Ataques de ransomware a NAS Synology: C3RB3R, vulnerabilidades de DSM y qué está confirmado

Los informes de finales de octubre sobre ransomware en NAS de Synology revelan un problema de actualizaciones y recuperación, pero las pruebas públicas no establecen un único punto de entrada para todos los dispositivos afectados. La declaración de Synology del 29 de octubre señala una vulnerabilidad corregida en diciembre de 2024. La empresa de seguridad 360 atribuye los incidentes que investigó a dos fallos divulgados en septiembre de 2026. Estas declaraciones deben examinarse por separado, en lugar de combinarse en una cadena de ataque confirmada.

Las preguntas prácticas son a qué servicios podía acceder un atacante, qué acceso obtuvo y qué datos podía modificar con ese acceso. Este análisis, verificado el 31 de octubre de 2026, distingue entre la declaración del proveedor, las capacidades de las vulnerabilidades publicadas y las observaciones de los investigadores. La guía complementaria explica por qué RAID, las instantáneas y las copias de seguridad pueden dejar la recuperación expuesta.

Foto de encabezado: DYVER / Wikimedia Commons, CC BY-SA 4.0. Recortada y redimensionada; el recorte fotográfico conserva esa licencia. Fotografía contextual de hardware NAS, no de un dispositivo afectado ni de la escena de un incidente verificados.

¿Qué ocurrió en los ataques de ransomware de 2026 contra NAS de Synology?

El aviso de Synology del 29 de octubre confirma ataques contra instalaciones DSM desactualizadas, con la intención de cifrar los datos y exigir un pago. Hace referencia a SA-24:20, un aviso que abarca varias vulnerabilidades. El aviso no identifica el CVE específico utilizado en estos ataques.

Por separado, la investigación de 360 del 29 de octubre identifica C3RB3R, una variante de Cerber, en los incidentes analizados y atribuye el acceso inicial a CVE-2026-13639 y CVE-2026-13684. Esa es la atribución de incidentes de un investigador, no una afirmación de que Synology haya confirmado esas vulnerabilidades como punto de entrada en todos los casos.

La urgencia operativa no depende de resolver primero todas las cuestiones de atribución. Un administrador puede reducir de inmediato la exposición innecesaria e identificar los parches aplicables. Explicar con precisión cómo se vulneró un NAS específico requiere analizar sus propias evidencias.

¿Qué es el ransomware C3RB3R y cómo afecta a los archivos?

El comportamiento de la muestra descrito por 360 incluye archivos cifrados renombrados con .L0CK3D, con el dígito cero, y una nota llamada read-me3.txt. El análisis distingue entre el cifrado completo de determinados tipos de archivo y el cifrado selectivo de otros. Se trata de características de la muestra descritas en el informe, no de una garantía de que todos los incidentes dejen artefactos idénticos.

Cambiar el nombre de un archivo afectado para devolverle su extensión original no revierte los cambios en su contenido. El nombre de archivo es una etiqueta; la aplicación también necesita que los bytes subyacentes conserven la estructura esperada. Una foto puede seguir apareciendo en un listado de directorios y, aun así, haber dejado de contener una imagen utilizable. Del mismo modo, el cifrado parcial puede inutilizar un archivo grande sin modificar todos sus bytes.

Los indicadores ayudan en las investigaciones, pero tienen limitaciones. La ausencia de una nota de rescate no demuestra que un NAS esté limpio, y una extensión conocida por sí sola no permite identificar la vulnerabilidad de entrada. Conserva muestras representativas y los registros pertinentes sin considerar que un nombre de archivo sea un diagnóstico completo.

¿Qué vulnerabilidades de DSM están implicadas?

La distinción entre los avisos importa desde el punto de vista técnico. SA-24:20 se publicó inicialmente en noviembre de 2024 y registra revisiones posteriores. Incluye CVE-2024-10441, un problema crítico del daemon de complementos del sistema, descrito como una vulnerabilidad que permite la ejecución remota de código sin autenticación. La referencia posterior de Synology a un parche de diciembre no debe reformularse como la fecha de publicación inicial del aviso.

SA-26:13 tiene fecha del 18 de septiembre de 2026. Sus descripciones de CVE-2026-13639 y CVE-2026-13684 se refieren, respectivamente, a una entropía insuficiente en la lógica de inicio de sesión y a una codificación de salida insuficiente en SCGI. Ambas describen un impacto de lectura y escritura remotas de archivos arbitrarios y de denegación de servicio. Esas capacidades, por sí solas, no documentan cómo se ejecutó un programa de ransomware.

Las versiones corregidas que se indican en el aviso de septiembre incluyen 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 y 7.2.1-69057-12. Son versiones mínimas específicas de ese aviso, no una garantía de que solucionen todos los problemas de seguridad posteriores. Compruebe la versión actual compatible con su modelo y los paquetes afectados.

¿Cómo puede un NAS desactualizado volverse vulnerable a ataques remotos?

