Synology는 오래된 DSM을 쓰는 NAS에서 공격자가 데이터를 암호화하고 있다고 경고하며, 먼저 DSM을 즉시 업데이트하고 자동 업데이트를 켜라고 밝혔다. 이 경고는 2026년 10월 29일에 나왔다.

이번 공격은 C3RB3R라는 랜섬웨어와 연결돼 있으며, PBX Science는 이를 Cerber 계열의 변종이라고 설명했다. 또 GitHub의 오픈소스 프로젝트는 DSM에서 감염된 GitLab을 복구한 사례를 기록했다.

Synology는 무엇을 경고했나

Synology는 2024년 12월에 패치한 취약점을 악용하는 공격자를 확인했다고 밝혔다. 공격은 오래된 DSM 버전을 쓰는 장비를 노려 데이터를 암호화하고 몸값을 요구한다. 회사의 권고는 DSM을 즉시 업데이트하고, 자동 업데이트를 켜고, 보안 공지 Synology-SA-24:20을 읽으라는 것이다.

PBX Science는 더 최근의 취약점 두 건, CVE-2026-13639와 CVE-2026-13684도 언급했다. 둘 다 CVSS 9.8이며 2026년 9월 18일 공지 Synology-SA-26:13에서 공개됐다. 현재 공격의 침투 경로는 확인되지 않았다. 피해자 한 명이 DSM 7.4.1을 쓴 것으로 알려져, 더 새로운 취약점이나 외부에 열려 있던 다른 서비스일 가능성을 배제할 수 없다.

어떤 DSM 버전이 새 취약점을 고치나

Synology-SA-26:13에 명시된 수정 버전은 다음과 같다.

  • DSM 7.4: 7.4-90075
  • DSM 7.3: 7.3.2-86009-4
  • DSM 7.2.2: 7.2.2-72806-9
  • DSM 7.2.1: 7.2.1-69057-12

Synology의 공지에는 2024년 12월 패치의 빌드 번호가 없다. 제어판의 업데이트 및 복원에서 해당 모델에 제공되는 최신 업데이트를 설치하면 된다.

내 NAS가 감염됐는지 어떻게 아나

암호화된 파일에는 .L0CK3D 확장자가 붙는다. 여기서 O는 알파벳이 아니라 숫자 0이다. 영향을 받은 폴더에는 read-me3.txt라는 협박 메모가 생긴다. 로그 센터에 낯선 로그인이나 대량의 파일 변경이 보이는 것도 징후다.

NAS가 암호화됐다면 어떻게 하나

c3rb3r-rescue 프로젝트와 PBX Science는 순서에 대해 의견이 같다.

  • NAS를 네트워크에서 분리해 암호화가 퍼지지 않게 한다.
  • 프로세스를 강제 종료하거나, 재부팅하거나, DSM을 업그레이드하거나, 복구 디스크로 부팅하지 않는다. 메모리에 남은 복호화 재료가 사라질 수 있다.
  • 협박 메모, 로그, 암호화된 샘플 파일 몇 개를 보관하고, 작업은 반드시 사본으로 한다.
  • Synology 지원팀이나 사고 대응 전문가에게 연락하고, 몸값은 내지 않는다.

C3RB3R용 무료 공개 복호화 도구는 확인되지 않았다. 믿을 수 있는 복구 방법은 NAS 밖에 보관한 깨끗한 백업이다.

GitHub 도구로 내 파일을 복호화할 수 있나

아마 어렵다. c3rb3r-rescue는 사고 한 건을 기록했는데, 16 GiB 메모리 사본에서 쓸 수 있는 키 재료 48바이트를 얻었다. 이를 이용해 작성자는 같은 버전의 격리된 GitLab에서 약 49 GiB의 주간 백업을 복원했고, 80개 프로젝트, 23명의 사용자, 16개 그룹, 9,253개의 LFS 객체가 돌아왔다.

프로젝트는 C3RB3R 계열 전체에 쓸 수 있는 복호화 도구가 아니라고 분명히 밝힌다. 분석한 샘플 하나만 다루며, 회수한 키는 RAM의 세션 키일 뿐 공격자의 개인 키가 아니다.

비용은 얼마이고 누가 먼저 움직여야 하나

어느 출처에도 업데이트 가격이나 캐나다, 미국에 한정된 정보는 없다. 사용 중인 모델은 Synology 지원 페이지에서 확인하기 바란다.

오래된 DSM을 쓰는 사용자. 경고의 대상이므로 가장 먼저 업데이트해야 한다.

NAS를 인터넷에서 접속할 수 있게 둔 사용자. 포트 포워딩을 없애고 VPN이나 Synology의 릴레이 서비스를 쓴다.

NAS에서 GitLab 등 컨테이너를 돌리는 팀. GitHub 사례에 GitLab이 얽혀 있었으므로 장비가 무엇을 외부에 노출하는지 점검한다.

데이터 사본이 하나뿐인 사용자. RAID를 쓰는 NAS는 백업이 아니다. 오프라인 사본을 추가하고 복원을 시험한다.

오늘 Synology의 공지와 Synology-SA-24:20을 열어 DSM을 업데이트하고, 로그 센터에 알아보지 못하는 로그인이 없는지 확인하자.