In questo articolo spieghiamo esattamente chi \u00e8 a rischio e come proteggere i propri dati.<\/p>\n
Chi prende di mira C3RB3R e come funziona l\u2019attacco<\/h2>\n
Siamo abituati a pensare che un malware finisca su un dispositivo dopo che qualcuno ha scaricato un file sospetto o seguito le istruzioni di un aggressore. Ma la stragrande maggioranza delle infezioni da C3RB3R avviene senza alcuna interazione dell\u2019utente: all\u2019aggressore basta raggiungere un servizio NAS vulnerabile. \u00c8 probabile che scanner specializzati aiutino a individuare questi dispositivi cercando automaticamente i sistemi NAS Synology e controllando la versione di DiskStation Manager (DSM).<\/p>\n
Il mese scorso, molti proprietari di NAS Synology hanno iniziato a segnalare attacchi C3RB3R. Synology ha confermato ufficialmente<\/a> il problema e ha dichiarato che gli aggressori stavano sfruttando una vulnerabilit\u00e0 corretta gi\u00e0 a dicembre 2024. In base alla descrizione, sembra trattarsi di CVE-2024-10441<\/a>, una vulnerabilit\u00e0 che consente a un aggressore di eseguire codice arbitrario nel sistema operativo del NAS senza autenticazione.<\/p>\n Nello stesso periodo, i ricercatori di 360.cn hanno segnalato<\/a> che negli attacchi C3RB3R da loro analizzati erano coinvolte anche altre due vulnerabilit\u00e0 critiche, entrambe con punteggio 9,8: CVE-2026-13639<\/a> e CVE-2026-13684<\/a>. Queste vulnerabilit\u00e0 consentono la lettura o la scrittura arbitraria di file e attacchi denial-of-service (DoS). Synology non ha confermato l\u2019utilizzo di queste vulnerabilit\u00e0 nella campagna. L\u2019azienda le ha corrette con l\u2019aggiornamento DSM di settembre.<\/p>\n In ogni caso, le vulnerabilit\u00e0 citate sopra consentono agli aggressori di colpire un NAS da remoto. Per accedere allo storage, installarvi il ransomware ed eseguirlo, devono essere soddisfatte solo due condizioni:<\/p>\n Tutto qui. L\u2019aggressore non ha bisogno della tua password n\u00e9 di alcuna azione da parte tua. Ogni<\/em> proprietario di un NAS Synology che non ha <\/strong>aggiornato il sistema in tempo<\/strong><\/a> \u00e8 a rischio<\/strong>.<\/p>\n Se di recente non hai installato personalmente gli aggiornamenti e non ricordi se quelli automatici sono abilitati, ti consigliamo innanzitutto di bloccare l\u2019accesso a Internet del NAS e poi di aggiornare manualmente il dispositivo il prima possibile; in caso contrario, potresti facilmente finire tra le vittime.<\/p>\n Tieni presente che, finch\u00e9 gli aggiornamenti non vengono installati, il dispositivo resta vulnerabile anche agli attacchi dalla rete locale. Quindi, se il NAS Synology \u00e8 accessibile ad altri utenti sulla LAN, ad esempio perch\u00e9 \u00e8 condiviso con i vicini o collegato alla rete di un\u2019universit\u00e0, di un ufficio o di un dormitorio, l\u2019opzione pi\u00f9 sicura \u00e8 scollegare il cavo Ethernet e disattivare il Wi-Fi, se il modello di NAS lo supporta. Quindi scarica i file di aggiornamento sul computer, scollega il computer sia dalla rete cablata sia dal Wi-Fi, collega il NAS direttamente al computer con un cavo Ethernet e aggiorna il sistema operativo e le applicazioni in un ambiente completamente isolato.<\/p>\n Un altro motivo per aggiornare il NAS sono le vulnerabilit\u00e0 PHP scoperte di recente<\/a>. Synology ha gi\u00e0 rilasciato aggiornamenti urgenti per il sistema operativo e per le applicazioni Mail Station e Synology Calendar<\/a>.<\/p>\n Una volta entrato nello storage di rete, il ransomware C3RB3R passa in rassegna tutte le cartelle accessibili contenenti dati utente e crittografa i file al loro interno: foto, documenti, archivi, video e registrazioni audio, aggiungendo l\u2019estensione .L0CK3D<\/em> ai file crittografati. Se un utente prova ad aprirne uno, il sistema segnala che il file \u00e8 danneggiato o in un formato sconosciuto. Purtroppo, rinominare semplicemente il file non elimina la crittografia.