Una campagna ransomware chiamata C3RB3R sta prendendo di mira i dispositivi NAS (network-attached storage) Synology, e lo schema è familiare: i dispositivi che eseguono software di sistema obsoleto sono quelli i cui file vengono crittografati. Se conservi foto di famiglia, documenti aziendali o backup su un dispositivo Synology, la protezione ransomware C3RB3R per Synology NAS si riduce a una breve lista di abitudini che puoi adottare fin da oggi.

Questo articolo illustra come funziona l'attacco, come distinguere un incidente reale da una truffa e cosa fare al riguardo.

Come funziona l'attacco C3RB3R ai Synology NAS

Secondo il report di Kaspersky, il ransomware C3RB3R attacca i dispositivi Synology NAS che eseguono sistemi operativi obsoleti e crittografa i file in essi memorizzati. Alcuni articoli della community e della sicurezza fanno riferimento alla stessa attività come LOCK3D o L0CK3D, quindi potresti incontrare diverse grafie durante le tue ricerche.

Un NAS è un obiettivo attraente per un motivo semplice: è dove le persone concentrano i propri dati. Documenti, foto, cartelle di progetto condivise e spesso anche i backup si trovano tutti in un unico posto, e il dispositivo è frequentemente raggiungibile da internet per l'accesso remoto. Quando il software su quel dispositivo rimane indietro con gli aggiornamenti, gli attaccanti hanno più spazio di manovra.

La pressione non si ferma alla crittografia. Se la vittima rifiuta di pagare, i criminali minacciano di rendere pubblici i dati rubati. Possono contattare le vittime via email o attraverso i social media con queste richieste.

Crittografia reale o truffa estorsiva: come distinguere

Non ogni messaggio minatorio significa che sei stato violato. Kaspersky osserva che tali minacce spesso non sono altro che una truffa, uno schema che ha trattato separatamente nel suo articolo su come i truffatori usano l'email per ricatti ed estorsioni. Le richieste inviate in massa che affermano di possedere i tuoi dati sono comuni, e molte sono bluff inviati a migliaia di persone senza alcun accesso reale.

Il NAS stesso è la migliore prova. Alcuni controlli pratici:

  • Guarda i tuoi file. Se i documenti sono inaccessibili, rinominati o accompagnati da una nota di riscatto sul dispositivo, probabilmente hai a che fare con un evento di crittografia reale. Se tutto si apre normalmente, una semplice email è probabilmente una minaccia vuota.
  • Controlla il dispositivo, non il messaggio. Accedi direttamente all'interfaccia DSM (non tramite un link in un'email) e verifica cosa sta succedendo sul sistema.
  • Sii onesto sul rischio. Kaspersky è chiaro: se il tuo NAS è stato effettivamente crittografato, non puoi escludere il furto di dati. Tratta un incidente di crittografia reale anche come una potenziale esposizione dei dati, non solo come un problema di disponibilità.

La distinzione è importante perché la risposta corretta è diversa. Un bluff richiede di ignorare e segnalare il messaggio. Un'infezione reale richiede contenimento e ripristino.

Cosa fare se il tuo NAS è crittografato

Se i file sul tuo dispositivo sono davvero bloccati, agisci con calma e in ordine.

  1. Disconnetti il NAS dalla rete. Questo aiuta a fermare ulteriori danni e interrompe qualsiasi accesso remoto che gli attaccanti potrebbero ancora avere.
  2. Non affidarti alle promesse dei criminali. Pagare non garantisce che i tuoi file tornino, e non annulla alcun furto già avvenuto.
  3. Presumi che i dati possano essere stati copiati. Pensa a cosa era memorizzato lì: documenti personali, informazioni sui clienti, credenziali. Cambia le password degli account i cui dettagli potrebbero essere stati conservati sul dispositivo, e considera chi potrebbe dover essere informato se i dati appartengono a clienti o colleghi.
  4. Ripristina da un backup pulito. È qui che i backup offline o separati dimostrano il loro valore. Prima di riconnettere qualsiasi cosa, aggiorna il software del NAS per non ripristinare sulla stessa vulnerabilità.
  5. Cerca aiuto professionale se i dati sono critici per l'azienda. Un responsabile della gestione degli incidenti può aiutare a determinare cosa è stato consultato.

Checklist di rafforzamento del NAS: aggiornamenti, servizi esposti, backup, controlli di accesso

Le indicazioni di Synology stessa, come riportato nelle fonti che esaminano questa campagna, puntano a una serie coerente di correzioni. Nessuna richiede competenze specialistiche.

Aggiorna tutto. Aggiorna DSM, il sistema operativo del NAS, e i pacchetti installati. Synology ha esortato gli utenti che eseguono versioni vulnerabili ad aggiornare immediatamente. Abilita gli aggiornamenti automatici dove possibile, e controlla comunque il dispositivo occasionalmente.

Chiudi ciò che non ti serve. Apri solo i servizi che usi effettivamente. Ogni porta esposta o funzione di accesso remoto è una porta che qualcuno può provare ad aprire. Se non hai bisogno di raggiungere il NAS dall'esterno della tua casa o ufficio, disattiva l'accesso diretto a internet.

Blocca gli accessi. Assicurati che Auto Block, Account Protection e l'autenticazione a più fattori siano abilitati. Usa password uniche e lunghe per gli account amministratore, ed evita di lasciare credenziali predefinite o condivise.

Esegui i controlli integrati. Synology Security Advisor può scansionare regolarmente il dispositivo alla ricerca di vulnerabilità e impostazioni deboli. Richiede pochi minuti e individua il tipo di degrado che si accumula nel tempo.

Mantieni backup che il ransomware non può raggiungere. Un backup che risiede sullo stesso NAS, o su una condivisione su cui il NAS può sempre scrivere, può essere crittografato insieme a tutto il resto. Mantieni almeno una copia offline o comunque separata, e verifica di poter ripristinare da essa.

Cosa significa per te

Se possiedi un Synology NAS, la domanda chiave è se è aggiornato e quanto è esposto. Software obsoleto più accesso esposto a internet è la combinazione su cui si basa questa campagna. Se non usi un NAS ma ricevi un'email che afferma che qualcuno ha i tuoi file, ricorda che tali messaggi sono spesso truffe e il primo passo è verificare se qualcosa è realmente accaduto.

Per i piccoli uffici, un NAS spesso contiene dati su altre persone, il che aumenta la posta in gioco se il furto è possibile. Aggiornare e limitare l'accesso costa meno di qualsiasi ripristino.

Punti chiave actionable

  • Aggiorna DSM e tutti i pacchetti installati oggi stesso, e attiva gli aggiornamenti automatici.
  • Chiudi le porte e i servizi di accesso remoto che non usi.
  • Abilita Auto Block, Account Protection e l'autenticazione a più fattori.
  • Esegui Synology Security Advisor e correggi ciò che segnala.
  • Mantieni un backup offline e testa un ripristino.
  • Se arriva un messaggio di ricatto, controlla prima i tuoi file prima di reagire.

Verificare la tua configurazione ora è la protezione ransomware C3RB3R per Synology NAS più efficace che puoi mettere in atto, e richiede molto meno tempo del ripristino dopo un attacco.