C3RB3R ataca a Synology: por que você não deve adiar as atualizações do NAS

Muita gente pensa em um dispositivo doméstico de armazenamento conectado à rede (NAS) como se fosse apenas um grande disco rígido conectado ao roteador. Armazena nele vídeos, fotos, documentos e backups e depois praticamente não pensa mais no dispositivo durante anos. Isso é um grande erro.

Em outubro, invasores começaram a infectar dispositivos NAS Synology com o ransomware C3RB3R (Cerber). Muitos usuários relatam que já não conseguem abrir arquivos no armazenamento de rede e que arquivos de texto com exigências de resgate estão aparecendo nas pastas. E isso não acontece porque alguém baixou um arquivo malicioso sem querer: qualquer pessoa que tenha deixado de atualizar o armazenamento de rede a tempo está em risco.

Neste artigo, explicamos exatamente quem está em risco e como proteger seus dados.

Quem o C3RB3R ataca e como o ataque funciona

Estamos acostumados a pensar que um malware chega a um dispositivo depois que alguém baixa um arquivo suspeito ou segue as instruções de um invasor. Mas a grande maioria das infecções pelo C3RB3R acontece sem nenhuma interação do usuário: o invasor só precisa alcançar um serviço NAS vulnerável. Scanners especializados provavelmente ajudam a encontrar esses dispositivos, procurando automaticamente sistemas NAS Synology e verificando a versão do DiskStation Manager (DSM).

No mês passado, muitos proprietários de dispositivos Synology começaram a relatar ataques do C3RB3R. A Synology confirmou oficialmente o problema e informou que os invasores estavam explorando uma vulnerabilidade corrigida ainda em dezembro de 2024. Pela descrição, tudo indica que se trata da CVE-2024-10441 — uma vulnerabilidade que permite executar código arbitrário no sistema operacional do NAS sem autenticação.

Ao mesmo tempo, pesquisadores da 360.cn relataram que os ataques do C3RB3R analisados por eles também envolviam outras duas vulnerabilidades críticas — ambas com pontuação 9,8: CVE-2026-13639 e CVE-2026-13684. Essas vulnerabilidades permitem leitura ou gravação arbitrária de arquivos e ataques de negação de serviço (DoS). A Synology não confirmou que essas vulnerabilidades tenham sido usadas nesta campanha. A empresa as corrigiu na atualização do DSM de setembro.

De qualquer forma, as vulnerabilidades citadas acima permitem que invasores ataquem um NAS remotamente. Para acessar seu armazenamento, colocar o ransomware nele e executá-lo, basta que duas condições sejam atendidas:

1. Você não atualiza seu armazenamento conectado à rede há muito tempo
2. A interface do Synology DiskStation Manager (DSM) está acessível pela internet (ou pela rede local)

É só isso. O invasor não precisa da sua senha nem de nenhuma ação sua. Todo proprietário de um NAS Synology que não atualizou o sistema a tempo está em risco.

Se você não instalou atualizações manualmente recentemente e não se lembra se as atualizações automáticas estão ativadas, recomendamos primeiro bloquear o acesso do NAS à internet e depois atualizar o dispositivo manualmente o quanto antes — caso contrário, você pode facilmente acabar entre as vítimas.

Lembre-se de que, até que as atualizações sejam instaladas, o dispositivo continua vulnerável a ataques vindos da rede local. Portanto, se o seu NAS Synology estiver acessível a outros usuários da LAN — por exemplo, se for compartilhado com vizinhos ou estiver conectado à rede de uma universidade, escritório ou alojamento estudantil — a opção mais segura é desconectar o cabo Ethernet e desativar o Wi-Fi, caso o modelo do NAS ofereça suporte a essa conexão. Em seguida, baixe os arquivos de atualização no computador, desconecte o computador tanto da rede cabeada quanto do Wi-Fi, conecte o NAS diretamente ao computador com um cabo Ethernet e atualize o sistema operacional e os aplicativos em um ambiente totalmente isolado.

Outro motivo para atualizar seu armazenamento de rede são as vulnerabilidades do PHP descobertas recentemente. A Synology já lançou atualizações urgentes para o sistema operacional e para os aplicativos Mail Station e Synology Calendar.

O que acontece com os arquivos depois da infecção?