<\/p>\n Come appaiono i file dopo che C3RB3R li ha crittografati<\/p><\/div>\n Gli aggressori lasciano anche, con grande premura, un file di testo chiamato read-me3.txt nelle cartelle che contengono file crittografati, con le istruzioni per decrittare i dati presenti sul NAS. A quanto pare basta\u2026 aprire il per-nulla-sospetto Tor Browser e pagare gli aggressori per un decryptor che, a loro dire, ripristiner\u00e0 tutti i file. Inutile dire che non c\u2019\u00e8 alcuna garanzia di riavere i file integri.<\/p>\n C3RB3R lascia una nota di riscatto come questa in ogni cartella contenente file crittografati. Un\u2019offerta davvero generosa: decrittare gratis un file e poi pagare per tutti gli altri<\/p><\/div>\n Perdere tutti o quasi tutti i file potrebbe non essere l\u2019unica conseguenza spiacevole. Gli aggressori spesso ricattano le vittime minacciando di pubblicare i dati rubati: credenziali degli account, foto intime, documenti di lavoro e altre informazioni riservate. Se la vittima si rifiuta di pagare il riscatto, i criminali minacciano di rendere pubblici tutti questi dati. Potrebbero contattarti con queste richieste via e-mail o social media.<\/p>\n Spesso queste minacce non sono altro che una truffa, e abbiamo descritto in dettaglio questi schemi e cosa fare se vieni ricattato nel nostro articolo Estorsione tramite e-mail: in che modo i truffatori utilizzano i ricatti<\/strong><\/a>. Ma se il NAS \u00e8 stato davvero crittografato, purtroppo non puoi escludere il furto di dati.<\/p>\n Se il ransomware ha gi\u00e0 attaccato il NAS, potresti trovarti in una di queste due situazioni:<\/p>\n Cosa fare?<\/p>\n Il NAS deve essere completamente isolato da Internet e dal resto della rete domestica. Scollega dal NAS tutti i cavi tranne il cavo di alimentazione<\/strong>. Se il modello di NAS si collega alla rete locale tramite Wi-Fi, disattiva anche la connessione wireless. Puoi farlo sul NAS stesso (alcuni modelli Synology hanno un pulsante Wi-Fi che disattiva la rete wireless se tenuto premuto) oppure semplicemente scollegando il router dall\u2019alimentazione. In questo modo interrompi l\u2019accesso remoto degli aggressori al dispositivo e impedisci al NAS infetto di raggiungere altri computer e dispositivi di storage.<\/p>\n Se al NAS sono collegate unit\u00e0 USB esterne per aumentarne la capacit\u00e0 di archiviazione, scollega anche quelle: \u00e8 possibile che il ransomware non le abbia ancora raggiunte.<\/p>\n Metti in pausa le attivit\u00e0 di sincronizzazione e backup associate al NAS sui computer e nei servizi cloud. In questo modo eviti che i file danneggiati si propaghino alle altre copie e sovrascrivano versioni ancora integre.<\/p>\n Se sorprendi Cerber in azione, il primo impulso potrebbe essere quello di staccare il cavo di alimentazione del NAS, ma \u00e8 meglio non farlo: un\u2019interruzione improvvisa dell\u2019alimentazione pu\u00f2 danneggiare i dati in fase di scrittura sul disco. \u00c8 preferibile usare la normale procedura di spegnimento del NAS, tenendo per\u00f2 presente che cos\u00ec si elimina una possibile strada per recuperare file gi\u00e0 crittografati. Con un po\u2019 di fortuna, uno specialista potrebbe riuscire a estrarre una chiave di ripristino<\/a> dalla RAM del dispositivo. Quando l\u2019alimentazione viene interrotta, la RAM si svuota.<\/p>\n Se il ransomware ha terminato di crittografare i file sul NAS e hai scollegato il dispositivo da Internet, prova a collegarti direttamente al NAS e a salvare una copia dei file crittografati e delle istruzioni degli aggressori su un disco rigido esterno vuoto<\/strong>. In futuro i ricercatori di sicurezza potrebbero pubblicare un decryptor gratuito per C3RB3R.<\/p>\n Se hai spento il NAS mentre la crittografia era in corso, non riaccenderlo solo per controllare i processi o copiare i file: la crittografia avviene localmente e potrebbe riprendere dopo il riavvio del dispositivo. In questo caso, rivolgiti a uno specialista affidabile nel recupero dati che possa leggere le unit\u00e0 del NAS senza avviare l\u2019installazione DSM infetta.