Ransomware-Angriffe auf Synology-NAS: C3RB3R, DSM-Schwachstellen und was bestätigt ist

Die Ende Oktober gemeldeten Ransomware-Angriffe auf Synology-NAS-Geräte zeigen ein Problem bei der Patch-Installation und Wiederherstellung, doch die öffentlich zugänglichen Belege weisen keinen einheitlichen Einstiegspunkt für alle betroffenen Geräte nach. In Synologys Mitteilung vom 29. Oktober wird auf eine Schwachstelle verwiesen, für die im Dezember 2024 ein Patch veröffentlicht wurde. Das Sicherheitsunternehmen 360 führt die von ihm untersuchten Vorfälle auf zwei im September 2026 offengelegte Schwachstellen zurück. Diese Aussagen müssen getrennt betrachtet werden, statt sie zu einer bestätigten Angriffskette zu verbinden.

Entscheidend ist, welche Dienste ein Angreifer erreichen konnte, welchen Zugriff er erlangte und welche Daten er dadurch ändern konnte. Diese am 31. Oktober 2026 überprüfte Analyse unterscheidet zwischen den Aussagen des Herstellers, den veröffentlichten Möglichkeiten der Schwachstellen und den Beobachtungen von Forschern. Der begleitende Leitfaden erklärt, warum RAID, Snapshots und Backups die Wiederherstellung dennoch gefährden können.

Titelfoto: DYVER / Wikimedia Commons, CC BY-SA 4.0. Zugeschnitten und in der Größe angepasst; für den Fotoausschnitt gilt weiterhin diese Lizenz. Kontextfoto eines NAS-Geräts, kein nachweislich betroffenes Gerät und keine Aufnahme des Vorfalls.

Was geschah bei den Ransomware-Angriffen auf Synology-NAS-Geräte im Jahr 2026?

Synologys Mitteilung vom 29. Oktober bestätigt Angriffe auf veraltete DSM-Installationen mit dem Ziel, Daten zu verschlüsseln und Lösegeld zu fordern. Sie verweist auf SA-24:20, eine Sicherheitsmeldung zu mehreren Schwachstellen. In der Mitteilung selbst wird die konkrete CVE, die bei diesen Angriffen ausgenutzt wurde, nicht genannt.

Unabhängig davon identifiziert die Untersuchung von 360 vom 29. Oktober C3RB3R, eine Variante von Cerber, in untersuchten Vorfällen und führt den Erstzugriff auf CVE-2026-13639 und CVE-2026-13684 zurück. Das ist die Zuordnung von Vorfällen durch einen Forscher und keine Aussage, dass Synology diese Schwachstellen in jedem Fall als Einstiegspunkt bestätigt hat.

Die Dringlichkeit der Maßnahmen hängt nicht davon ab, zuerst alle Fragen zur Zuordnung zu klären. Administratoren können unnötige Angriffsflächen sofort verringern und anwendbare Patches ermitteln. Um genau zu erklären, wie ein bestimmtes NAS kompromittiert wurde, sind eigene Belege erforderlich.

Was ist C3RB3R-Ransomware und wie wirkt sie sich auf Dateien aus?

Das von 360 beschriebene Beispielverhalten umfasst verschlüsselte Dateien mit der Endung .L0CK3D, wobei eine Null verwendet wird, sowie eine Notiz namens read-me3.txt. Die Analyse unterscheidet zwischen der vollständigen Verschlüsselung ausgewählter Dateitypen und der selektiven Verschlüsselung anderer Dateien. Dabei handelt es sich um gemeldete Merkmale des untersuchten Beispiels, nicht um eine Garantie, dass jeder Vorfall identische Spuren hinterlässt.

