Ransomwareaanvallen op Synology NAS: C3RB3R, kwetsbaarheden in DSM en wat is bevestigd

The late-October Synology NAS ransomware reports reveal a patching and recovery problem, but the public evidence does not establish one entry point for every affected device. Synology's October 29 statement points to a vulnerability patched in December 2024. Security firm 360 attributes the incidents it investigated to two flaws disclosed in September 2026. These statements must be examined separately, rather than joined into a confirmed attack chain.

De praktische vragen zijn welke diensten een aanvaller kon bereiken, welke toegang werd verkregen en welke gegevens met die toegang konden worden gewijzigd. Deze analyse, gecontroleerd op 31 oktober 2026, maakt onderscheid tussen de verklaring van de leverancier, de gepubliceerde mogelijkheden van kwetsbaarheden en waarnemingen van onderzoekers. De bijbehorende gids legt uit waarom RAID, snapshots en back-ups het herstel nog steeds in gevaar kunnen brengen.

Headerfoto: DYVER / Wikimedia Commons, CC BY-SA 4.0. Bijgesneden en van formaat veranderd; voor de uitsnede van de foto blijft die licentie gelden. Contextuele foto van NAS-hardware, geen geverifieerd getroffen apparaat of incidentlocatie.

Wat gebeurde er bij de ransomwareaanvallen op Synology NAS-apparaten in 2026?

De kennisgeving van Synology van 29 oktober bevestigt aanvallen op verouderde DSM-installaties die erop gericht waren gegevens te versleutelen en betaling te eisen. Er wordt verwezen naar SA-24:20, een advies over verschillende kwetsbaarheden. In de kennisgeving zelf wordt niet vermeld welke specifieke CVE bij deze aanvallen is gebruikt.

Daarnaast identificeert het onderzoek van 360 van 29 oktober C3RB3R, een variant van Cerber, in onderzochte incidenten en schrijft het de toegang toe aan CVE-2026-13639 en CVE-2026-13684. Dat is de toeschrijving van incidenten door een onderzoeker, geen verklaring dat Synology heeft bevestigd dat deze kwetsbaarheden in elk geval als toegangspunt zijn gebruikt.

De operationele urgentie is niet afhankelijk van het eerst oplossen van alle vragen over toeschrijving. Een beheerder kan onmiddellijk onnodige blootstelling beperken en nagaan welke patches van toepassing zijn. Om precies uit te leggen hoe een bepaalde NAS is gecompromitteerd, is eigen bewijsmateriaal nodig.

Wat is C3RB3R-ransomware en welk effect heeft die op bestanden?

Het door 360 beschreven gedrag van de sample omvat versleutelde bestanden met de extensie .L0CK3D, met het cijfer nul, en een bestand met de naam read-me3.txt. In de analyse wordt volledige versleuteling van bepaalde bestandstypen onderscheiden van selectieve versleuteling van andere bestanden. Dit zijn gerapporteerde kenmerken van de sample, geen garantie dat elk incident dezelfde artefacten achterlaat.

Als je een getroffen bestand terug hernoemt naar de oorspronkelijke extensie, worden wijzigingen aan de inhoud niet ongedaan gemaakt. Een bestandsnaam is een label; een toepassing heeft ook de onderliggende bytes nodig om de verwachte structuur te behouden. Een foto kan nog steeds in een directoryvermelding staan, terwijl er geen bruikbare afbeelding meer in zit. Ook kan gedeeltelijke versleuteling een groot bestand onbruikbaar maken zonder elke byte te wijzigen.

Indicatoren helpen bij onderzoeken, maar hebben hun beperkingen. Een ontbrekend losgeldbriefje bewijst niet dat een NAS schoon is, en alleen een bekende bestandsextensie duidt niet op de kwetsbaarheid waardoor de aanvaller binnenkwam. Bewaar representatieve artefacten en relevante logboeken zonder een bestandsnaam als volledige diagnose te beschouwen.

Om welke kwetsbaarheden in DSM gaat het?

