ransomware
Molte persone considerano un dispositivo NAS domestico poco più di un grande disco rigido collegato al router. Ci archiviano video, foto, documenti e backup, poi per anni quasi si dimenticano del dispositivo. È un grave errore.
In ottobre, gli aggressori hanno iniziato a infettare i NAS Synology con il ransomware C3RB3R (Cerber). Molti utenti segnalano di non riuscire più ad aprire i file nello storage di rete e di trovare nelle cartelle file di testo con richieste di riscatto. E non succede perché qualcuno ha scaricato per errore un file dannoso: è a rischio chiunque abbia dimenticato di aggiornare in tempo il proprio NAS.
In questo articolo spieghiamo esattamente chi è a rischio e come proteggere i propri dati.
Chi prende di mira C3RB3R e come funziona l’attacco
Siamo abituati a pensare che un malware finisca su un dispositivo dopo che qualcuno ha scaricato un file sospetto o seguito le istruzioni di un aggressore. Ma la stragrande maggioranza delle infezioni da C3RB3R avviene senza alcuna interazione dell’utente: all’aggressore basta raggiungere un servizio NAS vulnerabile. È probabile che scanner specializzati aiutino a individuare questi dispositivi cercando automaticamente i sistemi NAS Synology e controllando la versione di DiskStation Manager (DSM).
Il mese scorso, molti proprietari di NAS Synology hanno iniziato a segnalare attacchi C3RB3R. Synology ha confermato ufficialmente il problema e ha dichiarato che gli aggressori stavano sfruttando una vulnerabilità corretta già a dicembre 2024. In base alla descrizione, sembra trattarsi di CVE-2024-10441, una vulnerabilità che consente a un aggressore di eseguire codice arbitrario nel sistema operativo del NAS senza autenticazione.
Nello stesso periodo, i ricercatori di 360.cn hanno segnalato che negli attacchi C3RB3R da loro analizzati erano coinvolte anche altre due vulnerabilità critiche, entrambe con punteggio 9,8: CVE-2026-13639 e CVE-2026-13684. Queste vulnerabilità consentono la lettura o la scrittura arbitraria di file e attacchi denial-of-service (DoS). Synology non ha confermato l’utilizzo di queste vulnerabilità nella campagna. L’azienda le ha corrette con l’aggiornamento DSM di settembre.
In ogni caso, le vulnerabilità citate sopra consentono agli aggressori di colpire un NAS da remoto. Per accedere allo storage, installarvi il ransomware ed eseguirlo, devono essere soddisfatte solo due condizioni:
- Non hai aggiornato il NAS da molto tempo
- L’interfaccia di Synology DiskStation Manager (DSM) è accessibile da Internet (o dalla rete locale)
Tutto qui. L’aggressore non ha bisogno della tua password né di alcuna azione da parte tua. Ogni proprietario di un NAS Synology che non ha aggiornato il sistema in tempo è a rischio.
Se di recente non hai installato personalmente gli aggiornamenti e non ricordi se quelli automatici sono abilitati, ti consigliamo innanzitutto di bloccare l’accesso a Internet del NAS e poi di aggiornare manualmente il dispositivo il prima possibile; in caso contrario, potresti facilmente finire tra le vittime.
Tieni presente che, finché gli aggiornamenti non vengono installati, il dispositivo resta vulnerabile anche agli attacchi dalla rete locale. Quindi, se il NAS Synology è accessibile ad altri utenti sulla LAN, ad esempio perché è condiviso con i vicini o collegato alla rete di un’università, di un ufficio o di un dormitorio, l’opzione più sicura è scollegare il cavo Ethernet e disattivare il Wi-Fi, se il modello di NAS lo supporta. Quindi scarica i file di aggiornamento sul computer, scollega il computer sia dalla rete cablata sia dal Wi-Fi, collega il NAS direttamente al computer con un cavo Ethernet e aggiorna il sistema operativo e le applicazioni in un ambiente completamente isolato.
Un altro motivo per aggiornare il NAS sono le vulnerabilità PHP scoperte di recente. Synology ha già rilasciato aggiornamenti urgenti per il sistema operativo e per le applicazioni Mail Station e Synology Calendar.
