Løsepengevirus angriper Synology NAS: Slik sjekker du om din er trygg

Angrepene har pågått siden oktober og rammer en Synology NAS som mangler de siste oppdateringene av operativsystemet DSM. En NAS er en liten filserver med harddisker, som en familie eller en bedrift lagrer bilder, dokumenter og sikkerhetskopier på.

Filene som rammes, får endelsen .L0CK3D. I hver mappe legger viruset en lapp som heter read-me3.txt, og den sier at eneste vei ut er å kjøpe «C3rb3r Decryptor». Ofrene har fått tilbud om verktøyet for flere tusen dollar, flere titusen kroner, på en side på det mørke nettet. Ingen har funnet en gratis måte å låse opp filene på.

I en advarsel 29. oktober ber Synology alle oppdatere DSM med en gang og slå på automatiske oppdateringer. Forrige gang Synology advarte om et pågående angrep, var det i august 2019.

Synology og 360 er uenige

Synology sier at angriperne bruker et hull selskapet rettet i desember 2024. Det kinesiske sikkerhetsselskapet 360, som har hjulpet flere av ofrene, mener angriperne bruker to hull Synology rettet 18. september iår.

Begge de nye hullene kan brukes over nett av noen som ikke har passord, og begge har fått 9,8 av 10 i alvorlighetsgrad. Angrepene begynte i oktober, bare noen uker etter at rettelsen kom.

Oppdaterte du NAS-en iløpet av 2025, men ikke siden september, er du trygg hvis Synology har rett. Har 360 rett, er du det ikke.

Slik sjekker du DSM-versjonen

Logg inn på NAS-en i nettleseren og åpne kontrollpanelet. Under oppdateringer ser du versjonen du kjører, og om det finnes en nyere.

Vil du være trygg uansett hvem som har rett, må du ha minst disse versjonene:

• DSM 7.4: 7.4-90075
• DSM 7.3: 7.3.2-86009-4
• DSM 7.2.2: 7.2.2-72806-9
• DSM 7.2.1: 7.2.1-69057-12

Kjører NAS-en DSM 7.2, 7.1 eller 6.2, er den ikke nevnt i septembervarselet. Synology sier ikke om de eldre versjonene er trygge mot de nye hullene. Mot hullene fra 2024 er de laveste trygge versjonene 7.2-64570-4, 7.1.1-42962-7 og 6.2.4-25556-8.

Steng døren mot internett

Sikkerhetseksperter råder også til å stenge innloggingssiden til DSM for trafikk fra internett. Over 380 000 Synology-enheter kan nås fra nettet, ifølge målingene til sikkerhetsorganisasjonen Shadowserver.

Har du satt opp ruteren til å slippe trafikk utenfra rett inn til NAS-en, er det den åpningen angriperne trenger. Slå den av hvis du ikke bruker den.

Synology er ikke den eneste hjemmeserveren som er angrepet denne høsten. Hackere bruker eldre versjoner av mediaserveren Plex til å lage kryptovaluta til seg selv.

For en NAS som får oppdateringer, er uenigheten mellom Synology og 360 lett å gjøre noe med. Oppdaterer du til siste versjon, er begge hullene tettet.