Ransomware C3RB3R en NAS Synology: Parchee DSM y Respalde

El desafío central es que la debilidad explotada ya tiene solución y las víctimas son quienes nunca la aplicaron. Los equipos de borde y de almacenamiento son el punto ciego clásico de la gestión de parches: se instalan una vez, siguen funcionando y nadie tiene la tarea de revisarlos.

Varios factores exponen especialmente a los NAS. Suelen estar en sucursales y sedes pequeñas sin personal de TI dedicado. A veces se publican en internet para acceso remoto o para compartir archivos, lo que los hace alcanzables por escáneres automáticos. Sus cuentas de administrador suelen compartirse y rara vez se rotan. Y como no son portátiles ni servidores, con frecuencia quedan fuera de las herramientas de detección en endpoints que, de otro modo, alertarían sobre una rutina de cifrado.

Las versiones corregidas importan, así que se listan tal como aparecen en la nota. Para el aviso de 2024, Synology remite a DSM 7.2.2 build 72806-1 o superior, DSM 7.2.1 build 69057-6 o superior, DSM 7.2 build 64570-4 o superior, DSM 7.1 build 42962-7 o superior y DSM 6.2 build 25556-8 o superior. Las correcciones de 2026 llegaron en un aviso distinto de septiembre, por lo que conviene confirmar que el equipo tenga la compilación de DSM más reciente y no solo las versiones indicadas.

Synology también recomienda activar las actualizaciones automáticas para que ningún equipo se quede atrás. Para muchas sedes, esa sola opción habría evitado este incidente.

C3RB3R sigue el guion habitual del ransomware, adaptado a un NAS: ejecutar código en el equipo, cifrar los datos y dejar una nota. La información pública no detalla el acceso inicial más allá de indicar que los atacantes explotan fallas de DSM, por lo que la secuencia siguiente combina lo documentado con la forma en que suele desarrollarse este tipo de ataque.

1. Encontrar un equipo expuesto o sin parches. Los atacantes buscan sistemas Synology con compilaciones de DSM antiguas, sobre todo los accesibles desde internet.
2. Explotar una falla de DSM. Un componente vulnerable permite ejecutar código o leer y escribir archivos sin credenciales válidas. Algunos errores de los avisos tienen CVSS 9.8, el nivel máximo de severidad.
3. Lanzar el ransomware. Una vez activo, C3RB3R recorre los archivos del equipo. Según Qihoo 360, omite 27 directorios y ciertas extensiones como BAT, DLL, EXE, LNK, MOD, MSI y SYS para que el sistema siga funcionando mientras se cifran los datos del usuario.
4. Cifrar y marcar. Los archivos cifrados reciben la extensión ".L0CK3D" y aparece una nota "read-me3.txt" en cada directorio afectado.
5. Extorsionar. Se indica a la víctima que pague por una clave de descifrado. La nota original no precisa cuántos equipos resultaron afectados.

No es terreno nuevo para el ransomware en NAS. Familias como QNAPCrypt (eCh0raix) atacan equipos Synology y QNAP desde 2019, y la propia Synology advirtió en 2021 sobre ataques de fuerza bruta que derivaban en ransomware. Lo que cambia en 2026 es la rapidez con que se convierten en arma las vulnerabilidades recientes. Unos servicios gestionados de TI disciplinados cierran esa brecha al convertir el parcheo, el inventario y la verificación en una rutina programada y no en una buena intención.

El objetivo no es evitar tener un NAS, sino asegurar que un solo equipo comprometido nunca pueda paralizar su negocio. Unos pocos controles prácticos ofrecen la mayor parte de la protección.

• Respaldos que sobreviven. Aplique la regla 3-2-1: tres copias de los datos, en dos tipos de medios, con una copia fuera de sitio y, idealmente, inmutable o fuera de línea. Un respaldo que vive en el mismo NAS y con las mismas credenciales es una copia que el atacante también puede cifrar. Los servicios de respaldo en la nube y TI gestionada aportan la capa externa y probada de recuperación que un equipo local no puede ofrecer.
• Menor superficie de ataque. Retire los NAS de la exposición directa a internet, desactive servicios que no use y exija VPN o acceso de confianza cero para el uso remoto. Segmentar el almacenamiento de las redes de usuarios, algo que una arquitectura de conectividad multioperador y SD-WAN bien diseñada hace consistente entre sedes, limita hasta dónde puede avanzar un intruso.
• Detección más rápida. Envíe los registros del NAS a un SIEM para que los cambios masivos de nombre de archivos o los inicios de sesión desde ubicaciones nuevas generen una alerta en minutos y no en días.
• Recuperación predecible. Un proceso de restauración documentado y ensayado convierte un evento de ransomware en una tarde larga y no en un trimestre perdido.
• Menor riesgo regulatorio y reputacional. Las carpetas cifradas suelen contener datos de clientes o empleados, lo que puede activar obligaciones de notificación.

Una lista práctica para esta semana: inventariar todos los NAS Synology y de otras marcas, incluidos los de sucursales. Confirmar que cada uno tenga el DSM más reciente y activar las actualizaciones automáticas. Retirar la exposición a internet y desactivar cuentas de administrador por defecto o sin uso. Habilitar la autenticación multifactor donde exista. Verificar que al menos una copia de respaldo esté fuera de sitio y no sea accesible con credenciales del NAS. Por último, hacer una prueba de restauración y medir su duración.

HIT Communications cuenta con más de 30 años de experiencia conectando y protegiendo empresas en América Latina, Estados Unidos y Europa. Frente a una amenaza como C3RB3R, combinamos las capas que ningún dispositivo cubre por sí solo.

Nuestros servicios de ciberseguridad incluyen un centro de operaciones de seguridad (SOC) 24/7, SIEM y detección y respuesta gestionadas, para que la actividad sospechosa en almacenamiento y servidores se investigue en el momento. Nuestros servicios gestionados de TI abarcan parcheo, endurecimiento, infraestructura en la nube y respaldo, de modo que las actualizaciones se apliquen a tiempo y la recuperación se pruebe antes de necesitarla. Por debajo de ambos, nuestro diseño de conectividad multioperador entrega redes segmentadas y redundantes que limitan hasta dónde puede propagarse un incidente.

Trabajamos con CIOs y gerentes de TI que quieren un solo socio responsable y no cinco proveedores señalándose entre sí durante un incidente. Si no está seguro de cuántos NAS opera realmente su organización, o quién los mantiene actualizados, ese es el mejor punto de partida.

La campaña de C3RB3R recuerda que un parche solo protege los equipos que realmente lo reciben, y que un respaldo guardado junto a los datos que protege no es un verdadero respaldo. Las correcciones existen, los ataques están ocurriendo y el momento más barato para actuar es antes de que aparezca una nota de rescate.

Comience con un inventario, actualice DSM, retire la exposición a internet y asegúrese de que al menos una copia de respaldo esté fuera del alcance del atacante. Si desea apoyo para evaluar su exposición o implementar respaldos monitoreados, probados y fuera de sitio, contacte al equipo de HIT Communications y revisaremos su entorno con usted.