Attacchi ransomware ai NAS Synology: C3RB3R, vulnerabilità di DSM e cosa è confermato

Le segnalazioni di fine ottobre sugli attacchi ransomware ai NAS Synology evidenziano problemi di aggiornamento e ripristino, ma le prove pubbliche non dimostrano un unico punto di accesso per tutti i dispositivi coinvolti. La dichiarazione di Synology del 29 ottobre fa riferimento a una vulnerabilità corretta nel dicembre 2024. L'azienda di sicurezza 360 attribuisce gli incidenti che ha esaminato a due vulnerabilità divulgate nel settembre 2026. Queste dichiarazioni vanno esaminate separatamente, senza unirle in una catena d'attacco confermata.

Le domande pratiche sono quali servizi fossero raggiungibili da un aggressore, quale accesso abbia ottenuto e quali dati tale accesso potesse modificare. Questa analisi, verificata il 31 ottobre 2026, distingue la dichiarazione del produttore, le capacità delle vulnerabilità pubblicate e le osservazioni dei ricercatori. La guida correlata spiega perché RAID, snapshot e backup possono comunque lasciare il ripristino esposto.

Foto di copertina: DYVER / Wikimedia Commons, CC BY-SA 4.0. Ritagliata e ridimensionata; il ritaglio fotografico mantiene la stessa licenza. Fotografia contestuale di hardware NAS, non di un dispositivo o di una scena dell'incidente verificati.

Cosa è successo negli attacchi ransomware del 2026 ai NAS Synology?

L'avviso di Synology del 29 ottobre conferma attacchi contro installazioni DSM obsolete, volti a cifrare i dati e a chiedere un riscatto. Fa riferimento a SA-24:20, un avviso che riguarda diverse vulnerabilità. Nell'avviso non viene indicato il CVE specifico usato in questi attacchi.

Separatamente, l'indagine del 29 ottobre di 360 identifica C3RB3R, una variante di Cerber, in alcuni incidenti analizzati e attribuisce l'accesso iniziale a CVE-2026-13639 e CVE-2026-13684. Si tratta dell'attribuzione degli incidenti da parte di un ricercatore, non di una dichiarazione secondo cui Synology avrebbe confermato che queste vulnerabilità siano state il punto di accesso in ogni caso.

L’urgenza operativa non dipende dal chiarire prima ogni questione di attribuzione. Un amministratore può ridurre subito l’esposizione non necessaria e individuare le patch applicabili. Spiegare con precisione come è stato compromesso uno specifico NAS richiede prove specifiche.

Che cos’è il ransomware C3RB3R e come agisce sui file?

Il comportamento del campione descritto da 360 include file crittografati rinominati con .L0CK3D, con la cifra zero, e una nota denominata read-me3.txt. L’analisi distingue la crittografia completa di alcuni tipi di file dalla crittografia selettiva di altri. Si tratta di caratteristiche osservate nel campione, non di una garanzia che ogni incidente lasci artefatti identici.

Rinominare un file interessato ripristinando l’estensione originale non annulla le modifiche al suo contenuto. Il nome del file è un’etichetta; perché un’applicazione funzioni, anche i byte sottostanti devono mantenere la struttura prevista. Una foto può comparire ancora nell’elenco di una directory senza contenere più un’immagine utilizzabile. Anche la crittografia parziale può rendere inutilizzabile un file di grandi dimensioni senza modificarne ogni byte.

Gli indicatori aiutano nelle indagini, ma hanno dei limiti. L’assenza di una richiesta di riscatto non dimostra che un NAS sia pulito e una semplice estensione nota non identifica la vulnerabilità di accesso. Conserva artefatti rappresentativi e i log pertinenti senza considerare un nome file una diagnosi completa.

Quali vulnerabilità DSM sono coinvolte?

