Ataques de ransomware a NAS Synology: C3RB3R, vulnerabilidades do DSM e o que está confirmado

The late-October Synology NAS ransomware reports reveal a patching and recovery problem, but the public evidence does not establish one entry point for every affected device. Synology's October 29 statement points to a vulnerability patched in December 2024. Security firm 360 attributes the incidents it investigated to two flaws disclosed in September 2026. These statements must be examined separately, rather than joined into a confirmed attack chain.

As questões práticas são quais serviços um atacante poderia alcançar, que acesso obteve e que dados esse acesso poderia alterar. Esta análise, verificada a 31 de outubro de 2026, distingue a declaração do fabricante, as capacidades das vulnerabilidades publicadas e as observações dos investigadores. O guia complementar explica porque RAID, instantâneos e cópias de segurança ainda podem deixar a recuperação vulnerável.

Fotografia de cabeçalho: DYVER / Wikimedia Commons, CC BY-SA 4.0. Recortada e redimensionada; o recorte fotográfico mantém essa licença. Fotografia contextual de hardware NAS, não de um dispositivo afetado ou local de incidente confirmado.

O que aconteceu nos ataques de ransomware de 2026 contra NAS da Synology?

O comunicado da Synology, de 29 de outubro, confirma ataques contra instalações DSM desatualizadas, com o objetivo de encriptar dados e exigir um pagamento. O comunicado faz referência à SA-24:20, um aviso que abrange várias vulnerabilidades. O próprio comunicado não identifica a CVE específica utilizada nestes ataques.

Separadamente, a investigação da 360, de 29 de outubro, identifica o C3RB3R, uma variante do Cerber, em incidentes analisados e atribui a intrusão às CVE-2026-13639 e CVE-2026-13684. Trata-se da atribuição de incidentes feita por um investigador, não de uma declaração de que a Synology confirmou estas vulnerabilidades como ponto de entrada em todos os casos.

A urgência operacional não depende de se esclarecer primeiro todas as questões de atribuição. Um administrador pode reduzir imediatamente a exposição desnecessária e identificar as correções aplicáveis. Explicar com precisão como um determinado NAS foi comprometido exige provas próprias.

O que é o ransomware C3RB3R e como afeta os ficheiros?

O comportamento da amostra descrito pela 360 inclui ficheiros encriptados com o nome alterado para .L0CK3D, usando o algarismo zero, e uma nota chamada read-me3.txt. A análise distingue a encriptação completa de tipos de ficheiro selecionados da encriptação seletiva de outros ficheiros. Estas são características relatadas da amostra, não uma garantia de que todos os incidentes deixem artefactos idênticos.

Mudar o nome de um ficheiro afetado para repor a extensão original não reverte as alterações ao seu conteúdo. Um nome de ficheiro é uma etiqueta; uma aplicação também precisa que os bytes subjacentes mantenham a estrutura esperada. Uma fotografia pode continuar a aparecer numa lista de diretórios sem já conter uma imagem utilizável. A encriptação parcial também pode tornar inutilizável um ficheiro grande sem modificar todos os bytes.

Os indicadores ajudam nas investigações, mas têm limitações. A ausência de uma nota de resgate não prova que um NAS esteja limpo, e uma extensão conhecida, por si só, não identifica a vulnerabilidade de entrada. Preserve artefactos representativos e registos relevantes sem tratar um nome de ficheiro como um diagnóstico completo.

Que vulnerabilidades do DSM estão envolvidas?

A distinção entre os avisos é tecnicamente importante. SA-24:20 foi publicado inicialmente em novembro de 2024 e regista revisões posteriores. Inclui o CVE-2024-10441, um problema crítico no system-plugin-daemon, descrito como permitindo a execução remota de código sem autenticação. A referência posterior da Synology a uma correção de dezembro não deve ser reescrita como a data de publicação inicial do aviso.

SA-26:13 tem data de 18 de setembro de 2026. As descrições de CVE-2026-13639 e CVE-2026-13684 referem-se, respetivamente, a entropia insuficiente na lógica de início de sessão e à codificação de saída em SCGI. Ambas descrevem impacto de leitura/escrita remota arbitrária de ficheiros e de negação de serviço. Essas capacidades não documentam, por si só, como foi iniciado um executável de ransomware.

As versões corrigidas indicadas no aviso de setembro incluem 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 e 7.2.1-69057-12. Estes são os patamares mínimos específicos do aviso, não uma garantia de que resolvam todos os problemas de segurança posteriores. Verifique a versão atual suportada pelo modelo e os pacotes afetados.

Como pode um NAS desatualizado tornar-se vulnerável a ataques remotos?

Um NAS é um servidor com armazenamento. A sua interface de navegador, os protocolos de partilha, os componentes de acesso remoto e as aplicações instaladas expõem diferentes vias de processamento de pedidos. Uma vulnerabilidade só pode ser explorada a partir do exterior quando se verificam os respetivos pré-requisitos, incluindo a acessibilidade de um componente afetado. «Ligado à Internet» é uma expressão demasiado vaga para descrever essa condição com exatidão.