<\/p>\n Se, seguendo i passaggi precedenti, hai scollegato il NAS dalla rete, lo hai collegato direttamente in un ambiente isolato e hai arrestato i processi del ransomware, puoi salvare tutti i file non crittografati che devi recuperare. \u00c8 preferibile collegare l\u2019unit\u00e0 di backup al computer connesso direttamente al NAS anzich\u00e9 alla porta USB del NAS: in questo modo si riduce la possibilit\u00e0 che il ransomware si riavvii e crittografi anche quell\u2019unit\u00e0.<\/p>\n Non collegare al NAS infetto un\u2019unit\u00e0 esterna contenente un backup e non iniziare a ripristinare file da un backup sul NAS compromesso. Il ransomware potrebbe avviarsi di nuovo e danneggiare l\u2019unit\u00e0 collegata.<\/p>\n Se avevi configurato Snapshot Replication in anticipo e gli aggressori non hanno distrutto gli snapshot, puoi recuperare i dati da l\u00ec, ma non ha senso ripristinarli sul NAS compromesso. Per il backup ti servir\u00e0 un\u2019unit\u00e0 separata.<\/p>\n Per prima cosa, verifica che gli snapshot siano ancora presenti. Dopo aver arrestato il malware, apri Snapshot Replication dal menu principale di DSM sul NAS acceso. Seleziona la cartella condivisa, apri Snapshot<\/em> \u2192 Elenco snapshot<\/em>, trova uno snapshot creato prima dell\u2019infezione e fai clic su Sfoglia<\/em> per esaminarne il contenuto. Da qui puoi anche copiare i dati dallo snapshot su un supporto esterno senza ripristinarli nel volume infetto. Per maggiori dettagli sull\u2019uso di Snapshot Replication, consulta le istruzioni di Synology<\/a>.<\/p>\n Dopo aver salvato tutto il possibile, inclusi i dati crittografati e non crittografati e i log, ripristina il NAS alle impostazioni di fabbrica prima di usarlo di nuovo (Ripristino impostazioni di fabbrica<\/em> \u2192 Cancella tutti i dati<\/em>).<\/p>\n Tieni presente che questa operazione cancella completamente tutti i dati, le applicazioni e le impostazioni dello storage di rete. Prima del ripristino, controlla i backup creati e assicurati che i file integri copiati si aprano, che le versioni necessarie dei file recuperate dagli snapshot siano state salvate e che i file crittografati, le note di riscatto, i log ed eventuali dump della memoria ottenuti siano archiviati su un altro dispositivo di storage e non sul NAS. Se manca qualcosa, conserva le unit\u00e0 originali o le immagini complete dei dischi per uno specialista del recupero dati. Se puoi fare a meno del NAS per un po\u2019, non avere fretta di cancellarlo: in futuro potrebbero comparire strumenti di decrittazione gratuiti.<\/p>\n Se usavi il NAS poco pi\u00f9 che come deposito di file e non contiene nulla di davvero prezioso che non possa essere sostituito, cancella completamente lo storage come descritto sopra prima di usarlo di nuovo e reinstalla DSM da una fonte ufficiale seguendo le istruzioni per installare DSM senza connessione Internet<\/a>.<\/p>\n Non ripristinare impostazioni da un backup creato dopo l\u2019infezione: potrebbe contenere modifiche apportate dagli aggressori. \u00c8 meglio configurare il NAS da zero.<\/p>\n Reinstallare DSM non invalida password rubate, sessioni o altri segreti relativi ai servizi le cui credenziali potrebbero essere state archiviate sul dispositivo. Pensa a quali servizi venivano usati sul NAS, quali pacchetti aggiuntivi erano installati e a cosa potevano accedere. Passa in rassegna tutti questi servizi, termina le sessioni sospette, revoca chiavi e token interessati, modifica le password e abilita l\u2019autenticazione a due fattori. Consigliamo di conservare tutte le credenziali nell\u2019archivio credenziali criptato di un password manager<\/a>. Fallo prima di riconnettere lo storage alla rete.<\/p>\n Questo servizio consente di connettersi al NAS tramite Internet. Per disabilitarlo in DSM 7, apri Pannello di controllo \u2192 Accesso esterno \u2192 QuickConnect<\/em>, deseleziona la casella Abilita QuickConnect<\/em> e fai clic su Applica<\/em>. Nelle versioni precedenti, la sezione QuickConnect<\/em> si trova direttamente nel Pannello di controllo<\/em>.