Ransomware C3RB3R em NAS Synology: Atualize DSM e Backups

O desafio central é que a fraqueza explorada já tem correção, e as vítimas são justamente as que nunca a aplicaram. Dispositivos de borda e de armazenamento são o ponto cego clássico do gerenciamento de patches: são instalados uma vez, continuam funcionando e ninguém é responsável por verificá-los.

Vários fatores deixam os NAS especialmente expostos. Eles costumam ficar em filiais e unidades pequenas sem equipe de TI dedicada. Às vezes são publicados na internet para acesso remoto ou compartilhamento de arquivos, o que os torna alcançáveis por scanners automáticos. Suas contas de administrador costumam ser compartilhadas e raramente trocadas. E, por não serem notebooks nem servidores, muitas vezes ficam fora das ferramentas de detecção em endpoints que, de outra forma, sinalizariam uma rotina de criptografia.

As versões corrigidas importam, então seguem como listadas na reportagem. Para o aviso de 2024, a Synology indica DSM 7.2.2 build 72806-1 ou superior, DSM 7.2.1 build 69057-6 ou superior, DSM 7.2 build 64570-4 ou superior, DSM 7.1 build 42962-7 ou superior e DSM 6.2 build 25556-8 ou superior. As correções de 2026 vieram em um aviso separado de setembro, portanto convém confirmar que o equipamento está na compilação mais recente do DSM e não apenas nas versões acima.

A Synology também recomenda ativar as atualizações automáticas para que nenhum equipamento fique para trás. Para muitas unidades, só essa configuração teria evitado este incidente.

O C3RB3R segue o roteiro habitual do ransomware, adaptado a um NAS: executar código no equipamento, criptografar os dados e deixar uma nota. As informações públicas não detalham o acesso inicial além de dizer que os invasores exploram falhas do DSM, então a sequência abaixo combina o que está documentado com a forma como esse tipo de ataque costuma se desenrolar.

1. Encontrar um equipamento exposto ou sem patches. Os invasores procuram sistemas Synology com builds antigos do DSM, principalmente os acessíveis pela internet.
2. Explorar uma falha do DSM. Um componente vulnerável permite executar código ou ler e gravar arquivos sem credenciais válidas. Alguns bugs dos avisos têm CVSS 9.8, o nível máximo de severidade.
3. Iniciar o ransomware. Depois de ativo, o C3RB3R varre os arquivos do equipamento. Segundo a Qihoo 360, ele ignora 27 diretórios e certas extensões como BAT, DLL, EXE, LNK, MOD, MSI e SYS, para que o sistema continue funcionando enquanto os dados do usuário são criptografados.
4. Criptografar e marcar. Os arquivos criptografados recebem a extensão ".L0CK3D" e uma nota "read-me3.txt" aparece em cada diretório afetado.
5. Extorquir. A vítima é instruída a pagar por uma chave de descriptografia. A reportagem original não informa quantos equipamentos foram afetados.

Não é terreno novo para o ransomware em NAS. Famílias como o QNAPCrypt (eCh0raix) atacam equipamentos Synology e QNAP desde 2019, e a própria Synology alertou em 2021 sobre ataques de força bruta que levavam a ransomware. O que muda em 2026 é a velocidade com que vulnerabilidades recentes viram arma. Serviços gerenciados de TI disciplinados fecham essa lacuna ao transformar patching, inventário e verificação em rotina agendada, e não em boa intenção.

O objetivo não é evitar ter um NAS, e sim garantir que um único equipamento comprometido nunca consiga parar o seu negócio. Poucos controles práticos entregam a maior parte da proteção.

• Backups que sobrevivem. Siga a regra 3-2-1: três cópias dos dados, em dois tipos de mídia, com uma cópia fora do local e, idealmente, imutável ou offline. Um backup que fica no mesmo NAS, com as mesmas credenciais, é uma cópia que o invasor também pode criptografar. Serviços de backup em nuvem e TI gerenciada oferecem a camada externa e testada de recuperação que um equipamento local não consegue entregar.
• Menor superfície de ataque. Retire os NAS da exposição direta à internet, desative serviços que não usa e exija VPN ou acesso de confiança zero para uso remoto. Segmentar o armazenamento das redes de usuários, algo que uma arquitetura de conectividade multioperadora e SD-WAN bem projetada torna consistente entre unidades, limita até onde um invasor consegue avançar.
• Detecção mais rápida. Envie os logs do NAS a um SIEM para que renomeações em massa de arquivos ou logins de locais novos gerem alerta em minutos, não em dias.
• Recuperação previsível. Um processo de restauração documentado e ensaiado transforma um evento de ransomware em uma tarde longa, e não em um trimestre perdido.
• Menor risco regulatório e de reputação. Pastas criptografadas costumam conter dados de clientes ou colaboradores, o que pode gerar obrigações de notificação.

Uma lista prática para esta semana: inventariar todos os NAS Synology e de outras marcas, inclusive os de filiais. Confirmar que cada um está com o DSM mais recente e ativar as atualizações automáticas. Remover a exposição à internet e desativar contas de administrador padrão ou sem uso. Habilitar autenticação multifator onde houver. Verificar se pelo menos uma cópia de backup está fora do local e não é acessível com credenciais do NAS. Por fim, fazer um teste de restauração e cronometrar.

A HIT Communications tem mais de 30 anos de experiência conectando e protegendo empresas na América Latina, nos Estados Unidos e na Europa. Diante de uma ameaça como o C3RB3R, combinamos as camadas que nenhum dispositivo cobre sozinho.

Nossos serviços de cibersegurança incluem um centro de operações de segurança (SOC) 24/7, SIEM e detecção e resposta gerenciadas, para que atividades suspeitas em armazenamento e servidores sejam investigadas na hora. Nossos serviços gerenciados de TI cobrem aplicação de patches, hardening, infraestrutura em nuvem e backup, para que as atualizações sejam feitas no prazo e a recuperação seja testada antes de ser necessária. Por baixo de ambos, nosso desenho de conectividade multioperadora entrega redes segmentadas e redundantes que limitam até onde um incidente pode se espalhar.

Trabalhamos com CIOs e gerentes de TI que querem um único parceiro responsável, e não cinco fornecedores apontando uns para os outros durante um incidente. Se você não tem certeza de quantos NAS sua organização realmente opera, ou quem os mantém atualizados, esse é o melhor ponto de partida.

A campanha do C3RB3R lembra que um patch só protege os equipamentos que de fato o recebem, e que um backup guardado ao lado dos dados que protege não é um backup de verdade. As correções existem, os ataques estão acontecendo e o momento mais barato de agir é antes de aparecer uma nota de resgate.

Comece por um inventário, atualize o DSM, remova a exposição à internet e garanta que pelo menos uma cópia de backup esteja fora do alcance do invasor. Se quiser apoio para avaliar sua exposição ou implantar backups monitorados, testados e fora do local, fale com a equipe da HIT Communications e analisaremos seu ambiente com você.