Un NAS es un servidor con almacenamiento conectado. Su interfaz de navegador, sus protocolos de uso compartido, sus componentes de acceso remoto y sus aplicaciones instaladas exponen distintas vías de procesamiento de solicitudes. Una vulnerabilidad solo puede aprovecharse desde el exterior cuando se cumplen sus requisitos previos, incluido que se pueda acceder al componente afectado. «Conectado a internet» es demasiado impreciso para describir esa condición con exactitud.

El reenvío de puertos puede hacer que un servicio de administración sea accesible desde fuera de casa o de la oficina. Un proxy inverso puede exponer la misma aplicación mediante otro nombre de host y un punto de conexión TLS. Ninguna de esas configuraciones aplica parches automáticamente a una aplicación que se encuentre detrás de ellas. Por el contrario, las funciones de acceso remoto varían en la forma en que enrutan y autorizan el tráfico; sus nombres por sí solos no demuestran que existiera una vía de ataque.

También existe una vía a través de los terminales: el malware que se ejecuta con la cuenta de un usuario puede modificar una carpeta compartida montada usando los permisos que esa cuenta ya tiene. No necesita comprometer DSM para dañar esos archivos con permisos de escritura. Este es un escenario de amenaza general, no una atribución relacionada con los informes de octubre.

¿Por qué los dispositivos NAS siguen expuestos después de que se publican parches?

La disponibilidad de parches y su implementación son eventos distintos. Un proveedor puede publicar una corrección mientras una instalación sigue usando una versión anterior, una política de actualizaciones aplazadas o una rama sin soporte. Un NAS puede seguir sirviendo archivos con normalidad durante ese intervalo. Por lo tanto, la disponibilidad del servicio dice poco al propietario sobre el estado de los parches de seguridad.

Entre los obstáculos operativos habituales se incluyen aplicaciones con compatibilidad incierta, administradores remotos sin una ventana de mantenimiento y dispositivos cuyo mantenimiento nunca se asignó a nadie. Son motivos plausibles para retrasar las actualizaciones, no conclusiones basadas en mediciones sobre las víctimas de esta campaña. Para una empresa, un cambio programado con un plan de reversión y recuperación es más sostenible que aplazar repetidamente cada reinicio.

Anota la versión completa de DSM, la compilación y el sufijo de actualización, no solo «DSM 7». Las actualizaciones de seguridad rutinarias y las migraciones entre versiones principales también requieren planificaciones distintas. Confirma qué admite el modelo y qué instala realmente la política de actualizaciones configurada. Activar las actualizaciones automáticas es útil, pero no sustituye la comprobación del estado de soporte ni de que la instalación se haya completado correctamente.

¿Por qué es el NAS un objetivo atractivo para el ransomware?

Un NAS concentra información que los usuarios no pueden recrear fácilmente: fotografías familiares, archivos de proyectos, trabajo compartido, exportaciones contables y copias de seguridad de los equipos. Un atacante que pueda afectar a esa colección puede interrumpir varias actividades a la vez. Esta concentración explica su posible valor estratégico, sin presuponer una cantidad concreta de rescate, un número de víctimas ni un modelo de negocio delictivo determinado.

La disponibilidad permanente crea otra asimetría. El almacenamiento debe estar al alcance de los clientes legítimos, a menudo durante años, mientras que los usuarios quizá solo revisen su configuración cuando algo falla. Cada servicio adicional puede introducir una responsabilidad independiente de actualización y control de acceso. La pregunta pertinente es qué funciones deben estar realmente accesibles, desde dónde y con qué credenciales.

Los roles de almacenamiento y copia de seguridad también pueden solaparse. Un dispositivo que se utiliza para recuperar una estación de trabajo puede contener la única copia restante de archivos antiguos. Si la misma intrusión puede modificar tanto los datos de trabajo como las copias de recuperación, el atacante puede afectar a la vez a la disponibilidad y a la restauración.

¿Qué ocurre después de que los atacantes acceden al almacenamiento NAS?

Las consecuencias dependen de los permisos efectivos, no simplemente de si alguien «accedió al NAS». Una cuenta corriente comprometida puede afectar a los recursos compartidos en los que tiene permisos de escritura y dejar intactas la administración y las carpetas inaccesibles. Unos privilegios más amplios pueden exponer otras vías. Los repositorios de copias de seguridad, las unidades conectadas y los controles de instantáneas deben evaluarse por separado, en lugar de dar por sentado que todos tendrán el mismo resultado.

Por eso, «la autenticación multifactor lo habría impedido» y «la autenticación multifactor es inútil» son conclusiones poco acertadas. La autenticación multifactor protege los flujos de autenticación compatibles frente a determinados ataques contra cuentas. Sigue siendo útil junto con la aplicación de parches y la limitación de la exposición. No se puede asumir que intervenga ante una operación vulnerable sin autenticación.

¿Qué sabemos y qué sigue sin confirmarse?

La existencia de una vulnerabilidad corregida, una versión afectada y ransomware en el mismo dispositivo no demuestra automáticamente que haya una relación causal. Los investigadores necesitan una cronología que conecte la exposición, el acceso y la ejecución o modificación de archivos. La fecha de instalación también importa: un dispositivo actualizado después del acceso inicial puede parecer actualizado cuando se inspecciona más adelante.