<\/p>\n Il router potrebbe essere configurato per inoltrare direttamente al NAS le connessioni in arrivo da Internet, una funzione chiamata port forwarding. Per prima cosa, trova l\u2019indirizzo IP locale del NAS. In DSM lo trovi in Pannello di controllo \u2192 Rete \u2192 Interfaccia di rete<\/em>.<\/p>\n Quindi apri le impostazioni del router di casa. Di solito basta digitare l\u2019indirizzo locale del router nel browser; l\u2019indirizzo esatto e le credenziali di accesso sono spesso stampati su un\u2019etichetta del router oppure disponibili nell\u2019app del provider Internet.<\/p>\n Nelle impostazioni del router, cerca una sezione chiamata, ad esempio, Port Forwarding<\/em>, Forwarding<\/em> o Port Redirection<\/em>. Controlla le regole esistenti. Se un campo come Internal IP<\/em>, Local IP<\/em>, Destination<\/em> o Device<\/em> contiene l\u2019indirizzo IP del NAS, elimina quella regola.<\/p>\n Controlla anche la sezione DMZ, DMZ Host o Exposed Host. Se vi compare l\u2019indirizzo IP del NAS, disabilita la funzione.<\/p>\n UPnP consente ad applicazioni e dispositivi di chiedere al router di aprire automaticamente le porte. Se non ti serve UPnP, disabilitalo.<\/p>\n Tieni presente che si tratta di un\u2019impostazione che vale per l\u2019intero router, quindi disabilitarla pu\u00f2 influire sugli altri dispositivi della rete domestica. Se vuoi mantenere UPnP abilitato per loro, almeno controlla le regole create tramite UPnP e assicurati che nessuna punti all\u2019indirizzo IP del NAS. Se ne trovi, eliminale e, se il router lo consente, blocca l\u2019apertura automatica delle porte per il NAS.<\/p>\n Se utilizzi IPv6, controlla anche le relative regole: le connessioni in ingresso non necessarie verso il NAS devono essere bloccate. Disabilita inoltre tunnel, VPN e altri servizi di accesso remoto non utilizzati, se ne hai configurati. Dopo aver apportato queste modifiche, verifica se il NAS \u00e8 raggiungibile da una rete esterna, ad esempio tramite una connessione dati mobile.<\/p>\n I ricercatori di cybersecurity pubblicano periodicamente strumenti gratuiti per decrittare i file e recuperarli. Tieni presente che possono richiedere molto tempo prima di comparire; nel frattempo, non fidarti di offerte di \u201cricercatori\u201d sconosciuti o di siti che promettono di recuperare immediatamente i dati dopo un attacco di una nuova variante di ransomware.<\/p>\n Molte persone usano loader di terze parti per DiskStation Manager, strumenti non ufficiali del progetto XPenology<\/a> che consentono di eseguire il sistema operativo Synology su hardware per il quale non era stato originariamente progettato, ad esempio un PC o un server assemblato. Tra gli esempi ci sono Arc, RR (RedPill Recovery) e M-Shell.<\/p>\n Se esegui DSM in questo modo, C3RB3R pu\u00f2 attaccare anche il tuo sistema. Ma non avere fretta di aggiornare DSM: verifica prima che la nuova versione sia compatibile sia con il loader sia con l\u2019hardware. In caso contrario, i file potrebbero danneggiarsi.<\/p>\n Se non puoi ancora installare la versione pi\u00f9 recente del sistema, limita l\u2019accesso allo storage di rete disabilitando l\u2019accesso esterno e consentendo le connessioni dalla rete locale solo ai dispositivi che ne hanno bisogno. Se possibile, colloca il NAS in un segmento di rete separato. La funzione Monitor Smart Home<\/a> in Kaspersky Plus<\/a> e Kaspersky Premium<\/a>\u00a0pu\u00f2 offrire una protezione aggiuntiva alla rete domestica: mostra tutti i dispositivi presenti sulla rete locale e rileva quando si connettono dispositivi nuovi e sconosciuti.<\/p>\n Come conservare e proteggere i dati? Leggi anche gli altri nostri articoli:<\/p>\n Il ransomware C3RB3R sta attaccando i dispositivi NAS Synology che eseguono sistemi operativi obsoleti e sta crittografando i file archiviati al loro interno. Spieghiamo quali NAS sono a rischio, come proteggersi dall\u2019attacco e cosa fare se i dati sono gi\u00e0 stati crittografati.