התכל׳ס
- לפי Synology, תוקפים מנצלים פרצה שתוקנה בדצמבר 2024 נגד כוננים עם גרסאות DSM ישנות.
- הכופרה שנקראת C3RB3R מצפינה את הקבצים ודורשת לקנות כלי פענוח ברשת האפלה.
- חברת האבטחה הסינית 360 מייחסת חלק מהמקרים לשתי פרצות אחרות, שתוקנו רק בספטמבר 2026.
- עדכון חוסם את הפריצה, אבל לא מחזיר קבצים שכבר הוצפנו. גיבוי מנותק הוא הדרך לשחזר אותם.
Synology, שמייצרת כונני רשת (NAS) לבית ולעסקים, פרסמה ב-29 באוקטובר אזהרה ללקוחות. לפי החברה, תוקפים מנצלים פרצת אבטחה שתוקנה כבר בדצמבר 2024, ופוגעים בכוננים שעדיין מריצים גרסאות ישנות של מערכת ההפעלה שנקראת DSM. המטרה היא להצפין את הנתונים ולדרוש כופר. Synology קוראת לכל מי שמריץ גרסה פגיעה לעדכן מיד ולהפעיל עדכונים אוטומטיים.
לפי BleepingComputer, Synology כמעט לא מפרסמת אזהרות כאלה. הפעם הקודמת הייתה באוגוסט 2019, אחרי שכופרה בשם eCh0raix הדביקה כוננים של החברה. הדיווחים הראשונים של נפגעים הופיעו בפורומים וב-Reddit יותר משבועיים לפני ההודעה הרשמית. ארגון האבטחה Shadowserver עוקב אחרי יותר מ-380,000 כונני Synology שחשופים לאינטרנט, ולא ידוע כמה מהם עודכנו.
הקבצים מקבלים סיומת חדשה ומכתב כופר
הכופרה נקראת C3RB3R, ומוכרת גם בשם Cerber. היא מוסיפה לקבצים המוצפנים את הסיומת L0CK3D ומשאירה מכתב כופר בקובץ בשם read-me3.txt. המכתב מזהיר שתוכנות שחזור יהרסו את הקבצים, ודורש לקנות כלי פענוח באתר ברשת האפלה, במחיר של אלפי דולרים. כדי לשכנע, התוקפים מציעים לפענח קובץ אחד בחינם.
השם עצמו מוכר. כופרה בשם Cerber פעלה כשירות להשכרה בין 2016 לסוף 2019. הגרסה שנקראת C3RB3R זוהתה לראשונה בדצמבר 2021, אז הופעלה נגד שרתי Confluence ו-GitLab.
לא ברור איזו פרצה בדיוק מנוצלת
Synology מפנה להודעת אבטחה מנובמבר 2024, על פרצות שנחשפו בתחרות הפריצה שנקראת Pwn2Own. החמורה שבהן, הפרצה שמספרה CVE-2024-10441, מאפשרת להריץ קוד מרחוק בלי להתחבר לכונן, וקיבלה ציון חומרה של 9.8 מתוך 10. חברת האבטחה הסינית 360 הגיעה למסקנה אחרת: לפיה, המקרים שהיא חקרה נבעו משתי פרצות שתוקנו רק ב-18 בספטמבר 2026, אלה שמספריהן CVE-2026-13639 ו-CVE-2026-13684. עדיין לא ברור אם מדובר באותם נפגעים ובאותה דרך פריצה.
המשמעות למשתמשים היא שגרסה שתיקנה רק את הפרצה מ-2024 לא בהכרח מספיקה. לפי חברת האבטחה Gridinsoft, הגרסאות המינימליות שכוללות גם את תיקוני ספטמבר הן DSM 7.4 בגרסה 7.4-90075, DSM 7.3 בגרסה 7.3.2-86009-4, DSM 7.2.2 בגרסה 7.2.2-72806-9 ו-DSM 7.2.1 בגרסה 7.2.1-69057-12, או חדשות יותר. ההמלצה הפשוטה היא להתקין את הגרסה האחרונה שזמינה לדגם.
מה עושים עכשיו
ההנחיות נכונות לכל מי שמחזיק כונן של Synology בבית או בעסק, גם בישראל:
- לבדוק את גרסת DSM בלוח הבקרה של הכונן, לעדכן לגרסה האחרונה ולהפעיל עדכונים אוטומטיים.
- לחסום גישה מהאינטרנט לממשק הניהול של DSM. לגישה מרחוק עדיף להשתמש ב-VPN.
- לעדכן גם את החבילות שמותקנות על הכונן, לא רק את מערכת ההפעלה.
- לשמור גיבוי שלא מחובר כל הזמן לכונן עצמו. עדכון לא מפענח קבצים שכבר הוצפנו.
- כונן שכבר נפגע כדאי לנתק מהרשת, לשמור את מכתב הכופר והלוגים, ולפנות לתמיכה של Synology או לחברת תגובה לאירועי סייבר לפני שמאפסים אותו.
הניוזלטר של אנטנה
פעם בשבוע, מייל אחד: הכתבות החשובות של השבוע, מה הגיע לישראל ובכמה.