La distinzione tra gli avvisi è importante dal punto di vista tecnico. SA-24:20 è stato pubblicato inizialmente nel novembre 2024 e riporta le revisioni successive. Include CVE-2024-10441, un problema critico del system-plugin-daemon descritto come in grado di consentire l’esecuzione di codice da remoto senza autenticazione. Il successivo riferimento di Synology a una patch di dicembre non va riscritto come data di pubblicazione iniziale dell’avviso.

SA-26:13 è datato 18 settembre 2026. Le descrizioni di CVE-2026-13639 e CVE-2026-13684 riguardano, rispettivamente, un'entropia insufficiente nella logica di accesso e la codifica dell'output in SCGI. Entrambe descrivono un impatto che include la lettura/scrittura remota di file arbitrari e la negazione del servizio. Queste capacità, da sole, non documentano come sia stato avviato un eseguibile ransomware.

Le build corrette indicate nell'avviso di settembre includono 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 e 7.2.1-69057-12. Queste sono versioni minime specifiche per l'avviso, non una garanzia che risolvano ogni problema di sicurezza successivo. Verifica la versione attuale supportata dal modello e i pacchetti interessati.

In che modo un NAS non aggiornato può diventare vulnerabile da remoto?

Un NAS è un server a cui è collegato dello spazio di archiviazione. La sua interfaccia browser, i protocolli di condivisione, i componenti di accesso remoto e le applicazioni installate espongono percorsi diversi di elaborazione delle richieste. Una vulnerabilità diventa sfruttabile dall'esterno solo quando sono soddisfatti i prerequisiti, tra cui la raggiungibilità del componente vulnerabile. «Connesso a Internet» è troppo vago per descrivere con precisione questa condizione.

L'inoltro delle porte può rendere un servizio di gestione raggiungibile dall'esterno dell'abitazione o dell'ufficio. Un proxy inverso può esporre la stessa applicazione tramite un hostname e un endpoint TLS diversi. Nessuna delle due configurazioni applica automaticamente patch all'applicazione sottostante. Al contrario, le funzionalità di accesso remoto differiscono per il modo in cui instradano e autorizzano il traffico; i loro nomi, da soli, non dimostrano che esistesse una via d'attacco.

Esiste anche una via attraverso gli endpoint: un malware eseguito con l'account di un utente può modificare una condivisione montata sfruttando le autorizzazioni già assegnate a quell'account. Non è necessario compromettere DSM per danneggiare quei file scrivibili. Si tratta di uno scenario di minaccia generale, non di un'attribuzione relativa alle segnalazioni di ottobre.

Perché i dispositivi NAS restano esposti anche dopo il rilascio delle patch?

La disponibilità di una patch e la sua installazione sono due eventi distinti. Un fornitore può pubblicare una correzione mentre un'installazione rimane su una build precedente, una policy di aggiornamento differito o un ramo non più supportato. Un NAS può continuare a servire i file normalmente per tutto questo intervallo. La disponibilità del servizio, quindi, dice ben poco al proprietario sullo stato delle patch di sicurezza.

Tra i comuni ostacoli operativi figurano le applicazioni con compatibilità incerta, gli amministratori remoti senza una finestra di manutenzione e gli appliance per cui non è mai stato assegnato un responsabile degli aggiornamenti. Sono motivi plausibili di ritardo, non dati rilevati sulle vittime di questa campagna. Per un’azienda, una modifica pianificata con un piano di rollback e ripristino è più sostenibile che rimandare ripetutamente ogni riavvio.

Annota la versione completa di DSM, la build e il suffisso dell’aggiornamento, anziché limitarti a «DSM 7». Anche i normali aggiornamenti di sicurezza e le migrazioni tra versioni principali richiedono una pianificazione diversa. Verifica quali versioni supporta il modello e cosa installa effettivamente la policy di aggiornamento configurata. Attivare gli aggiornamenti automatici è utile, ma non sostituisce la verifica dello stato del supporto e dell’avvenuta installazione.

Perché un NAS è un bersaglio interessante per il ransomware?