Che cosa succede ai file dopo l’infezione?
Una volta entrato nello storage di rete, il ransomware C3RB3R passa in rassegna tutte le cartelle accessibili contenenti dati utente e crittografa i file al loro interno: foto, documenti, archivi, video e registrazioni audio, aggiungendo l’estensione .L0CK3D ai file crittografati. Se un utente prova ad aprirne uno, il sistema segnala che il file è danneggiato o in un formato sconosciuto. Purtroppo, rinominare semplicemente il file non elimina la crittografia.
Come appaiono i file dopo che C3RB3R li ha crittografati
Gli aggressori lasciano anche, con grande premura, un file di testo chiamato read-me3.txt nelle cartelle che contengono file crittografati, con le istruzioni per decrittare i dati presenti sul NAS. A quanto pare basta… aprire il per-nulla-sospetto Tor Browser e pagare gli aggressori per un decryptor che, a loro dire, ripristinerà tutti i file. Inutile dire che non c’è alcuna garanzia di riavere i file integri.
C3RB3R lascia una nota di riscatto come questa in ogni cartella contenente file crittografati. Un’offerta davvero generosa: decrittare gratis un file e poi pagare per tutti gli altri
Perdere tutti o quasi tutti i file potrebbe non essere l’unica conseguenza spiacevole. Gli aggressori spesso ricattano le vittime minacciando di pubblicare i dati rubati: credenziali degli account, foto intime, documenti di lavoro e altre informazioni riservate. Se la vittima si rifiuta di pagare il riscatto, i criminali minacciano di rendere pubblici tutti questi dati. Potrebbero contattarti con queste richieste via e-mail o social media.
Spesso queste minacce non sono altro che una truffa, e abbiamo descritto in dettaglio questi schemi e cosa fare se vieni ricattato nel nostro articolo Estorsione tramite e-mail: in che modo i truffatori utilizzano i ricatti. Ma se il NAS è stato davvero crittografato, purtroppo non puoi escludere il furto di dati.
Cosa fare se il ransomware ha già infettato il NAS Synology
Se il ransomware ha già attaccato il NAS, potresti trovarti in una di queste due situazioni:
- Hai colto il ransomware sul fatto e stai guardando con orrore sempre più file che vengono crittografati e rinominati sotto i tuoi occhi.
- Le cartelle degli utenti sono già state crittografate e l’estensione .L0CK3D è stata aggiunta a tutti i file.
Cosa fare?
1. Scollega immediatamente il NAS da tutte le reti (ma non spegnerlo)
Il NAS deve essere completamente isolato da Internet e dal resto della rete domestica. Scollega dal NAS tutti i cavi tranne il cavo di alimentazione. Se il modello di NAS si collega alla rete locale tramite Wi-Fi, disattiva anche la connessione wireless. Puoi farlo sul NAS stesso (alcuni modelli Synology hanno un pulsante Wi-Fi che disattiva la rete wireless se tenuto premuto) oppure semplicemente scollegando il router dall’alimentazione. In questo modo interrompi l’accesso remoto degli aggressori al dispositivo e impedisci al NAS infetto di raggiungere altri computer e dispositivi di storage.
Se al NAS sono collegate unità USB esterne per aumentarne la capacità di archiviazione, scollega anche quelle: è possibile che il ransomware non le abbia ancora raggiunte.
Metti in pausa le attività di sincronizzazione e backup associate al NAS sui computer e nei servizi cloud. In questo modo eviti che i file danneggiati si propaghino alle altre copie e sovrascrivano versioni ancora integre.
2. Decidi se spegnere il NAS
Se sorprendi Cerber in azione, il primo impulso potrebbe essere quello di staccare il cavo di alimentazione del NAS, ma è meglio non farlo: un’interruzione improvvisa dell’alimentazione può danneggiare i dati in fase di scrittura sul disco. È preferibile usare la normale procedura di spegnimento del NAS, tenendo però presente che così si elimina una possibile strada per recuperare file già crittografati. Con un po’ di fortuna, uno specialista potrebbe riuscire a estrarre una chiave di ripristino dalla RAM del dispositivo. Quando l’alimentazione viene interrotta, la RAM si svuota.
