Synologyは、古いDSMを使うNASで攻撃者がデータを暗号化していると警告し、まずDSMをすぐに更新して自動更新を有効にするよう求めた。警告は2026年10月29日に出された。

この攻撃はC3RB3Rというランサムウェアに結びつけられており、PBX ScienceはCerberファミリーの亜種と説明している。また、DSM上で感染したGitLabを復旧した事例を、GitHubのオープンソースプロジェクトが記録している。

Synologyは何を警告しているのか

Synologyは、2024年12月に修正した脆弱性を悪用する攻撃者を確認したとしている。攻撃は古いDSMを使う機器を狙い、データを暗号化して身代金を要求する。同社の助言は、DSMをすぐに更新し、自動更新を有効にして、アドバイザリーSynology-SA-24:20を読むことだ。

PBX Scienceは、より新しい2件の脆弱性CVE-2026-13639とCVE-2026-13684も挙げている。どちらもCVSS 9.8で、2026年9月18日にアドバイザリーSynology-SA-26:13で公表された。現在の攻撃の侵入経路は確認されていない。被害者の1人はDSM 7.4.1を使っていたとされ、新たな脆弱性や公開中の別のサービスの可能性も排除できない。

どのDSMで新しい脆弱性が修正されるのか

Synology-SA-26:13に記載された修正版は次のとおり。

  • DSM 7.4：7.4-90075
  • DSM 7.3：7.3.2-86009-4
  • DSM 7.2.2：7.2.2-72806-9
  • DSM 7.2.1：7.2.1-69057-12

Synologyの通知には2024年12月の修正のビルド番号がない。コントロールパネルの「更新と復元」を開き、お使いのモデルに提供される最新の更新を適用するとよい。

NASが被害に遭ったかどうかの見分け方

暗号化されたファイルには拡張子.L0CK3Dが付く。「O」は文字ではなく数字のゼロだ。影響を受けたフォルダには、read-me3.txtという名前の脅迫文が現れる。ログセンターに見慣れないログインや大量のファイル変更があることも兆候となる。

NASが暗号化されたらどうするか

c3rb3r-rescueプロジェクトとPBX Scienceは、手順の順序で一致している。

  • NASをネットワークから切り離し、暗号化の拡大を防ぐ。
  • プロセスの強制終了、再起動、DSMの更新、レスキューディスクでの起動はしない。メモリに残る復号材料が失われる恐れがある。
  • 脅迫文、ログ、暗号化されたサンプルファイルを保存し、作業は必ずコピーで行う。
  • Synologyサポートかインシデント対応の専門家に連絡し、身代金は払わない。

C3RB3R向けの無料の公開復号ツールは確認されていない。確実な復旧手段は、NASの外に保管した無事なバックアップだ。

GitHubのツールで自分のファイルを復号できるのか

おそらくできない。c3rb3r-rescueが記録しているのは1件の事例で、16 GiBのメモリコピーから48バイトの鍵材料が得られた。これを使い、作者は同じバージョンの隔離GitLabで約49 GiBの週次バックアップを復元し、80のプロジェクト、23人のユーザー、16のグループ、9,253のLFSオブジェクトが戻った。

プロジェクトは、C3RB3Rファミリー全般に使える復号ツールではないと明記している。対象は分析した1つのサンプルで、回収した鍵はRAM上のセッション鍵であり、攻撃者の秘密鍵ではない。

費用はいくらか、誰が先に動くべきか

更新の価格やカナダ、米国に固有の情報はどの情報源にも記載がない。お使いのモデルについてはSynologyのサポートページを確認してほしい。

古いDSMのままの利用者。 警告の対象であり、最初に更新すべきだ。

NASをインターネットから接続できる利用者。 ポート転送をやめ、VPNかSynologyのリレーサービスを使う。

NAS上でGitLabなどのコンテナを動かすチーム。 GitHubの事例にGitLabが関わっていたため、機器が何を公開しているか点検する。

データのコピーが1つしかない利用者。 RAID構成のNASはバックアップではない。オフラインのコピーを加え、復元を試す。

今日のうちにSynologyの通知とSynology-SA-24:20を開き、DSMを更新して、ログセンターに身に覚えのないログインがないか確認してほしい。