Das Umbenennen einer betroffenen Datei mit ihrer ursprünglichen Erweiterung macht Änderungen an ihrem Inhalt nicht rückgängig. Ein Dateiname ist ein Etikett; eine Anwendung benötigt außerdem die zugrunde liegenden Bytes in der erwarteten Struktur. Ein Foto kann weiterhin in einer Verzeichnisauflistung erscheinen, obwohl es kein verwendbares Bild mehr enthält. Auch eine teilweise Verschlüsselung kann eine große Datei unbrauchbar machen, ohne jedes Byte zu verändern.

Indikatoren helfen bei Untersuchungen, haben jedoch Grenzen. Eine fehlende Lösegeldforderung beweist nicht, dass ein NAS sauber ist, und eine bekannte Dateiendung allein verrät nicht, welche Schwachstelle als Einstieg genutzt wurde. Sichern Sie repräsentative Artefakte und relevante Protokolle, ohne einen Dateinamen als vollständige Diagnose zu betrachten.

Welche DSM-Schwachstellen sind betroffen?

Die Unterscheidung zwischen den Hinweisen ist technisch relevant. SA-24:20 wurde erstmals im November 2024 veröffentlicht und enthält Angaben zu späteren Überarbeitungen. Dazu gehört CVE-2024-10441, ein kritisches Problem mit dem System-Plugin-Daemon, das laut Beschreibung unauthentische Remote-Codeausführung ermöglicht. Synologys späterer Verweis auf einen Patch im Dezember sollte nicht als Datum der Erstveröffentlichung des Hinweises wiedergegeben werden.

SA-26:13 ist auf den 18. September 2026 datiert. Die Beschreibungen von CVE-2026-13639 und CVE-2026-13684 betreffen eine unzureichende Entropie in der Anmeldelogik beziehungsweise eine fehlende Ausgabekodierung in SCGI. Beide beschreiben die Möglichkeit, aus der Ferne beliebige Dateien zu lesen und zu schreiben sowie einen Denial-of-Service-Angriff auszuführen. Diese Fähigkeiten dokumentieren für sich genommen nicht, wie eine Ransomware-Datei gestartet wurde.

Zu den in der September-Sicherheitsmitteilung aufgeführten korrigierten Builds gehören 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 und 7.2.1-69057-12. Dies sind versionsspezifische Mindeststände für diese Sicherheitsmitteilung und keine Garantie dafür, dass alle späteren Sicherheitsprobleme damit behoben sind. Prüfen Sie die aktuell für Ihr Modell unterstützte Version und die betroffenen Pakete.

Wie kann ein veraltetes NAS aus der Ferne angreifbar werden?

Ein NAS ist ein Server mit angeschlossenem Speicher. Seine Browseroberfläche, Freigabeprotokolle, Fernzugriffskomponenten und installierten Anwendungen bieten unterschiedliche Pfade zur Verarbeitung von Anfragen. Eine Sicherheitslücke lässt sich von außen nur dann ausnutzen, wenn ihre Voraussetzungen erfüllt sind, einschließlich der Erreichbarkeit der betroffenen Komponente. „Mit dem Internet verbunden“ ist zu vage, um diesen Zustand genau zu beschreiben.

Durch Portweiterleitung kann ein Verwaltungsdienst von außerhalb des Zuhauses oder Büros erreichbar werden. Ein Reverse-Proxy kann dieselbe Anwendung über einen anderen Hostnamen und TLS-Endpunkt zugänglich machen. Keine der beiden Konfigurationen aktualisiert automatisch eine dahinterliegende Anwendung. Funktionen für den Fernzugriff leiten und autorisieren Datenverkehr hingegen auf unterschiedliche Weise; ihre Bezeichnungen allein belegen nicht, dass ein Angriffsweg bestand.

Es gibt auch einen Angriffsweg über Endgeräte: Malware, die unter dem Konto eines Benutzers läuft, kann eine eingebundene Freigabe mit den Berechtigungen ändern, über die dieses Konto bereits verfügt. Dazu muss sie DSM nicht kompromittieren, um die dort beschreibbaren Dateien zu beschädigen. Dies ist ein allgemeines Bedrohungsszenario und keine Zuschreibung im Zusammenhang mit den Berichten vom Oktober.