- Se non sei un utente esperto, non conosci nessuno che possa aiutarti con il recupero e la crittografia è ancora in corso, spegni normalmente il NAS; se il dispositivo non risponde, stacca il cavo di alimentazione. In questo modo salverai almeno i file che non sono ancora stati crittografati.
- Se sei un utente avanzato, collega il NAS direttamente a un computer isolato con un cavo Ethernet e prova ad accedere al NAS tramite SSH. Controlla i processi in esecuzione (
sudo ps -ef), individua il processo del ransomware, determina il relativo PID (process ID) e metti in pausa la crittografia senza terminare il processo (sudo kill -STOP PID, dove PID è l’ID del processo del ransomware). Quindi verifica che tutti i thread del processo siano arrestati (statoT) e segui le istruzioni di recupero per C3RB3R / ransomware .L0CK3D per salvare un dump della memoria. Se non riesci a fermare la crittografia, spegni il NAS. - Se i file sul NAS sono già stati crittografati e hai scollegato il dispositivo dalla rete locale, puoi lasciarlo acceso e provare a preservare il contenuto della memoria e recuperare i dati seguendo le istruzioni di recupero per C3RB3R / ransomware .L0CK3D.
3. Salva i file crittografati e la nota di riscatto
Se il ransomware ha terminato di crittografare i file sul NAS e hai scollegato il dispositivo da Internet, prova a collegarti direttamente al NAS e a salvare una copia dei file crittografati e delle istruzioni degli aggressori su un disco rigido esterno vuoto. In futuro i ricercatori di sicurezza potrebbero pubblicare un decryptor gratuito per C3RB3R.
Se hai spento il NAS mentre la crittografia era in corso, non riaccenderlo solo per controllare i processi o copiare i file: la crittografia avviene localmente e potrebbe riprendere dopo il riavvio del dispositivo. In questo caso, rivolgiti a uno specialista affidabile nel recupero dati che possa leggere le unità del NAS senza avviare l’installazione DSM infetta.
Se, seguendo i passaggi precedenti, hai scollegato il NAS dalla rete, lo hai collegato direttamente in un ambiente isolato e hai arrestato i processi del ransomware, puoi salvare tutti i file non crittografati che devi recuperare. È preferibile collegare l’unità di backup al computer connesso direttamente al NAS anziché alla porta USB del NAS: in questo modo si riduce la possibilità che il ransomware si riavvii e crittografi anche quell’unità.
4. Non ripristinare i file e non collegare unità contenenti backup finché il ransomware non è stato rimosso
Non collegare al NAS infetto un’unità esterna contenente un backup e non iniziare a ripristinare file da un backup sul NAS compromesso. Il ransomware potrebbe avviarsi di nuovo e danneggiare l’unità collegata.
5. Dopo aver fermato l’attacco, controlla gli snapshot in Snapshot Replication
Se avevi configurato Snapshot Replication in anticipo e gli aggressori non hanno distrutto gli snapshot, puoi recuperare i dati da lì, ma non ha senso ripristinarli sul NAS compromesso. Per il backup ti servirà un’unità separata.
Per prima cosa, verifica che gli snapshot siano ancora presenti. Dopo aver arrestato il malware, apri Snapshot Replication dal menu principale di DSM sul NAS acceso. Seleziona la cartella condivisa, apri Snapshot → Elenco snapshot, trova uno snapshot creato prima dell’infezione e fai clic su Sfoglia per esaminarne il contenuto. Da qui puoi anche copiare i dati dallo snapshot su un supporto esterno senza ripristinarli nel volume infetto. Per maggiori dettagli sull’uso di Snapshot Replication, consulta le istruzioni di Synology.
6. Cancella completamente il NAS compromesso e reinstalla DSM
Dopo aver salvato tutto il possibile, inclusi i dati crittografati e non crittografati e i log, ripristina il NAS alle impostazioni di fabbrica prima di usarlo di nuovo (Ripristino impostazioni di fabbrica → Cancella tutti i dati).
