Ransomware C3RB3R: Synology-NAS jetzt absichern

Dieser Beitrag wurde mit KI erstellt.

Eine Ransomware namens C3RB3R verschlüsselt seit Anfang Oktober 2026 Dateien auf Synology-NAS-Systemen und hängt ihnen die Endung .L0CK3D an. Synology hat am 29.10.2026 alle Nutzer mit veralteten DSM-Versionen aufgefordert, sofort zu aktualisieren. Bring DSM und alle Pakete auf den neuesten Stand, nimm die Anmeldeseite deines NAS aus dem Internet und prüfe, ob du eine Sicherung außerhalb des Geräts hast.

Was passiert ist

Das Anti-Ransomware-Team des chinesischen Sicherheitsanbieters Qihoo 360 bearbeitet seit Anfang Oktober Hilferufe von Synology-Besitzern. Die Schadsoftware gehört zur bekannten Cerber-Familie, verschlüsselt Fotos, Dokumente, Code und auch Backup-Dateien auf dem NAS und legt in jedem Ordner eine Lösegeldforderung namens read-me3.txt ab. Einen kostenlosen Entschlüssler gibt es nicht.

Wie die Angreifer hineinkommen, ist umstritten. Synology nennt allein die Lücke CVE-2024-10441 aus dem Sicherheitshinweis SA-24:20, eine Codeausführung ohne Anmeldung, die seit Dezember 2024 geschlossen ist; am 25.10.2026 ist dazu ein Angriffsbeispiel öffentlich erschienen. Qihoo 360 dagegen führt die untersuchten Fälle auf CVE-2026-13639 und CVE-2026-13684 zurück, die Synology am 18.09.2026 mit SA-26:13 geschlossen hat. Ein weiteres Incident-Response-Team meldet einen Fall auf einem aktuellen DSM 7.4.1 und schließt eine neue Lücke, Zusatzpakete oder gestohlene Zugangsdaten noch nicht aus. Mit den PHP-Lücken „PHP2Shell“, über die wir im Beitrag zum PHP-Sicherheitsupdate berichtet haben, hat die Kampagne laut Synology nichts zu tun. Quellen: NAS Compares und Techaeris.

Wer betroffen ist

• Am stärksten gefährdet: ein NAS mit veraltetem DSM, dessen Anmeldeseite per Portweiterleitung aus dem Internet erreichbar ist.
• Backups auf demselben Gerät: Die Ransomware verschlüsselt alles, was sie auf dem NAS erreicht. Ein RAID schützt davor nicht, lokale Snapshots ersetzen kein Backup.
• Auch aktuelle Geräte: Solange der Einfallsweg nicht geklärt ist, gehören auch aktualisierte NAS mit offenen Diensten auf den Prüfstand.

Was du jetzt tun solltest

• DSM aktualisieren: In der Systemsteuerung unter „Aktualisieren und Wiederherstellen“ die neueste DSM-Version für dein Modell einspielen, danach alle Pakete im Paket-Zentrum. Automatische Updates einschalten.
• Zugang schließen: Portweiterleitungen auf DSM entfernen und für den Fernzugriff ein VPN nutzen, etwa über deine Firewall.
• Auf Spuren prüfen: Den Sicherheitsberater laufen lassen, im Aufgabenplaner nach Skripten suchen, die du nicht angelegt hast, und unter „Benutzer und Gruppe“ nach unbekannten Administratoren.
• Konten härten: Standardkonto „admin“ deaktivieren, eindeutige Passwörter vergeben, Zwei-Faktor-Anmeldung einschalten, SSH und ungenutzte Pakete abschalten.
• Backup außer Haus: Eine Sicherung gehört auf ein anderes System an einem anderen Ort, mit mehreren Versionen. Prüfe, ob deine Sicherungsaufgaben wirklich durchlaufen, und teste eine Wiederherstellung.
• Im Ernstfall: Tauchen Dateien mit .L0CK3D auf, trenn das NAS sofort vom Netzwerk, lass es für die Untersuchung unverändert und zahl kein Lösegeld.

So helfen wir dir

Bei unseren Synology-Lösungen halten wir DSM und Pakete aktuell und überwachen Festplatten und Speicherplatz. Als Ziel für Hyper Backup außer Haus nutzt du auf Wunsch unser Rechenzentrum in Gummersbach. Deine Windows- und Linux-Server sichern wir mit dem Server-Backup täglich in unser Rechenzentrum, mit Versionen bis zehn Jahre zurück; die Einrichtung steht im Hilfe-Center unter Windows-Server-Backup einrichten. Warum eine Kopie außer Haus dazugehört, erklärt der Beitrag zur 3-2-1-Backup-Regel. Den Fernzugriff per VPN statt offener Ports richten wir mit unseren Fortinet-Lösungen und der IT-Betreuung & Monitoring ein.

Du willst wissen, ob dein Synology-NAS abgesichert ist? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen dein NAS und deine Sicherung mit dir.