Quando o ransomware C3RB3R entra no armazenamento conectado à rede, ele começa a percorrer todas as pastas acessíveis que contêm dados do usuário e criptografa os arquivos nelas — fotos, documentos, arquivos compactados, vídeos e gravações de áudio — adicionando a extensão .L0CK3D aos arquivos criptografados. Se o usuário tentar abrir um deles, o sistema informa que o arquivo está corrompido ou em um formato desconhecido. Infelizmente, simplesmente renomear o arquivo não remove a criptografia.

Os invasores também têm a gentileza de deixar um arquivo de texto chamado read-me3.txt nas pastas com arquivos criptografados, com instruções sobre como descriptografar os dados do armazenamento. Aparentemente, basta… abrir o nada suspeito Navegador Tor e pagar aos invasores por um descriptografador que supostamente restaura todos os seus arquivos. Nem é preciso dizer que não há garantia de que você recuperará os arquivos intactos.

Perder todos ou a maior parte dos arquivos pode não ser a única consequência desagradável. Os invasores costumam chantagear as vítimas ameaçando publicar dados roubados — credenciais de contas, fotos íntimas, documentos de trabalho e outras informações confidenciais. Se a vítima se recusar a pagar o resgate, os criminosos ameaçam tornar todos esses dados públicos. Eles podem entrar em contato com essas exigências por e-mail ou pelas redes sociais.

Muitas vezes, essas ameaças não passam de um golpe, e já explicamos detalhadamente esses esquemas — e o que fazer se você estiver sendo chantageado — em nosso artigo Como os golpistas usam o e-mail para praticar chantagem e extorsão. Mas, se o seu NAS tiver sido realmente criptografado, infelizmente não é possível descartar o roubo de dados.

O que fazer se um ransomware já tiver infectado seu NAS Synology

Se um ransomware já tiver atacado seu NAS, você pode se deparar com uma de duas situações:

1. Você flagrou o ransomware em ação e está vendo, horrorizado, cada vez mais arquivos serem criptografados e renomeados diante dos seus olhos.
2. As pastas dos usuários já foram criptografadas e a extensão .L0CK3D foi adicionada a todos os seus arquivos.

O que você deve fazer?

1. Desconecte imediatamente o NAS de todas as redes (mas não o desligue)

O NAS precisa ficar completamente isolado da internet e do restante da sua rede doméstica. Desconecte todos os cabos do NAS, exceto o cabo de alimentação. Se o modelo do seu NAS se conecta à rede local por Wi-Fi, desative também a conexão sem fio. Você pode fazer isso no próprio NAS (alguns modelos Synology têm um botão Wi-Fi que desativa a rede sem fio quando mantido pressionado) ou simplesmente desligar o roteador da tomada. Isso interrompe o acesso remoto dos invasores ao dispositivo e impede que o NAS infectado alcance outros computadores e dispositivos de armazenamento.

Se houver unidades USB externas conectadas ao NAS para ampliar a capacidade de armazenamento, desconecte-as também — há uma chance de o ransomware ainda não ter chegado a elas.

Pause as tarefas de sincronização e backup associadas ao NAS nos computadores e nos serviços em nuvem. Isso ajuda a impedir que arquivos danificados se espalhem para outras cópias e substituam versões que ainda estão intactas.

2. Decida se deve desligar o NAS

Se você flagrar o Cerber em ação, seu primeiro impulso pode ser puxar o cabo de alimentação do NAS, mas não faça isso: uma queda repentina de energia pode corromper dados que estejam sendo gravados no disco. É melhor usar o procedimento normal de desligamento do NAS, mas lembre-se de que isso elimina uma possível maneira de recuperar arquivos que já foram criptografados. Com alguma sorte, um especialista pode conseguir extrair uma chave de recuperação da RAM do dispositivo. Quando a alimentação é cortada, o conteúdo da RAM é apagado.

