Circulan informes sobre el ransomware L0CK3D que cifra dispositivos NAS Synology, y las víctimas han notado que las extensiones de sus archivos han sido alteradas. El artículo original, una guía del blog SheMo Noransom, describe la actividad como de gran escala y ofrece consejos de respuesta de emergencia. El extracto disponible para nosotros es breve, por lo que esta publicación no afirma detalles específicos sobre cómo entran los atacantes, cuántos dispositivos están afectados o cómo son las demandas de rescate. Lo que sí podemos hacer es presentar una lista de verificación sensata para la recuperación del ransomware L0CK3D en NAS Synology, basada en los síntomas descritos y en la práctica estándar de respuesta a incidentes.

Cómo saber si L0CK3D ha afectado tu NAS Synology

El principal síntoma reportado es el cambio de las extensiones de archivo. Los documentos, fotos y copias de seguridad que antes se abrían con normalidad ahora llevan un sufijo desconocido y no se abren en sus aplicaciones habituales. Otras señales comúnmente asociadas con el ransomware en un NAS incluyen:

  • Archivos que de repente no se pueden previsualizar ni abrir desde File Station o desde una unidad asignada
  • Una nueva nota de texto o HTML que aparece en las carpetas compartidas
  • Actividad de disco o CPU inusualmente alta sin explicación
  • Recursos compartidos que se ven bien en el NAS pero rotos desde tus ordenadores, o al revés

Antes de asumir lo peor, descarta causas simples como un disco fallido, un cambio de permisos o un cliente de sincronización que falla. Si varias carpetas compartidas muestran las extensiones alteradas a la vez, trátalo como una infección hasta que se demuestre lo contrario.

Primeros pasos: aislar el dispositivo y comprobar la exposición

La velocidad importa, pero también importa no empeorar las cosas. Un orden de operaciones tranquilo ayuda.

1. Desconecta el NAS de la red. Desenchufa el cable Ethernet y desactiva el Wi-Fi si corresponde. Esto detiene el cifrado adicional de los recursos compartidos conectados y corta cualquier acceso remoto. Evita un apagado forzado si puedes evitarlo; apagar de forma limpia puede preservar registros útiles, aunque tu prioridad es detener la propagación.

2. Revisa tus otros dispositivos. Si un PC o portátil tenía el NAS montado como unidad, esa máquina podría ser el origen, o podría ser la siguiente. Desconéctala y escanéala antes de volver a conectar cualquier cosa.

3. Documenta lo que ves. Fotografía la pantalla, anota la extensión del archivo y guarda cualquier nota de rescate. Esto ayuda con el análisis posterior, las reclamaciones al seguro o los informes a las autoridades.

4. Revisa cómo estaba expuesto el dispositivo. Pregúntate si el NAS era accesible desde internet mediante reenvío de puertos, funciones de acceso remoto o un panel de administración web. Considera si estabas ejecutando firmware DSM desactualizado, si las cuentas de administrador usaban contraseñas débiles o reutilizadas, y si las cuentas predeterminadas o los servicios innecesarios seguían activos. El material original no especifica el método de entrada, así que deberías asumir que cualquiera de estos podría ser relevante y comprobar cada uno.

5. Cambia las credenciales. Desde un dispositivo limpio, restablece las contraseñas de la cuenta de administrador del NAS, de cualquier cuenta compartida y de todo lo demás que estuviera almacenado o fuera accesible desde el NAS.

Opciones de recuperación y por qué pagar es una mala apuesta

La recuperación más limpia es desde una copia de seguridad a la que el atacante no pudiera llegar. Comprueba si tienes una copia en una unidad externa que estaba desconectada, en otro NAS o en una copia de seguridad en la nube con historial de versiones. Antes de restaurar, borra y reconstruye el NAS con firmware actualizado para no restaurar en un sistema comprometido. Si tus copias de seguridad también estaban en el mismo dispositivo o en un recurso compartido montado, pueden estar cifradas también, y por eso importa el diseño de tu copia de seguridad. Nuestro artículo sobre por qué las copias de seguridad inmutables siguen siendo atacadas por ransomware explica dónde fallan incluso las configuraciones bien intencionadas.

Si no tienes una copia de seguridad limpia, tus opciones se reducen:

  • Busca instantáneas. Si las instantáneas Btrfs estaban habilitadas y no se eliminaron, es posible que puedas revertir. Compruébalo antes de hacer cualquier otra cosa con el volumen.
  • Busca un descifrador público. A veces aparecen herramientas gratuitas para familias específicas de ransomware. Verifica cualquier herramienta de una fuente reputada antes de ejecutarla, y trabaja sobre copias de los datos.
  • Considera ayuda profesional. Una empresa reputada de respuesta a incidentes o recuperación de datos puede evaluar si la recuperación es viable.

En cuanto a pagar, es una mala apuesta. No hay garantía de que recibas un descifrador funcional, y el pago te marca como un objetivo dispuesto. La investigación citada en nuestra cobertura sobre cómo el 64% de las víctimas de ransomware ahora se niegan a pagar sugiere que negarse es cada vez más la norma. Para una visión más amplia de cómo se adaptan los grupos criminales, consulta el análisis de Group-IB sobre la evolución del modelo de negocio del ransomware.

Fortalecer tu NAS para que no sea accesible la próxima vez

La mayoría de los compromisos de NAS se reducen a la exposición y la dejadez. Unos pocos cambios cierran muchas de las puertas habituales:

  • Sácalo de internet público. Elimina los reenvíos de puertos y desactiva cualquier función de acceso remoto que no necesites realmente. Si necesitas acceso remoto, usa una VPN hacia tu red doméstica o de oficina en lugar de exponer el NAS directamente.
  • Mantén DSM y los paquetes actualizados. Habilita las actualizaciones de seguridad automáticas cuando sea práctico y elimina las aplicaciones que ya no uses.
  • Bloquea las cuentas. Desactiva la cuenta de administrador predeterminada, usa contraseñas largas y únicas, y activa la autenticación de dos factores.
  • Usa el Security Advisor integrado. Puede señalar contraseñas débiles y configuraciones arriesgadas.
  • Habilita el bloqueo automático y restringe el acceso por IP cuando encaje en tu configuración.
  • Activa las instantáneas y manténlas en un calendario sensato.
  • Sigue el enfoque 3-2-1. Mantén tres copias de los datos, en dos tipos de medios, con una fuera de línea o fuera de alcance de otro modo.

Qué significa esto para ti

Si gestionas un NAS Synology en casa o en una pequeña empresa, trata estos informes como un motivo para revisar tu configuración, no como una razón para entrar en pánico. Los detalles de la campaña L0CK3D son escasos en la fuente que tenemos, así que evita actuar según rumores sobre exploits específicos. Céntrate en lo que controlas: si tu NAS está expuesto, si está parcheado y si tienes una copia de seguridad que el atacante no pueda tocar. Si ya estás afectado, aísla el dispositivo primero y luego avanza en la recuperación sin enviar dinero a los criminales.

Conclusiones clave

La recuperación del ransomware L0CK3D en NAS Synology es mucho más fácil cuando te preparas antes de un ataque. Hoy, inicia sesión en tu NAS y observa qué está expuesto a internet, confirma que tu firmware está actualizado y comprueba que realmente puedes restaurar un archivo desde la copia de seguridad. Después, infórmate sobre las copias de seguridad inmutables y la tendencia de las víctimas a negarse a pagar para diseñar un plan que no tengas que improvisar bajo presión.