Warum bleiben NAS-Geräte nach der Veröffentlichung von Patches weiterhin gefährdet?

Die Verfügbarkeit von Patches und deren Installation sind zwei verschiedene Ereignisse. Ein Anbieter kann einen Fix veröffentlichen, während eine Installation weiterhin auf einem älteren Build läuft, eine verzögerte Update-Richtlinie gilt oder ein nicht mehr unterstützter Entwicklungszweig verwendet wird. Ein NAS kann währenddessen weiterhin problemlos Dateien bereitstellen. Die Verfügbarkeit des Dienstes sagt dem Besitzer daher wenig über den Status der Sicherheitsupdates aus.

Zu den üblichen betrieblichen Hindernissen zählen Anwendungen mit ungewisser Kompatibilität, Administratoren mit Fernzugriff ohne Wartungsfenster sowie Geräte, für deren Updates nie jemand zuständig gemacht wurde. Dies sind plausible Gründe für Verzögerungen, keine belegten Erkenntnisse über die Opfer dieser Kampagne. Für ein Unternehmen ist eine geplante Änderung mit Rollback- und Wiederherstellungsplan nachhaltiger, als jeden Neustart immer wieder aufzuschieben.

Notieren Sie die vollständige DSM-Version, den Build und den Update-Suffix, nicht nur „DSM 7“. Auch routinemäßige Sicherheitsupdates und Migrationen zwischen Hauptversionen erfordern unterschiedliche Planung. Prüfen Sie, was das Modell unterstützt und welche Updates die konfigurierte Update-Richtlinie tatsächlich installiert. Automatische Updates zu aktivieren ist sinnvoll; dadurch wird die Prüfung des Supportstatus und der erfolgreichen Installation jedoch nicht ersetzt.

Warum ist ein NAS ein attraktives Ziel für Ransomware?

Auf einem NAS sind Informationen gebündelt, die Nutzer nicht ohne Weiteres neu erstellen können: Familienfotos, Projektarchive, gemeinsam genutzte Arbeit, Buchhaltungsexporte und Endgeräte-Backups. Ein Angreifer, der auf diese Sammlung einwirken kann, kann mehrere Aktivitäten gleichzeitig unterbrechen. Diese Konzentration erklärt den potenziellen Hebel, ohne eine bestimmte Lösegeldsumme, Opferzahl oder kriminelle Geschäftsmodellannahme vorauszusetzen.

Die ständige Verfügbarkeit schafft eine weitere Asymmetrie. Der Speicher muss für berechtigte Clients erreichbar sein, oft über Jahre hinweg, während Nutzer die Konfiguration möglicherweise erst prüfen, wenn etwas nicht funktioniert. Jeder zusätzliche Dienst kann eine eigene Verantwortung für Updates und Zugriffskontrollen mit sich bringen. Entscheidend ist, welche Funktionen wirklich erreichbar sein müssen, von wo aus und mit welchen Zugangsdaten.

Speicher- und Backup-Funktionen können sich ebenfalls überschneiden. Ein Gerät, das zur Wiederherstellung einer Workstation verwendet wird, kann die einzige verbliebene Kopie älterer Dateien enthalten. Kann derselbe Angriff sowohl Arbeitsdaten als auch Wiederherstellungskopien verändern, gewinnt der Angreifer zugleich Einfluss auf Verfügbarkeit und Wiederherstellung.

Was passiert, nachdem Angreifer Zugriff auf NAS-Speicher erhalten?

Die Folgen hängen von den tatsächlich geltenden Berechtigungen ab, nicht allein davon, ob jemand „ins NAS eingedrungen ist“. Ein kompromittiertes normales Konto kann sich auf die beschreibbaren Freigaben auswirken, während die Administration und nicht zugängliche Ordner unberührt bleiben. Weitergehende Berechtigungen können zusätzliche Zugriffspfade eröffnen. Backup-Repositories, angeschlossene Laufwerke und Snapshot-Steuerungen müssen jeweils einzeln bewertet werden, statt anzunehmen, dass sie alle gleichermaßen betroffen sind.