Tieni presente che questa operazione cancella completamente tutti i dati, le applicazioni e le impostazioni dello storage di rete. Prima del ripristino, controlla i backup creati e assicurati che i file integri copiati si aprano, che le versioni necessarie dei file recuperate dagli snapshot siano state salvate e che i file crittografati, le note di riscatto, i log ed eventuali dump della memoria ottenuti siano archiviati su un altro dispositivo di storage e non sul NAS. Se manca qualcosa, conserva le unità originali o le immagini complete dei dischi per uno specialista del recupero dati. Se puoi fare a meno del NAS per un po’, non avere fretta di cancellarlo: in futuro potrebbero comparire strumenti di decrittazione gratuiti.
Se usavi il NAS poco più che come deposito di file e non contiene nulla di davvero prezioso che non possa essere sostituito, cancella completamente lo storage come descritto sopra prima di usarlo di nuovo e reinstalla DSM da una fonte ufficiale seguendo le istruzioni per installare DSM senza connessione Internet.
Non ripristinare impostazioni da un backup creato dopo l’infezione: potrebbe contenere modifiche apportate dagli aggressori. È meglio configurare il NAS da zero.
7. Controlla gli account potenzialmente compromessi
Reinstallare DSM non invalida password rubate, sessioni o altri segreti relativi ai servizi le cui credenziali potrebbero essere state archiviate sul dispositivo. Pensa a quali servizi venivano usati sul NAS, quali pacchetti aggiuntivi erano installati e a cosa potevano accedere. Passa in rassegna tutti questi servizi, termina le sessioni sospette, revoca chiavi e token interessati, modifica le password e abilita l’autenticazione a due fattori. Consigliamo di conservare tutte le credenziali nell’archivio credenziali criptato di un password manager. Fallo prima di riconnettere lo storage alla rete.
8. Prima di riconnettere il NAS alla rete, disabilita l’accesso remoto non necessario
Disabilita QuickConnect
Questo servizio consente di connettersi al NAS tramite Internet. Per disabilitarlo in DSM 7, apri Pannello di controllo → Accesso esterno → QuickConnect, deseleziona la casella Abilita QuickConnect e fai clic su Applica. Nelle versioni precedenti, la sezione QuickConnect si trova direttamente nel Pannello di controllo.
Controlla se il NAS è esposto a Internet tramite il router
Il router potrebbe essere configurato per inoltrare direttamente al NAS le connessioni in arrivo da Internet, una funzione chiamata port forwarding. Per prima cosa, trova l’indirizzo IP locale del NAS. In DSM lo trovi in Pannello di controllo → Rete → Interfaccia di rete.
Quindi apri le impostazioni del router di casa. Di solito basta digitare l’indirizzo locale del router nel browser; l’indirizzo esatto e le credenziali di accesso sono spesso stampati su un’etichetta del router oppure disponibili nell’app del provider Internet.
Nelle impostazioni del router, cerca una sezione chiamata, ad esempio, Port Forwarding, Forwarding o Port Redirection. Controlla le regole esistenti. Se un campo come Internal IP, Local IP, Destination o Device contiene l’indirizzo IP del NAS, elimina quella regola.
Controlla anche la sezione DMZ, DMZ Host o Exposed Host. Se vi compare l’indirizzo IP del NAS, disabilita la funzione.
Disabilita l’apertura automatica delle porte tramite UPnP
UPnP consente ad applicazioni e dispositivi di chiedere al router di aprire automaticamente le porte. Se non ti serve UPnP, disabilitalo.
Tieni presente che si tratta di un’impostazione che vale per l’intero router, quindi disabilitarla può influire sugli altri dispositivi della rete domestica. Se vuoi mantenere UPnP abilitato per loro, almeno controlla le regole create tramite UPnP e assicurati che nessuna punti all’indirizzo IP del NAS. Se ne trovi, eliminale e, se il router lo consente, blocca l’apertura automatica delle porte per il NAS.