<\/p>\n","protected":false},"author":2698,"featured_media":31117,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2641],"tags":[101,1263,22,2681,635,3968],"class_list":["post-31116","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-backup","tag-dati-personali","tag-malware-2","tag-nas","tag-ransomware","tag-storage-di-rete"],"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/synology-c3rb3r-attack\/31116\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/synology-c3rb3r-attack\/31202\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/synology-c3rb3r-attack\/26233\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/synology-c3rb3r-attack\/13776\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/synology-c3rb3r-attack\/31044\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/synology-c3rb3r-attack\/29595\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/synology-c3rb3r-attack\/32578\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/synology-c3rb3r-attack\/42962\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/synology-c3rb3r-attack\/15025\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/synology-c3rb3r-attack\/56663\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/synology-c3rb3r-attack\/24508\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/synology-c3rb3r-attack\/25429\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/synology-c3rb3r-attack\/33948\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/synology-c3rb3r-attack\/36945\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/synology-c3rb3r-attack\/36613\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/ransomware\/","name":"ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31116","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=31116"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31116\/revisions"}],"predecessor-version":[{"id":31123,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31116\/revisions\/31123"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/31117"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=31116"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=31116"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=31116"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Che cosa succede ai file dopo l\u2019infezione?<\/h2>\n
![\"Il](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/89\/2026\/11\/10153744\/synology-c3rb3r-attack-01.png\" "\\"Il")
<\/a>![\"Il](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/89\/2026\/11\/10153634\/synology-c3rb3r-attack-02.png\" "\\"Il")
<\/a>Cosa fare se il ransomware ha gi\u00e0 infettato il NAS Synology<\/h2>\n
\n
1. Scollega immediatamente il NAS da tutte le reti (ma non spegnerlo)<\/h3>\n
2. Decidi se spegnere il NAS<\/h3>\n
\n
sudo ps -ef<\/code>), individua il processo del ransomware, determina il relativo PID (process ID) e metti in pausa la crittografia senza terminare il processo (sudo kill -STOP PID<\/code>, dove PID \u00e8 l\u2019ID del processo del ransomware). Quindi verifica che tutti i thread del processo siano arrestati (stato T<\/code>) e segui le istruzioni di recupero per C3RB3R \/ ransomware .L0CK3D<\/a> per salvare un dump della memoria. Se non riesci a fermare la crittografia, spegni il NAS<\/strong>.<\/li>\n3. Salva i file crittografati e la nota di riscatto<\/h3>\n
4. Non ripristinare i file e non collegare unit\u00e0 contenenti backup finch\u00e9 il ransomware non \u00e8 stato rimosso<\/h3>\n
5. Dopo aver fermato l\u2019attacco, controlla gli snapshot in Snapshot Replication<\/h3>\n
6. Cancella completamente il NAS compromesso e reinstalla DSM<\/h3>\n
7. Controlla gli account potenzialmente compromessi<\/h3>\n
8. Prima di riconnettere il NAS alla rete, disabilita l\u2019accesso remoto non necessario<\/h3>\n
Disabilita QuickConnect<\/h4>\n
Controlla se il NAS \u00e8 esposto a Internet tramite il router<\/h4>\n
Disabilita l\u2019apertura automatica delle porte tramite UPnP<\/h4>\n
Controlli aggiuntivi<\/h4>\n
9. Continua a controllare se viene rilasciato uno strumento gratuito di decrittazione<\/h3>\n
Cosa devono fare i proprietari di sistemi NAS fai-da-te<\/h2>\n
Come proteggere sia il NAS sia i dati personali<\/h2>\n
\n
\n