Synology cảnh báo tấn công ransomware nhắm vào thiết bị NAS khai thác lỗ hổng DSM đã vá

Synology đang khuyến cáo khách hàng cập nhật phần mềm DiskStation Manager (DSM) trên các thiết bị Network Attached Storage (NAS) sau khi ghi nhận các vụ tấn công ransomware. Hãng cho biết tin tặc đã khai thác một lỗ hổng được vá từ tháng 12/2024 để nhắm vào các thiết bị chạy phiên bản DSM lỗi thời, với mục tiêu mã hóa dữ liệu và đòi tiền chuộc.

Lỗ hổng bị khai thác

Synology không nêu rõ chính xác lỗ hổng nào đang bị lợi dụng, nhưng dẫn tới bản khuyến cáo bảo mật tháng 11/2024 liệt kê ba lỗ hổng:

• CVE-2024-10441 (điểm CVSS 9.8): lỗi mã hóa hoặc thoát ký tự đầu ra không đúng trong daemon plugin hệ thống của DSM, có thể dẫn tới thực thi mã từ xa.
• CVE-2024-50629 (điểm CVSS 5.3): lỗi tương tự trong thành phần webapi của DSM, cho phép kẻ tấn công từ xa đọc một số tệp giới hạn.
• CVE-2024-10445 (điểm CVSS 4.3): lỗi xác thực chứng chỉ không đúng trong chức năng cập nhật của DSM, cho phép ghi một số tệp giới hạn.

Các lỗ hổng đã được khắc phục trong các phiên bản DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 và 6.2.4-25556-8 trở lên.

Ransomware C3RB3R

Thông tin trên xuất hiện sau khi người dùng báo cáo thiết bị Synology bị tấn công bởi ransomware C3RB3R, vốn mã hóa tệp của người dùng với phần mở rộng .L0CK3D. Theo phân tích của Qihoo 360 Internet Security Center, C3RB3R có lịch sử lâu dài trong việc phát tán ransomware nhắm vào thiết bị NAS, từng khai thác hai lỗ hổng DSM được Synology vá hồi tháng 9/2026: CVE-2026-13684 và CVE-2026-13639, đều có điểm CVSS 9.8, liên quan tới lỗi mã hóa đầu ra trong SCGI và lỗi entropy không đủ trong logic đăng nhập.

Khi hoạt động, C3RB3R quét tệp trên thiết bị bị xâm nhập nhưng bỏ qua 27 thư mục và một số phần mở rộng như BAT, DLL, EXE, LNK, MOD, MSI và SYS để tránh gây sập hệ thống và ảnh hưởng quá trình mã hóa. Các tệp bị mã hóa thành công nhận phần mở rộng .L0CK3D, kèm tệp ghi chú đòi tiền chuộc tên read-me3.txt trong mỗi thư mục bị mã hóa.

Tiền lệ tấn công NAS

Đây không phải lần đầu thiết bị NAS trở thành mục tiêu của ransomware. Năm 2019, thiết bị NAS của QNAP đã bị ransomware QNAPCrypt (hay eCh0raix) xâm nhập. Đến tháng 8/2021, Synology cảnh báo về các cuộc tấn công brute-force do nhóm malware StealthWorker gây ra, dẫn tới lây nhiễm ransomware.

Cũng trong tháng đó, Palo Alto Networks Unit 42 công bố chi tiết một biến thể eCh0raix nhắm vào thiết bị NAS của cả QNAP và Synology, khai thác lỗ hổng như CVE-2021-28799 hoặc dò mật khẩu quản trị phổ biến.

Synology kêu gọi mạnh mẽ người dùng đang chạy phiên bản DSM dễ bị tổn thương cập nhật ngay để bảo vệ hệ thống, đồng thời khuyến nghị bật tự động cập nhật để DSM luôn được cập nhật.

Nguồn: The Hacker News