Deshalb sind sowohl „MFA hätte es verhindert“ als auch „MFA ist nutzlos“ schlechte Schlussfolgerungen. MFA schützt unterstützte Authentifizierungsabläufe vor bestimmten Angriffen auf Konten. Neben dem Einspielen von Patches und der Begrenzung der Angriffsfläche bleibt MFA nützlich. Es kann jedoch nicht davon ausgegangen werden, dass MFA bei einem nicht authentifizierten, anfälligen Vorgang eingreift.

Was wissen wir, und was ist noch unbestätigt?

Dass auf demselben Gerät eine gepatchte Sicherheitslücke, eine betroffene Version und Ransomware vorliegen, beweist nicht automatisch einen ursächlichen Zusammenhang. Ermittler benötigen eine Zeitleiste, die Sicherheitslücke, Zugriff und Ausführung oder Änderung von Dateien miteinander verknüpft. Auch der Zeitpunkt der Installation ist wichtig: Ein Gerät, das nach der ersten Kompromittierung aktualisiert wurde, kann bei einer späteren Überprüfung aktuell erscheinen.

Eine Behauptung über ein vollständig gepatchtes NAS verdient eine Untersuchung, belegt für sich genommen aber keine Zero-Day-Sicherheitslücke. Zu den relevanten Belegen zählen die vollständige Versionsnummer zum vermuteten Zeitpunkt des Eindringens, Paketversionen, Zugriffsprotokolle, Kontoaktivitäten und erreichbare Dienste. Ein gestohlenes Zugangsmittel oder eine beschreibbare Client-Freigabe ist eine andere Erklärung als eine neue DSM-Sicherheitslücke.

Die öffentliche Berichterstattung liefert nicht genügend Belege zu einzelnen Fällen, um für jedes betroffene NAS einen Zugangsweg, ein Berechtigungsniveau oder ein Wiederherstellungsergebnis zu bestimmen. Dieser Artikel erhebt daher keine kampagnenweite Behauptung über die Löschung von Snapshots, die Datenexfiltration, die Zahl der Infektionen oder die Kompromittierung einer ganzen Produktreihe.

Was verrät dieser Vorfall über NAS-Sicherheit?

Die übergeordnete Lehre ist eine Kette betrieblicher Verantwortlichkeiten: Kennen Sie das Gerät, seine erreichbaren Dienste und halten Sie unterstützte Software auf dem neuesten Stand. Sorgen Sie außerdem für einen Wiederherstellungspfad außerhalb des Zugriffsbereichs eines Angreifers. Diese Verantwortlichkeiten ergänzen einander. Eine geringere Angriffsfläche kann einen Zugangsweg schließen; eingeschränkte Berechtigungen können den Schaden begrenzen; eine unabhängige Wiederherstellung kann die Folgen mindern, falls Präventionsmaßnahmen versagen.

Prüfen Sie bei einem System, das offenbar nicht betroffen ist, die installierten Builds und Pakete und schränken Sie unnötige Zugriffe ein. Zeigt ein System verdächtige Verschlüsselungs- oder Zugriffsaktivitäten, leiten Sie eine Reaktion auf den Sicherheitsvorfall ein, statt ein routinemäßiges Update als Bereinigung zu behandeln. Der Ransomware-Leitfaden der CISA bietet Hinweise zu Eindämmung und Wiederherstellung. Isolieren Sie betroffene Systeme, sofern praktikabel, und sichern Sie Beweise mit geeigneter Unterstützung bei der Reaktion auf Sicherheitsvorfälle.