Het onderscheid tussen de beveiligingsadviezen is technisch relevant. SA-24:20 werd aanvankelijk gepubliceerd in november 2024 en vermeldt latere herzieningen. Het advies omvat CVE-2024-10441, een kritiek probleem met de system-plugin-daemon dat wordt beschreven als een kwetsbaarheid die uitvoering van externe code zonder authenticatie mogelijk maakt. De latere verwijzing van Synology naar een patch in december mag niet worden weergegeven als de oorspronkelijke publicatiedatum van het advies.

SA-26:13 is gedateerd op 18 september 2026. De beschrijvingen van CVE-2026-13639 en CVE-2026-13684 betreffen respectievelijk onvoldoende entropie in de inloglogica en uitvoercodering in SCGI. Beide beschrijven de mogelijkheid om op afstand willekeurige bestanden te lezen en te schrijven en een denial-of-service te veroorzaken. Op zichzelf leggen deze mogelijkheden niet uit hoe een uitvoerbaar ransomwarebestand is gestart.

De builds met oplossingen in het advies van september zijn onder meer 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 en 7.2.1-69057-12. Dit zijn versiespecifieke minimumniveaus uit het advies, geen garantie dat ze elk later beveiligingsprobleem oplossen. Controleer welke release en pakketten momenteel worden ondersteund voor jouw model en welke pakketten kwetsbaar zijn.

Hoe kan een verouderde NAS op afstand worden misbruikt?

Een NAS is een server met opslag eraan. De browserinterface, protocollen voor het delen van bestanden, componenten voor externe toegang en geïnstalleerde applicaties bieden verschillende paden voor de verwerking van verzoeken. Een kwetsbaarheid kan van buitenaf alleen worden benut als aan de vereisten is voldaan, waaronder dat een kwetsbare component bereikbaar is. ‘Verbonden met internet’ is te vaag om die situatie nauwkeurig te beschrijven.

Port forwarding kan een beheerservice bereikbaar maken van buiten het huis of kantoor. Een reverseproxy kan dezelfde applicatie via een andere hostnaam en een TLS-eindpunt blootstellen. Geen van beide configuraties patcht automatisch een applicatie erachter. Functies voor toegang op afstand verschillen daarentegen in de manier waarop ze verkeer routeren en autoriseren; alleen hun naam bewijst niet dat er een aanvalspad bestond.

Er is ook een route via eindpunten: malware die onder het account van een gebruiker draait, kan een gekoppelde share aanpassen met de rechten die dat account al heeft. De malware hoeft DSM niet te compromitteren om die beschrijfbare bestanden te beschadigen. Dit is een algemeen dreigingsscenario, geen toeschrijving van de meldingen uit oktober.

Waarom blijven NAS-apparaten kwetsbaar nadat patches zijn uitgebracht?

De beschikbaarheid van patches en de implementatie ervan zijn verschillende gebeurtenissen. Een leverancier kan een oplossing publiceren terwijl een installatie op een oudere build blijft staan, een updatebeleid met uitgestelde updates volgt of een niet-ondersteunde versie gebruikt. Een NAS kan gedurende die hele periode gewoon bestanden blijven aanbieden. De beschikbaarheid van de service zegt de eigenaar dus weinig over de status van beveiligingspatches.

Veelvoorkomende operationele obstakels zijn applicaties met onzekere compatibiliteit, beheerders op afstand zonder onderhoudsvenster en apparaten waarvoor nooit iemand verantwoordelijk is gemaakt voor updates. Dit zijn plausibele redenen voor vertraging, geen gemeten bevindingen over de slachtoffers van deze campagne. Voor een bedrijf is een geplande wijziging met een terugdraai- en herstelplan duurzamer dan elke herstart steeds opnieuw uit te stellen.

Noteer de volledige DSM-versie, build en updateaanduiding, niet alleen „DSM 7”. Ook routinebeveiligingsupdates en migraties naar nieuwe hoofdversies vereisen een verschillende planning. Controleer welke versies het model ondersteunt en wat het ingestelde updatebeleid daadwerkelijk installeert. Automatische updates inschakelen is nuttig, maar vervangt niet de controle van de ondersteuningsstatus en een succesvolle installatie.

Waarom is een NAS een aantrekkelijk doelwit voor ransomware?

