Шифровальщик L0CK3D атакует NAS Synology со старой DSM

Владельцам домашних и офисных NAS Synology стоит сегодня же проверить версию DSM. С начала октября 2026 года вымогатель C3RB3R шифрует файлы на сетевых хранилищах с устаревшей системой. К именам файлов он дописывает расширение .L0CK3D, а в каждую папку кладёт записку read-me3.txt с требованием выкупа в биткоинах. Бесплатного дешифратора пока нет.

Synology подтвердила кампанию в официальном заявлении и настоятельно просит обновить DSM. Минимальные безопасные сборки такие:

• DSM 7.2.2 — 7.2.2-72806-1 и новее;
• DSM 7.2.1 — 7.2.1-69057-6 и новее;
• DSM 7.2 — 7.2-64570-4 и новее;
• DSM 7.1 — 7.1.1-42962-7 и новее;
• DSM 6.2 — 6.2.4-25556-8 и новее.

Какая именно дыра служит входом, пока спорят. Synology связывает атаки с критической уязвимостью CVE-2024-10441, исправленной ещё в 2024 году (бюллетень SA-24-20). Китайская компания Qihoo 360 называет другие бреши — CVE-2026-13684 и CVE-2026-13639, закрытые в бюллетене SA-26-13. По другим данным, злоумышленники заходят через контейнеры Docker с открытыми в интернет портами и через уязвимые родные пакеты вроде MailStation и Synology Calendar. Версия, что обновлённая система тоже не гарантирует защиту, не подтверждена, но общий вывод один: ставьте все свежие обновления.

Если NAS ещё не заражён, обновите DSM, включите автоматические обновления и уберите интерфейс управления и контейнеры из прямого доступа из интернета. Если файлы уже зашифрованы, не форматируйте диски и не переустанавливайте систему: сохраните записку и журналы и сообщите в Synology.

Отдельно о копиях: по сообщениям исследователей, шифровальщик добирается и до локальных бэкапов на самом хранилище, включая папки Hyper Backup. Надёжна только копия, лежащая на другом носителе или в облаке и отключённая от NAS. О том, чем синхронизация отличается от настоящей резервной копии, мы уже писали.