Das Wiederherstellen eines sauberen Dienstes und vertrauenswürdiger Daten sind getrennte Aufgaben. Ein erfolgreiches Update beweist nicht, dass ein zuvor erlangter Zugriff entfernt wurde. Die Wiederherstellungsseite wird in der ergänzenden Analyse zu den Grenzen von NAS-Backup-Fehlern untersucht.

FAQ

Hat Synology die beiden CVEs vom September 2026 als Ausgangspunkt bestätigt?

Nicht in der hier untersuchten Erklärung vom 29. Oktober. Sie verweist auf einen Patch vom Dezember 2024 und SA-24:20. Die beiden CVEs vom September werden in der Zuschreibung von 360 genannt. Diese Beobachtungen sollten getrennt bleiben, sofern keine zusätzlichen Belege für den Vorfall sie miteinander verknüpfen.

Beweist der Vorfall, dass jedes Synology NAS verwundbar ist?

Nein. Die Anwendbarkeit hängt vom Softwarezweig, dem vollständigen Build, der betroffenen Komponente und den Zugriffsbedingungen ab. Aus ausgewählten Berichten zu Vorfällen lässt sich keine allgemeingültige Aussage über den Hersteller ableiten. Prüfen Sie die relevante Sicherheitswarnung und die unterstützten Updates für das konkrete Modell.

Verhindert MFA die Ausnutzung einer Schwachstelle ohne Authentifizierung?

MFA behebt keine Schwachstelle, die ausgenutzt werden kann, ohne den geschützten Anmeldeprozess abzuschließen. Gegen unterstützte, kontobasierte Angriffe ist MFA dennoch hilfreich. Kombinieren Sie es mit aktueller Software, eingeschränkter Erreichbarkeit von Diensten und angemessen begrenzten Berechtigungen.

Kann das Ändern der Erweiterung .L0CK3D eine Datei wiederherstellen?

Nein. Durch das Wiederherstellen eines Dateinamens werden die Inhalte weder entschlüsselt noch repariert. Bewahren Sie betroffene Dateien auf und prüfen Sie eine Wiederherstellung aus einem vertrauenswürdigen früheren Zustand. Ein Indikator kann die Untersuchung unterstützen, aber für sich genommen nicht die ausgenutzte Schwachstelle bestimmen.

Wird durch die Installation des neuesten Updates eine bestehende Kompromittierung beseitigt?

Nicht unbedingt. Durch Patches wird das abgedeckte verwundbare Verhalten behoben; sie zeigen jedoch nicht, ob ein Angreifer bereits Konten, Konfigurationen oder Daten verändert hat. Bei einer betroffenen Installation sind neben unterstützten Updates auch Eindämmung, Untersuchung und ein sauberer Wiederherstellungsplan erforderlich.

Warum sollte man die Backup-Architektur zusammen mit einer Softwareschwachstelle betrachten?

Erster Zugriff und fehlgeschlagene Wiederherstellung sind unterschiedliche Probleme. Ein einzelner verwundbarer Dienst kann einen Vorfall auslösen, doch gemeinsam genutzte Zugangsdaten und erreichbare Wiederherstellungskopien können die Folgen verschärfen. Unabhängige Backups sollen eine Wiederherstellungsoption bieten, wenn eine andere Schutzebene versagt.

Fazit

Die Berichte über Ransomware bei Synology erfordern dringende Aufmerksamkeit, ohne dass dafür eine vereinfachte, unbelegte Erklärung nötig wäre. Halten Sie die Erklärung des Herstellers, die Funktionen der Sicherheitswarnung und die Zuschreibung an den Forscher getrennt. Untersuchen Sie anschließend das tatsächliche System: alle Softwareversionen, exponierten Dienste, Berechtigungen und wiederherstellbaren Kopien. Ein Patch schließt eine dokumentierte Schwachstelle; eine ausfallsichere Speicherarchitektur begrenzt auch den Schaden durch die Kompromittierung eines Kontos oder einen anderen Ausfall. Der nächste Artikel erklärt, wie Sie diese Wiederherstellungsarchitektur bewerten.