Шифрувальник L0CK3D атакує NAS Synology зі старою DSM

Власникам домашніх і офісних NAS Synology варто сьогодні ж перевірити версію DSM. З початку жовтня 2026 року вимагач C3RB3R шифрує файли на мережевих сховищах із застарілою системою. До імен файлів він дописує розширення .L0CK3D, а в кожну теку кладе записку read-me3.txt з вимогою викупу в біткоїнах. Безкоштовного дешифратора поки немає.

Synology підтвердила кампанію в офіційній заяві і наполегливо просить оновити DSM. Мінімальні безпечні збірки такі:

• DSM 7.2.2 — 7.2.2-72806-1 і новіші;
• DSM 7.2.1 — 7.2.1-69057-6 і новіші;
• DSM 7.2 — 7.2-64570-4 і новіші;
• DSM 7.1 — 7.1.1-42962-7 і новіші;
• DSM 6.2 — 6.2.4-25556-8 і новіші.

Яка саме діра править за вхід, поки що сперечаються. Synology пов’язує атаки з критичною вразливістю CVE-2024-10441, виправленою ще 2024 року (бюлетень SA-24-20). Китайська компанія Qihoo 360 називає інші діри — CVE-2026-13684 і CVE-2026-13639, закриті в бюлетені SA-26-13. За іншими даними, зловмисники потрапляють досередини через контейнери Docker із відкритими в інтернет портами та через вразливі рідні пакети на кшталт MailStation і Synology Calendar. Версія, що оновлена система теж не гарантує захисту, не підтверджена, але загальний висновок один: ставте всі свіжі оновлення.

Якщо NAS ще не заражений, оновіть DSM, увімкніть автоматичні оновлення й приберіть інтерфейс керування та контейнери з прямого доступу з інтернету. Якщо файли вже зашифровані, не форматуйте диски й не перевстановлюйте систему: збережіть записку та журнали й повідомте Synology.

Окремо про копії: за повідомленнями дослідників, шифрувальник дістається й до локальних бекапів на самому сховищі, зокрема до тек Hyper Backup. Надійна лише копія, що лежить на іншому носії або в хмарі й відключена від NAS. Про те, чим синхронізація відрізняється від справжньої резервної копії, ми вже писали.