Un NAS concentra informazioni che gli utenti non possono ricreare facilmente: fotografie di famiglia, archivi di progetti, lavori condivisi, esportazioni contabili e backup degli endpoint. Un aggressore in grado di compromettere questa raccolta può interrompere più attività contemporaneamente. Questa concentrazione spiega il potenziale potere di ricatto, senza presupporre un importo specifico del riscatto, un numero di vittime o un modello di business criminale.

La disponibilità continua crea un’altra asimmetria. Lo spazio di archiviazione deve essere raggiungibile dai client legittimi, spesso per anni, mentre gli utenti potrebbero esaminare la configurazione solo quando qualcosa si guasta. Ogni servizio aggiuntivo può comportare responsabilità distinte per gli aggiornamenti e il controllo degli accessi. La domanda pertinente è quali funzioni debbano davvero essere raggiungibili, da dove e con quali credenziali.

Anche i ruoli di archiviazione e backup possono sovrapporsi. Un dispositivo usato per ripristinare una workstation potrebbe contenere l’unica copia rimasta di file meno recenti. Se la stessa compromissione consente di modificare sia i dati di lavoro sia le copie di ripristino, l’aggressore acquisisce potere sia sulla disponibilità sia sul ripristino.

Cosa succede dopo che gli aggressori accedono allo spazio di archiviazione NAS?

Le conseguenze dipendono dai permessi effettivi, non semplicemente dal fatto che qualcuno sia «entrato nel NAS». Un account ordinario compromesso può influire sulle condivisioni su cui ha accesso in scrittura, lasciando invece intatte l’amministrazione e le cartelle inaccessibili. Privilegi più ampi possono esporre ulteriori percorsi. I repository di backup, le unità collegate e i controlli degli snapshot devono essere valutati singolarmente, anziché dare per scontato che abbiano tutti lo stesso esito.

Ecco perché «l'autenticazione a più fattori avrebbe impedito l'attacco» e «l'autenticazione a più fattori è inutile» sono entrambe conclusioni poco fondate. L'autenticazione a più fattori protegge i flussi di autenticazione supportati da specifici attacchi agli account. Resta utile insieme all'applicazione degli aggiornamenti e alla limitazione dell'esposizione. Non si può presumere che intervenga su un'operazione vulnerabile non autenticata.

Cosa sappiamo e cosa resta da confermare?

La presenza sullo stesso dispositivo di una vulnerabilità corretta, una versione interessata e un ransomware non dimostra automaticamente un nesso causale. Gli investigatori devono ricostruire una cronologia che colleghi l'esposizione, l'accesso e l'esecuzione del malware o la modifica dei file. Conta anche il momento dell'installazione: un dispositivo aggiornato dopo la compromissione iniziale può risultare aggiornato al momento di un'ispezione successiva.

Un'affermazione secondo cui un NAS completamente aggiornato è stato colpito merita di essere indagata, ma da sola non dimostra la presenza di una vulnerabilità zero-day. Tra le prove pertinenti rientrano la versione completa al momento del sospetto accesso iniziale, le versioni dei pacchetti, i log di accesso, l'attività degli account e i servizi raggiungibili. Una credenziale rubata o una condivisione scrivibile da un client sono spiegazioni diverse da una nuova vulnerabilità in DSM.

Le informazioni pubbliche non forniscono prove sufficienti a livello dei singoli casi per attribuire a tutti i NAS interessati una specifica via d'ingresso, un livello di privilegi o un esito del ripristino. Questo articolo, pertanto, non avanza affermazioni valide per l'intera campagna sulla cancellazione degli snapshot, l'esfiltrazione dei dati, il numero di infezioni o la compromissione di un'intera linea di prodotti.

Cosa rivela questo incidente sulla sicurezza dei NAS?

