công bố chính xác mã CVE được sử dụng trong các cuộc tấn công, nhưng dẫn người dùng tới khuyến cáo Synology-SA-24:20, nơi liệt kê các lỗi cho phép thực thi mã, đọc hoặc ghi tệp trên DSM chưa vá.
C3RB3R mã hóa dữ liệu như thế nào
Các báo cáo ban đầu cho biết ransomware đổi phần mở rộng tệp thành .L0CK3D và để lại thư đòi tiền chuộc read-me3.txt. Nạn nhân được hướng tới một cổng trên dark web để mua công cụ “C3rb3r Decryptor”. Chưa có bằng chứng công khai cho thấy mọi thiết bị Synology đều bị ảnh hưởng; điểm chung được xác nhận là các máy bị nhắm tới đang chạy DSM lỗi thời.
Các phiên bản DSM cần nâng cấp
Theo bảng bản vá được BleepingComputer tổng hợp từ khuyến cáo của Synology, DSM 7.2.2 cần đạt tối thiểu 7.2.2-72806-1; DSM 7.2.1 là 7.2.1-69057-6; DSM 7.2 là 7.2-64570-4; DSM 7.1 là 7.1.1-42962-7; và DSM 6.2 là 6.2.4-25556-8. Người dùng nên kiểm tra trang tư vấn chính thức theo đúng model và nhánh hỗ trợ trước khi nâng cấp.
Quy mô phơi nhiễm đáng lo ngại
Dữ liệu của Shadowserver ghi nhận hơn 380.000 thiết bị Synology NAS có thể truy cập từ Internet. Con số này không đồng nghĩa tất cả đều dễ bị khai thác, vì có thể gồm thiết bị đã vá và honeypot, nhưng cho thấy bề mặt tấn công lớn. NAS thường giữ bản sao dữ liệu quan trọng nên một sự cố có thể đồng thời ảnh hưởng vận hành, sao lưu và khả năng khôi phục.
Việc cần làm ngay
Quản trị viên nên cập nhật DSM lên bản mới nhất, bật cập nhật tự động và không công khai giao diện quản trị ra Internet. Truy cập từ xa nên đi qua VPN hoặc cơ chế truy cập được kiểm soát, đi kèm xác thực đa yếu tố, mật khẩu riêng mạnh và giới hạn đăng nhập. Cần rà soát tài khoản lạ, tác vụ theo lịch, nhật ký xác thực, thay đổi tệp và các kết nối bất thường.
Nếu đã phát hiện dấu hiệu mã hóa
Hãy cô lập NAS khỏi mạng nhưng không vội xóa dữ liệu hay cài đặt lại trước khi lưu bằng chứng. Tổ chức cần xác định phạm vi ảnh hưởng, đổi thông tin xác thực từ một thiết bị sạch, kiểm tra các máy có thể đã truy cập cùng tài khoản và liên hệ đội ứng cứu sự cố. Việc khôi phục chỉ nên bắt đầu từ bản sao lưu ngoại tuyến đã được kiểm tra, sau khi đường xâm nhập và cơ chế duy trì đã bị loại bỏ.
Bài học bảo vệ hệ thống lưu trữ
Sự cố C3RB3R nhắc lại rằng thiết bị lưu trữ không phải “hộp đen” có thể vận hành mà không bảo trì. Bản sao lưu chỉ thực sự hữu ích khi được tách khỏi tài khoản quản trị chính, có phiên bản bất biến hoặc ngoại tuyến và được diễn tập phục hồi. Cập nhật đúng hạn, giảm phơi nhiễm Internet và giám sát thay đổi là ba lớp phòng thủ quan trọng nhất.
VNCyberS tổng hợp từ Synology, BleepingComputer và The Hacker News
Tiếng Việt
English