Een NAS brengt informatie samen die gebruikers niet gemakkelijk opnieuw kunnen maken: familiefoto's, projectarchieven, gedeeld werk, boekhoudoverzichten en back-ups van eindapparaten. Een aanvaller die deze verzameling kan beïnvloeden, kan meerdere activiteiten tegelijk verstoren. Deze concentratie verklaart de mogelijke impact, zonder uit te gaan van een specifiek losgeldbedrag, aantal slachtoffers of crimineel bedrijfsmodel.

Constante beschikbaarheid zorgt voor een andere ongelijkheid. De opslag moet vaak jarenlang bereikbaar zijn voor legitieme clients, terwijl gebruikers de configuratie mogelijk pas bekijken als er iets misgaat. Elke extra service kan afzonderlijke verantwoordelijkheden voor updates en toegangsbeheer met zich meebrengen. De relevante vraag is welke functies echt bereikbaar moeten zijn, vanaf waar en met welke inloggegevens.

Opslag- en back-upfuncties kunnen elkaar ook overlappen. Een apparaat dat wordt gebruikt om een werkstation te herstellen, kan de enige resterende kopie van oudere bestanden bevatten. Als dezelfde inbreuk zowel werkgegevens als herstelkopieën kan wijzigen, krijgt de aanvaller invloed op zowel de beschikbaarheid als het herstel.

Wat gebeurt er nadat aanvallers toegang hebben gekregen tot NAS-opslag?

De gevolgen zijn afhankelijk van de effectieve machtigingen, niet simpelweg van de vraag of iemand „toegang heeft gekregen tot de NAS”. Een gecompromitteerd gewoon account kan de shares beïnvloeden waarop het schrijfrechten heeft, terwijl beheer en ontoegankelijke mappen buiten schot blijven. Ruimere machtigingen kunnen extra paden blootleggen. Back-upopslagplaatsen, aangesloten schijven en momentopnamebeheer moeten elk afzonderlijk worden beoordeeld; ga er niet van uit dat ze allemaal hetzelfde worden getroffen.

Daarom zijn zowel ‘MFA had dit voorkomen’ als ‘MFA is nutteloos’ slechte conclusies. MFA beschermt ondersteunde authenticatiestromen tegen bepaalde aanvallen op accounts. Het blijft nuttig naast patchen en beperkte blootstelling. Je kunt er niet van uitgaan dat MFA tussenbeide komt bij een kwetsbare handeling waarvoor geen authenticatie nodig is.

Wat weten we en wat is nog niet bevestigd?

Dat er een gepatchte kwetsbaarheid, een getroffen versie en ransomware op hetzelfde apparaat zijn, bewijst niet automatisch een oorzakelijk verband. Onderzoekers hebben een tijdlijn nodig die blootstelling, toegang en uitvoering of bestandswijziging met elkaar verbindt. Ook het installatiemoment is van belang: een apparaat dat na de eerste compromittering is bijgewerkt, kan er bij een latere controle actueel uitzien.

Een claim over een volledig gepatchte NAS verdient onderzoek, maar bewijst op zichzelf geen zero-day. Relevant bewijs omvat de volledige versie op het vermoedelijke moment van toegang, pakketversies, toegangslogboeken, accountactiviteit en bereikbare diensten. Een gestolen inloggegeven of een schrijfbare gedeelde map op een client is een andere verklaring dan een nieuwe DSM-kwetsbaarheid.

Openbare berichtgeving biedt onvoldoende bewijs op casusniveau om voor elke getroffen NAS één toegangspad, bevoegdheidsniveau of herstelresultaat vast te stellen. Dit artikel doet daarom geen uitspraak over het verwijderen van snapshots, gegevensdiefstal, het totale aantal infecties of het compromitteren van een volledige productlijn.

Wat onthult dit incident over NAS-beveiliging?

De bredere les is een keten van operationele verantwoordelijkheden: ken het apparaat, weet welke diensten bereikbaar zijn, houd software ondersteund en zorg voor een herstelmogelijkheid buiten de macht van de aanvaller. Deze verantwoordelijkheden versterken elkaar. Minder blootstelling kan een toegangspad afsluiten; beperkte rechten kunnen de schade beperken; onafhankelijk herstel kan de gevolgen verkleinen als preventie faalt.