La lezione più ampia riguarda una serie di responsabilità operative: conoscere il dispositivo, sapere quali servizi sono raggiungibili, mantenere il software supportato e predisporre un percorso di ripristino al di fuori del controllo di chi ha compromesso il sistema. Queste responsabilità si rafforzano a vicenda. Ridurre l'esposizione può eliminare una via d'ingresso; limitare i permessi può contenere i danni; un ripristino indipendente può ridurre le conseguenze se le misure preventive falliscono.

Per un sistema che sembra non essere stato colpito, verifica le versioni e i pacchetti installati e riduci gli accessi non necessari. Se il sistema mostra attività sospette di cifratura o accesso, avvia la risposta all'incidente invece di considerare un normale aggiornamento una misura di bonifica. La guida della CISA ai ransomware offre indicazioni su contenimento e ripristino. Se possibile, isola i sistemi interessati e conserva le prove con l'aiuto di specialisti nella risposta agli incidenti.

Ricostruire un servizio sicuro e ripristinare dati affidabili sono due attività distinte. Un aggiornamento riuscito non dimostra che l'accesso ottenuto in precedenza sia stato rimosso. Il ripristino è esaminato nell'analisi complementare dei limiti dei backup NAS.

FAQ

Synology ha confermato che le due CVE di settembre 2026 sono il punto d'ingresso?

Non nella dichiarazione del 29 ottobre qui esaminata. Fa riferimento a una patch di dicembre 2024 e a SA-24:20. Le due CVE di settembre sono menzionate nell'attribuzione di 360. Queste osservazioni devono restare distinte, salvo ulteriori prove che le colleghino all'incidente.

L'incidente dimostra che tutti i NAS Synology sono vulnerabili?

No. L'applicabilità dipende dal ramo software, dalla build completa, dal componente interessato e dalle condizioni di accesso. Non è possibile trarre una conclusione valida per tutto il produttore sulla base di segnalazioni selezionate di incidenti. Consulta l'advisory pertinente e gli aggiornamenti supportati per il modello specifico.

L'MFA impedirà lo sfruttamento di una vulnerabilità senza autenticazione?

L'MFA non corregge una vulnerabilità raggiungibile senza completare il flusso di accesso protetto. Resta comunque utile contro gli attacchi basati sugli account, per i quali è prevista. Affiancala a software aggiornato, esposizione limitata dei servizi e autorizzazioni adeguatamente circoscritte.

Cambiare l'estensione .L0CK3D può ripristinare un file?

No. Ripristinare il nome di un file non ne decritta né ripara il contenuto. Conserva i file interessati e valuta il ripristino da uno stato precedente affidabile. Un indicatore può orientare le indagini, ma da solo non può determinare la vulnerabilità usata per l'accesso iniziale.

L'installazione dell'ultimo aggiornamento rimuove una compromissione esistente?

Non necessariamente. L'applicazione delle patch corregge i comportamenti vulnerabili interessati; non stabilisce se un aggressore abbia già modificato account, configurazione o dati. Un'installazione interessata richiede contenimento, indagini e un piano di ripristino pulito, oltre agli aggiornamenti supportati.

Perché parlare dell'architettura dei backup insieme a una vulnerabilità software?

L'accesso iniziale e il mancato ripristino sono problemi diversi. Un singolo servizio vulnerabile può dare inizio a un incidente, ma credenziali condivise e copie di ripristino raggiungibili possono amplificarne le conseguenze. I backup indipendenti servono a conservare un'opzione di ripristino quando un altro livello viene compromesso.

Conclusione

Le segnalazioni di ransomware su Synology richiedono un'attenzione urgente, senza ricorrere a una narrazione semplicistica e non dimostrata. Tieni distinti la dichiarazione del produttore, le funzionalità dell'advisory e l'attribuzione dei ricercatori. Esamina poi il sistema effettivo: versioni software complete, servizi esposti, autorizzazioni e copie recuperabili. Una patch corregge una vulnerabilità documentata; una progettazione resiliente dello storage limita anche i danni causati dalla compromissione di un account o da un altro guasto. Il prossimo articolo spiega come valutare questa progettazione di ripristino.