O encaminhamento de portas pode tornar um serviço de gestão acessível a partir do exterior de casa ou do escritório. Um proxy inverso pode expor a mesma aplicação através de outro nome de anfitrião e de um ponto de acesso TLS. Nenhuma destas configurações aplica, por si só, atualizações a uma aplicação subjacente. Por outro lado, as funcionalidades de acesso remoto diferem na forma como encaminham e autorizam o tráfego; os seus nomes, por si só, não provam que existisse uma via de ataque.

Existe também uma via através dos dispositivos finais: o malware executado com a conta de um utilizador pode modificar uma pasta partilhada montada, usando as permissões que essa conta já tem. Não precisa de comprometer o DSM para corromper esses ficheiros com permissão de escrita. Este é um cenário de ameaça geral, não uma atribuição relativa aos relatos de outubro.

Porque é que os dispositivos NAS continuam expostos após a publicação de atualizações?

A disponibilidade das atualizações e a sua implementação são eventos distintos. Um fornecedor pode publicar uma correção enquanto uma instalação continua numa versão mais antiga, ao abrigo de uma política de adiamento das atualizações ou num ramo sem suporte. Um NAS pode continuar a disponibilizar ficheiros normalmente durante todo esse período. Por isso, a disponibilidade do serviço pouco informa o proprietário sobre o estado das atualizações de segurança.

Entre os obstáculos operacionais comuns contam-se aplicações de compatibilidade incerta, administradores remotos sem um período de manutenção disponível e equipamentos cuja responsabilidade pelas atualizações nunca foi atribuída. Estas são razões plausíveis para atrasos, não conclusões baseadas em dados sobre as vítimas desta campanha. Numa empresa, uma alteração agendada com um plano de reversão e recuperação é mais sustentável do que adiar repetidamente cada reinício.

Registe a versão completa do DSM, a compilação e o sufixo da atualização, em vez de apenas «DSM 7». As atualizações de segurança de rotina e as migrações entre versões principais também exigem planeamentos diferentes. Confirme o que é suportado pelo modelo e o que a política de atualização configurada realmente instala. Ativar as atualizações automáticas é útil; não substitui a verificação do estado de suporte e da instalação bem-sucedida.

Porque é que um NAS é um alvo atrativo para ransomware?

Um NAS concentra informações que os utilizadores não conseguem recriar facilmente: fotografias de família, arquivos de projetos, trabalho partilhado, exportações de contabilidade e cópias de segurança de dispositivos. Um atacante que consiga afetar essa coleção pode interromper várias atividades ao mesmo tempo. Esta concentração explica o potencial poder de extorsão, sem pressupor um montante de resgate, número de vítimas ou modelo de negócio criminoso específicos.

A disponibilidade permanente cria outra assimetria. O armazenamento tem de estar acessível aos clientes legítimos, muitas vezes durante anos, enquanto os utilizadores podem só inspecionar a sua configuração quando algo deixa de funcionar. Cada serviço adicional pode implicar uma responsabilidade própria em matéria de atualizações e controlo de acessos. A questão relevante é saber quais as funções que têm mesmo de estar acessíveis, a partir de onde e com que credenciais.

As funções de armazenamento e cópia de segurança também podem sobrepor-se. Um dispositivo utilizado para recuperar uma estação de trabalho pode conter a única cópia restante de ficheiros antigos. Se a mesma intrusão puder modificar tanto os dados de trabalho como as cópias de recuperação, o atacante ganha poder para afetar simultaneamente a disponibilidade e a reposição.

O que acontece depois de os atacantes acederem ao armazenamento NAS?

As consequências dependem das permissões efetivas, não apenas de alguém ter «acesso ao NAS». Uma conta comum comprometida pode afetar as partilhas onde tem permissões de escrita, deixando a administração e as pastas inacessíveis intactas. Privilégios mais abrangentes podem expor vias adicionais. Os repositórios de cópias de segurança, as unidades ligadas e os controlos de instantâneos têm de ser avaliados individualmente, em vez de se presumir que terão todos o mesmo resultado.

É por isso que tanto «a MFA teria impedido o ataque» como «a MFA é inútil» são conclusões pouco fundamentadas. A MFA protege os fluxos de autenticação compatíveis contra determinados ataques a contas. Continua a ser útil em conjunto com a aplicação de atualizações e a limitação da exposição. Não se pode presumir que intervenha numa operação vulnerável sem autenticação.

O que sabemos e o que permanece por confirmar?

A existência de uma vulnerabilidade corrigida, de uma versão afetada e de ransomware no mesmo dispositivo não prova automaticamente uma relação causal. Os investigadores precisam de uma cronologia que relacione a exposição, o acesso e a execução ou modificação de ficheiros. O momento da instalação também é importante: um dispositivo atualizado após o comprometimento inicial pode parecer atualizado quando for inspecionado mais tarde.