Controlli aggiuntivi
Se utilizzi IPv6, controlla anche le relative regole: le connessioni in ingresso non necessarie verso il NAS devono essere bloccate. Disabilita inoltre tunnel, VPN e altri servizi di accesso remoto non utilizzati, se ne hai configurati. Dopo aver apportato queste modifiche, verifica se il NAS è raggiungibile da una rete esterna, ad esempio tramite una connessione dati mobile.
9. Continua a controllare se viene rilasciato uno strumento gratuito di decrittazione
I ricercatori di cybersecurity pubblicano periodicamente strumenti gratuiti per decrittare i file e recuperarli. Tieni presente che possono richiedere molto tempo prima di comparire; nel frattempo, non fidarti di offerte di “ricercatori” sconosciuti o di siti che promettono di recuperare immediatamente i dati dopo un attacco di una nuova variante di ransomware.
Cosa devono fare i proprietari di sistemi NAS fai-da-te
Molte persone usano loader di terze parti per DiskStation Manager, strumenti non ufficiali del progetto XPenology che consentono di eseguire il sistema operativo Synology su hardware per il quale non era stato originariamente progettato, ad esempio un PC o un server assemblato. Tra gli esempi ci sono Arc, RR (RedPill Recovery) e M-Shell.
Se esegui DSM in questo modo, C3RB3R può attaccare anche il tuo sistema. Ma non avere fretta di aggiornare DSM: verifica prima che la nuova versione sia compatibile sia con il loader sia con l’hardware. In caso contrario, i file potrebbero danneggiarsi.
Se non puoi ancora installare la versione più recente del sistema, limita l’accesso allo storage di rete disabilitando l’accesso esterno e consentendo le connessioni dalla rete locale solo ai dispositivi che ne hanno bisogno. Se possibile, colloca il NAS in un segmento di rete separato. La funzione Monitor Smart Home in Kaspersky Plus e Kaspersky Premium può offrire una protezione aggiuntiva alla rete domestica: mostra tutti i dispositivi presenti sulla rete locale e rileva quando si connettono dispositivi nuovi e sconosciuti.
Come proteggere sia il NAS sia i dati personali
- Non rimandare gli aggiornamenti software del NAS e verifica che gli aggiornamenti automatici siano abilitati.
- Non esporre a Internet le porte 139 e 445: sono bersagli frequenti degli attacchi automatizzati. Queste porte sono utilizzate dal protocollo che consente ai computer di aprire le cartelle condivise su un NAS. È utile nella rete domestica, ma non dovrebbe essere esposto a tutta Internet. Puoi controllare nelle impostazioni del router se queste porte sono aperte.
- Se devi accedere al NAS da remoto, ad esempio mentre sei in viaggio o dall’ufficio, è meglio stabilire prima una connessione remota alla rete domestica e poi accedere allo storage dall’interno di quella rete, anziché esporre direttamente il NAS a Internet.
- Non conservare sul NAS l’unica copia dei file importanti. Configura copie regolari con Snapshot Replication ed esegui backup periodici. Ricorda la regola 3-2-1: conserva tre copie dei dati, due su supporti di archiviazione diversi e una separata dallo storage principale su un disco rigido scollegato.
- Puoi affidare i documenti importanti anche a Kaspersky Password Manager. Può conservare credenziali degli account, note di testo, scansioni di documenti personali, foto, indirizzi, dati delle carte bancarie e documenti PDF nell’archivio credenziali criptato, protetto da una password master che conosci solo tu. L’archivio si sincronizza su tutti i dispositivi, così i dati restano protetti e accessibili sia dal computer sia dallo smartphone.
- Usa una protezione affidabile che impedisca a ransomware e altri malware di essere scaricati sul computer.
- Proteggi l’account amministratore. Abilita l’autenticazione a due fattori, utilizza una password univoca e configura il blocco automatico dopo diversi tentativi di accesso non riusciti, oppure usa le passkey. Conserva password, passkey e token 2FA in un password manager criptato. Queste misure non ti proteggeranno dall’attuale attacco C3RB3R, perché Cerber sfrutta vulnerabilità che non richiedono autenticazione, ma saranno utili se un aggressore tenta di compromettere il tuo account o trova la tua password in una fuga di dati.
Come conservare e proteggere i dati? Leggi anche gli altri nostri articoli:
Consigli