Una campaña de ransomware llamada C3RB3R está atacando dispositivos de almacenamiento conectado a la red (NAS) de Synology, y el patrón es familiar: los dispositivos que ejecutan software de sistema operativo desactualizado son los que sufren el cifrado de sus archivos. Si guarda fotos familiares, documentos comerciales o copias de seguridad en un equipo Synology, la protección contra ransomware C3RB3R en Synology NAS se reduce a una breve lista de hábitos que puede empezar a aplicar hoy mismo.
Esta publicación explica cómo funciona el ataque, cómo distinguir un incidente real de una amenaza falsa y qué hacer al respecto.
Cómo funciona el ataque C3RB3R contra Synology NAS
Según el informe de Kaspersky, el ransomware C3RB3R ataca dispositivos Synology NAS que ejecutan sistemas operativos desactualizados y cifra los archivos almacenados en ellos. Algunos artículos de la comunidad y de seguridad se refieren a la misma actividad como LOCK3D o L0CK3D, por lo que puede encontrar varias grafías mientras investiga.
Un NAS es un objetivo atractivo por una razón sencilla: es donde las personas concentran sus datos. Documentos, fotos, carpetas de proyectos compartidas y, a menudo, copias de seguridad se encuentran en un solo lugar, y el dispositivo con frecuencia es accesible desde internet para acceso remoto. Cuando el software de ese dispositivo se queda atrás en las actualizaciones, los atacantes tienen más margen de maniobra.
La presión no termina con el cifrado. Si la víctima se niega a pagar, los criminales amenazan con hacer públicos los datos robados. Pueden contactar a las víctimas por correo electrónico o a través de redes sociales con estas exigencias.
Cifrado real o estafa de extorsión: cómo distinguirlo
No todo mensaje amenazante significa que haya sido hackeado. Kaspersky señala que tales amenazas a menudo no son más que una estafa, un patrón que ha cubierto por separado en su publicación sobre cómo los estafadores usan el correo electrónico para el chantaje y la extorsión. Las exigencias enviadas de forma masiva que afirman tener sus datos son comunes, y muchas son faroles enviados a miles de personas sin acceso real.
El propio NAS es la mejor evidencia. Algunas comprobaciones prácticas:
- Examine sus archivos. Si los documentos son inaccesibles, han sido renombrados o están acompañados de una nota de rescate en el dispositivo, probablemente se trate de un evento de cifrado real. Si todo se abre con normalidad, un correo electrónico por sí solo probablemente sea una amenaza vacía.
- Revise el dispositivo, no el mensaje. Inicie sesión en la interfaz de DSM directamente (no a través de un enlace en un correo electrónico) y revise qué está sucediendo en el sistema.
- Sea honesto sobre el riesgo. Kaspersky es claro en que si su NAS ha sido realmente cifrado, no puede descartar el robo de datos. Trate un incidente de cifrado real como una posible exposición de datos también, no solo como un problema de disponibilidad.
La distinción importa porque la respuesta correcta es diferente. Un farol exige ignorar y reportar el mensaje. Una infección genuina exige contención y recuperación.
Qué hacer si su NAS está cifrado
Si los archivos de su dispositivo están realmente bloqueados, actúe con calma y en orden.
- Desconecte el NAS de la red. Esto ayuda a detener daños mayores y corta cualquier acceso remoto que los atacantes aún puedan tener.
- No confíe en las promesas de los criminales. Pagar no garantiza que sus archivos vuelvan, y no deshace ningún robo que ya haya ocurrido.
- Asuma que los datos pueden haber sido copiados. Piense en lo que estaba almacenado allí: documentos personales, información de clientes, credenciales. Cambie las contraseñas de las cuentas cuyos datos puedan haber estado en el dispositivo, y considere a quién puede ser necesario notificar si los datos pertenecen a clientes o colegas.
- Restaure desde una copia de seguridad limpia. Aquí es donde las copias de seguridad offline o separadas demuestran su valor. Antes de reconectar cualquier cosa, actualice el software del NAS para no restaurar sobre la misma vulnerabilidad.
- Busque ayuda profesional si los datos son críticos para el negocio. Un respondedor de incidentes puede ayudar a determinar qué fue accedido.
Lista de verificación para reforzar el NAS: actualizaciones, servicios expuestos, copias de seguridad, controles de acceso
La propia guía de Synology, tal como se refleja en las fuentes que revisan esta campaña, apunta a un conjunto consistente de soluciones. Ninguna requiere experiencia especial.
Actualice todo. Actualice DSM, el sistema operativo del NAS, y los paquetes instalados. Synology ha instado a los usuarios que ejecutan versiones vulnerables a actualizar de inmediato. Active las actualizaciones automáticas siempre que pueda, y revise el dispositivo ocasionalmente incluso entonces.
Cierre lo que no necesita. Abra solo los servicios que realmente utiliza. Cada puerto expuesto o función de acceso remoto es una puerta que alguien puede intentar. Si no necesita acceder al NAS desde fuera de su hogar u oficina, desactive el acceso directo a internet hacia él.
Refuerce los inicios de sesión. Asegúrese de que Auto Block, Account Protection y la autenticación multifactor estén habilitados. Use contraseñas únicas y largas para las cuentas de administrador, y evite dejar credenciales predeterminadas o compartidas en su lugar.
Ejecute las comprobaciones integradas. Synology Security Advisor puede escanear rutinariamente el dispositivo en busca de vulnerabilidades y configuraciones débiles. Toma minutos y detecta el tipo de deterioro que se acumula con el tiempo.
Mantenga copias de seguridad que el ransomware no pueda alcanzar. Una copia de seguridad que reside en el mismo NAS, o en un recurso compartido al que el NAS siempre puede escribir, puede ser cifrada junto con todo lo demás. Mantenga al menos una copia offline o separada de otro modo, y compruebe que puede restaurar desde ella.
Qué significa esto para usted
Si posee un Synology NAS, la pregunta clave es si está actualizado y qué tan expuesto está. Software desactualizado más acceso orientado a internet es la combinación sobre la que se construye esta campaña. Si no usa un NAS pero recibe un correo electrónico que afirma que alguien tiene sus archivos, recuerde que tales mensajes con frecuencia son estafas y el primer paso es verificar si algo ha sucedido realmente.
Para las pequeñas oficinas, un NAS a menudo contiene datos sobre otras personas, lo que aumenta las apuestas si el robo es posible. Actualizar y limitar el acceso es más barato que cualquier recuperación.
Conclusiones prácticas
- Actualice DSM y todos los paquetes instalados hoy mismo, y active las actualizaciones automáticas.
- Cierre los puertos y servicios de acceso remoto que no utilice.
- Habilite Auto Block, Account Protection y la autenticación multifactor.
- Ejecute Synology Security Advisor y corrija lo que señale.
- Mantenga una copia de seguridad offline y pruebe una restauración.
- Si llega un mensaje de chantaje, revise sus archivos primero antes de reaccionar.
Auditar su configuración ahora es la protección contra ransomware C3RB3R en Synology NAS más efectiva que puede implementar, y lleva mucho menos tiempo que recuperarse de un ataque.