Uma alegação que envolva um NAS totalmente atualizado merece investigação, mas não comprova, por si só, a existência de uma vulnerabilidade de dia zero. Entre as provas relevantes incluem-se a versão completa no momento da suspeita de entrada, as versões dos pacotes, os registos de acesso, a atividade das contas e os serviços acessíveis. Uma credencial roubada ou uma pasta partilhada de cliente com permissões de escrita são explicações diferentes de uma nova vulnerabilidade do DSM.

As informações públicas não fornecem provas suficientes sobre cada caso para determinar uma via de entrada, um nível de privilégios ou um resultado de recuperação aplicável a todos os NAS afetados. Por isso, este artigo não faz qualquer afirmação sobre a eliminação de instantâneos, a exfiltração de dados, o número total de infeções ou o comprometimento de uma linha de produtos inteira.

O que revela este incidente sobre a segurança NAS?

A lição mais abrangente é que existe uma cadeia de responsabilidades operacionais: conhecer o equipamento, conhecer os serviços a que é possível aceder, manter o software com suporte e dispor de uma via de recuperação fora do controlo do atacante. Estas responsabilidades reforçam-se mutuamente. Reduzir a exposição pode eliminar uma via de entrada; restringir as permissões pode limitar os danos; uma recuperação independente pode reduzir as consequências se a prevenção falhar.

Num sistema aparentemente não afetado, verifique as versões instaladas e os pacotes e reduza os acessos desnecessários. Se o sistema apresentar sinais suspeitos de encriptação ou atividade de acesso, passe à resposta a incidentes em vez de tratar uma atualização de rotina como uma limpeza. O guia da CISA sobre ransomware fornece orientações para contenção e recuperação. Isole os sistemas afetados, sempre que possível, e preserve as provas com a ajuda adequada de resposta a incidentes.

Reconstruir um serviço limpo e restaurar dados fiáveis são tarefas distintas. Uma atualização bem-sucedida não prova que o acesso obtido anteriormente tenha sido removido. A vertente da recuperação é analisada em a análise complementar dos limites das falhas nas cópias de segurança NAS.

Perguntas frequentes

A Synology confirmou que as duas CVE de setembro de 2026 foram o ponto de entrada?

Não, segundo a declaração de 29 de outubro aqui analisada. Esta refere uma atualização de dezembro de 2024 e o aviso SA-24:20. As duas CVE de setembro são mencionadas na atribuição da 360. Estas observações devem manter-se separadas, a menos que existam provas adicionais que as relacionem com o incidente.

O incidente prova que todos os NAS Synology são vulneráveis?

Não. A aplicabilidade depende da ramificação do software, da versão de compilação completa, do componente afetado e das condições de acesso. Não é possível tirar uma conclusão sobre todo o fabricante com base em relatórios de incidentes selecionados. Consulte o aviso relevante e as atualizações suportadas para o modelo em questão.

A MFA impede a exploração de uma vulnerabilidade sem autenticação?

A autenticação multifator (MFA) não corrige uma vulnerabilidade que possa ser explorada sem concluir o processo de início de sessão protegido. Ainda assim, é valiosa contra ataques suportados baseados em contas. Combine-a com software atualizado, exposição limitada dos serviços e permissões devidamente restringidas.

Alterar a extensão .L0CK3D permite recuperar um ficheiro?

Não. Restaurar o nome de um ficheiro não desencripta nem repara o seu conteúdo. Preserve os ficheiros afetados e investigue a possibilidade de os recuperar a partir de um estado anterior fiável. Um indicador pode orientar a investigação, mas não permite, por si só, determinar a vulnerabilidade usada para obter acesso.

Instalar a atualização mais recente elimina um comprometimento já existente?

Não necessariamente. A aplicação de atualizações corrige os comportamentos vulneráveis abrangidos; não permite determinar se um atacante já alterou contas, configurações ou dados. Uma instalação afetada precisa de contenção, investigação e um plano de recuperação seguro, além das atualizações suportadas.

Por que motivo abordar a arquitetura das cópias de segurança juntamente com uma vulnerabilidade de software?

O acesso inicial e a falha de recuperação são problemas diferentes. Um único serviço vulnerável pode dar início a um incidente, mas as credenciais partilhadas e as cópias de recuperação acessíveis podem agravar as consequências. As cópias de segurança independentes destinam-se a preservar uma opção de recuperação quando outra camada falha.

Conclusão

Os relatos de ransomware da Synology justificam atenção urgente, sem que seja necessário recorrer a uma narrativa simplista e não comprovada. Distinga a declaração do fabricante, as capacidades do aviso e a atribuição do investigador. Depois, examine o sistema real: versões completas do software, serviços expostos, permissões e cópias recuperáveis. Uma atualização corrige uma vulnerabilidade documentada; um sistema de armazenamento resiliente também limita os danos de uma conta comprometida ou de outra falha. O artigo seguinte explica como avaliar esse sistema de recuperação.