Una afirmación sobre un NAS totalmente actualizado merece investigarse, pero por sí sola no demuestra la existencia de una vulnerabilidad de día cero. Entre las pruebas pertinentes se incluyen la versión completa en el momento de la presunta entrada, las versiones de los paquetes, los registros de acceso, la actividad de las cuentas y los servicios accesibles. Una credencial robada o un recurso compartido de cliente con permisos de escritura son explicaciones distintas de una nueva vulnerabilidad de DSM.

La información pública no aporta pruebas suficientes sobre cada caso como para determinar una vía de entrada, un nivel de privilegios o un resultado de recuperación para cada NAS afectado. Por lo tanto, este artículo no afirma que se hayan eliminado las instantáneas, exfiltrado datos, infectado un número determinado de dispositivos ni comprometido toda una línea de productos.

¿Qué revela este incidente sobre la seguridad de NAS?

La lección general es una cadena de responsabilidades operativas: conocer el dispositivo, conocer los servicios a los que se puede acceder, mantener el software compatible y disponer de una vía de recuperación fuera del control del atacante. Estas responsabilidades se refuerzan mutuamente. Reducir la exposición puede cerrar una vía de entrada; limitar los permisos puede reducir los daños; y contar con una recuperación independiente puede mitigar las consecuencias si falla la prevención.

En un sistema aparentemente no afectado, verifica las compilaciones y los paquetes instalados y reduce los accesos innecesarios. Si el sistema muestra indicios sospechosos de cifrado o de actividad de acceso, inicia una respuesta al incidente en lugar de considerar que una actualización rutinaria es suficiente para limpiar el sistema. La guía de CISA sobre ransomware ofrece orientación sobre contención y recuperación. Aísla los sistemas afectados cuando sea viable y conserva las pruebas con la ayuda adecuada para responder al incidente.

Reconstruir un servicio limpio y restaurar datos fiables son tareas distintas. Una actualización satisfactoria no demuestra que se haya eliminado el acceso obtenido anteriormente. El proceso de recuperación se analiza en el análisis complementario sobre los límites de los fallos de las copias de seguridad NAS.

Preguntas frecuentes

¿Synology ha confirmado que los dos CVE de septiembre de 2026 fueron el punto de entrada?

No en la declaración del 29 de octubre que se analiza aquí. Hace referencia a un parche de diciembre de 2024 y a SA-24:20. Los dos CVE de septiembre aparecen en la atribución de 360. Estas observaciones deben mantenerse separadas, a menos que otras pruebas del incidente las relacionen.

¿El incidente demuestra que todos los NAS Synology son vulnerables?

No. La aplicabilidad depende de la rama del software, la compilación completa, el componente afectado y las condiciones de acceso. No se puede llegar a una conclusión sobre todo el proveedor a partir de informes de incidentes seleccionados. Consulta el aviso de seguridad correspondiente y las actualizaciones compatibles con el modelo concreto.

¿La autenticación multifactor detendrá la explotación de una vulnerabilidad sin autenticación?

La autenticación multifactor no corrige una vulnerabilidad a la que se puede acceder sin completar el proceso de inicio de sesión protegido. Aun así, es útil contra los ataques basados en cuentas para los que se admite. Combínala con software actualizado, una exposición limitada de los servicios y permisos adecuadamente restringidos.

¿Cambiar la extensión .L0CK3D permite recuperar un archivo?

No. Restaurar el nombre de un archivo no descifra ni repara su contenido. Conserva los archivos afectados e investiga cómo recuperarlos desde un estado anterior confiable. Un indicador puede orientar la investigación, pero por sí solo no permite determinar qué vulnerabilidad se aprovechó para entrar.

¿Instalar la última actualización elimina una vulneración existente?

No necesariamente. Instalar parches corrige los comportamientos vulnerables contemplados, pero no permite saber si un atacante ya ha modificado cuentas, configuraciones o datos. Además de instalar actualizaciones compatibles, es necesario contener el problema, investigarlo y contar con un plan de recuperación limpio.

¿Por qué hablar de la arquitectura de copias de seguridad junto con una vulnerabilidad de software?

El acceso inicial y los fallos de recuperación son problemas diferentes. Un único servicio vulnerable puede dar inicio a un incidente, pero las credenciales compartidas y las copias de recuperación accesibles pueden agravar sus consecuencias. Las copias de seguridad independientes están pensadas para conservar una opción de recuperación cuando falla otra capa.

Conclusión

Los informes sobre ransomware en Synology merecen atención urgente, pero no justifican una explicación simplificada y sin pruebas. Mantén diferenciadas la declaración del proveedor, las capacidades del aviso de seguridad y la atribución de los investigadores. Después, examina el sistema real: todas sus versiones de software, los servicios expuestos, los permisos y las copias recuperables. Un parche corrige una vulnerabilidad documentada; un diseño de almacenamiento resiliente también limita los daños de una cuenta comprometida u otro fallo. El siguiente artículo explica cómo evaluar ese diseño de recuperación.