Controleer bij een systeem dat ogenschijnlijk niet is getroffen de geïnstalleerde builds en pakketten en beperk onnodige toegang. Schakel bij een systeem met verdachte versleuteling of toegangsactiviteit over op incidentrespons in plaats van een routine-update als opschoning te beschouwen. De ransomwaregids van CISA biedt richtlijnen voor indamming en herstel. Isoleer getroffen systemen waar dat praktisch haalbaar is en bewaar bewijsmateriaal met passende hulp bij incidentrespons.

Een schone dienst herstellen en betrouwbare gegevens terugzetten zijn afzonderlijke taken. Een geslaagde update bewijst niet dat eerder verkregen toegang is verwijderd. De herstelkant wordt onderzocht in de bijbehorende analyse van de faalgrenzen van NAS-back-ups.

Veelgestelde vragen

Heeft Synology de twee CVE's uit september 2026 bevestigd als het toegangspunt?

Niet in de hier onderzochte verklaring van 29 oktober. Daarin wordt verwezen naar een patch uit december 2024 en SA-24:20. De twee CVE's uit september worden genoemd in de toeschrijving van 360. Deze bevindingen moeten gescheiden blijven, tenzij aanvullend incidentbewijs ze met elkaar in verband brengt.

Bewijst het incident dat elke Synology-NAS kwetsbaar is?

Nee. De toepasbaarheid hangt af van de softwaretak, de volledige build, het getroffen onderdeel en de toegangsvoorwaarden. Op basis van geselecteerde incidentmeldingen kan geen conclusie over de hele leverancier worden getrokken. Raadpleeg het relevante advies en de ondersteunde updates voor het betreffende model.

Voorkomt MFA misbruik van een kwetsbaarheid waarvoor geen authenticatie nodig is?

MFA verhelpt geen kwetsbaarheid die kan worden bereikt zonder de beveiligde aanmeldingsprocedure te doorlopen. Het biedt nog steeds waardevolle bescherming tegen ondersteunde aanvallen op accounts. Combineer het met actuele software, beperkte blootstelling van services en passende, beperkte machtigingen.

Kan een bestandsnaam wijzigen van de extensie .L0CK3D een bestand herstellen?

Nee. Door een bestandsnaam te herstellen, wordt de inhoud niet ontsleuteld of gerepareerd. Bewaar de getroffen bestanden en onderzoek herstel vanuit een betrouwbare eerdere staat. Een indicator kan richting geven aan het onderzoek, maar kan op zichzelf niet vaststellen via welke kwetsbaarheid de aanvaller is binnengekomen.

Verwijdert het installeren van de nieuwste update een bestaande compromittering?

Niet noodzakelijk. Patches verhelpen kwetsbaar gedrag waarvoor een oplossing beschikbaar is, maar geven geen uitsluitsel over de vraag of een aanvaller accounts, configuratie of gegevens al heeft gewijzigd. Voor een getroffen installatie zijn naast ondersteunde updates ook indamming, onderzoek en een schoon herstelplan nodig.

Waarom de back-uparchitectuur bespreken naast een softwarekwetsbaarheid?

Eerste toegang en mislukte herstelpogingen zijn verschillende problemen. Eén kwetsbare service kan een incident in gang zetten, maar gedeelde inloggegevens en bereikbare herstelkopieën kunnen de gevolgen ervan vergroten. Onafhankelijke back-ups zijn bedoeld om een herstelmogelijkheid te behouden wanneer een andere laag uitvalt.

Conclusie

De Synology-ransomwaremeldingen verdienen dringende aandacht, zonder dat daar een simplistisch, onbewezen verhaal voor nodig is. Houd de verklaring van de leverancier, de mogelijkheden van het advies en de toeschrijving aan onderzoekers van elkaar gescheiden. Onderzoek vervolgens het daadwerkelijke systeem: de volledige softwareversies, blootgestelde services, machtigingen en herstelbare kopieën. Een patch verhelpt een gedocumenteerde kwetsbaarheid; een veerkrachtig opslagontwerp beperkt ook de schade door een accountcompromittering of een andere storing. In het volgende artikel leest u hoe u dat herstelontwerp beoordeelt.