• Se você não é um usuário técnico, não conhece ninguém que possa ajudar na recuperação e a criptografia ainda está em andamento, desligue o NAS normalmente; se o dispositivo não responder, desconecte o cabo de alimentação. Assim, pelo menos os arquivos que ainda não foram criptografados serão preservados.
• Se você for um usuário avançado, conecte o NAS diretamente a um computador isolado com um cabo Ethernet e tente acessar o NAS por SSH. Verifique os processos em execução (sudo ps -ef), identifique o processo do ransomware, determine o PID (ID do processo) e pause a criptografia sem encerrar o processo (sudo kill -STOP, em que PID é o ID do processo do ransomware). Em seguida, confirme que todas as threads do processo estão paradas (status T) e siga as instruções de resgate do ransomware C3RB3R / .L0CK3D para salvar um despejo de memória. Se não conseguir interromper a criptografia, desligue o NAS.
• Se os arquivos do seu NAS já tiverem sido criptografados e você o tiver desconectado da rede local, pode deixá-lo ligado e tentar preservar o conteúdo da memória e recuperar os dados seguindo as instruções de resgate do ransomware C3RB3R / .L0CK3D.

3. Salve os arquivos criptografados e a nota de resgate

Se o ransomware já tiver terminado de criptografar os arquivos do NAS e você o tiver desconectado da internet, tente se conectar diretamente ao NAS e salvar uma cópia dos arquivos criptografados e das instruções dos invasores em um disco rígido externo vazio. Pesquisadores de segurança podem lançar no futuro um descriptografador gratuito para o C3RB3R.

Se você desligou o NAS enquanto a criptografia estava em andamento, não o ligue novamente apenas para inspecionar processos ou copiar arquivos — a criptografia acontece localmente e pode continuar depois que o dispositivo reiniciar. Nesse caso, procure um especialista de confiança em recuperação de dados que consiga ler as unidades do NAS sem inicializar a instalação do DSM infectada.

Se, seguindo as etapas anteriores, você desconectou o NAS da rede, conectou-se diretamente a ele em um ambiente isolado e interrompeu os processos do ransomware, pode salvar todos os arquivos não criptografados que precisar resgatar. É melhor conectar a unidade de backup ao computador ligado diretamente ao NAS, e não à porta USB do NAS — isso reduz a chance de o ransomware voltar a ser executado e também criptografar essa unidade.

4. Não restaure arquivos nem conecte unidades que contenham backups até que o ransomware tenha sido removido

Não conecte ao NAS infectado uma unidade externa que contenha um backup e não comece a restaurar arquivos de um backup para o NAS comprometido. O ransomware pode voltar a ser executado e danificar a unidade conectada.

5. Depois de interromper o ataque, verifique seus snapshots no Snapshot Replication

Se você configurou o Snapshot Replication antecipadamente e os invasores não destruíram os snapshots, pode recuperar os dados a partir deles — mas não faz sentido restaurá-los no NAS comprometido. Você precisará de uma unidade separada para o backup.

Primeiro, verifique se os snapshots ainda existem. Depois de interromper o malware, abra o Snapshot Replication pelo menu principal do DSM no NAS em funcionamento. Selecione a pasta compartilhada, abra Snapshot → Lista de snapshots, encontre um snapshot criado antes da infecção e clique em Procurar para inspecionar o conteúdo. A partir daí, você também pode copiar os dados do snapshot para uma mídia externa sem restaurá-los no volume infectado. Para obter detalhes sobre o uso do Snapshot Replication, consulte as instruções da Synology.

6. Apague o NAS comprometido e reinstale o DSM

Depois de salvar tudo o que for possível — incluindo dados criptografados e não criptografados, além dos logs — redefina o NAS para as configurações de fábrica antes de voltar a usá-lo (Redefinir para os padrões de fábrica → Apagar todos os dados).

Lembre-se de que isso apaga completamente todos os dados, aplicativos e configurações do armazenamento de rede. Antes de redefini-lo, verifique os backups feitos e confirme que os arquivos intactos que você copiou podem ser abertos, que as versões necessárias dos arquivos nos snapshots foram salvas e que os arquivos criptografados, notas de resgate, logs e quaisquer despejos de memória obtidos estão armazenados em outro dispositivo, e não no NAS. Se estiver faltando alguma coisa, preserve as unidades originais ou imagens completas dos discos para um especialista em recuperação de dados. Se você conseguir ficar algum tempo sem o NAS, não tenha pressa em apagá-lo: ferramentas gratuitas de descriptografia podem aparecer mais tarde.

Se você usava o NAS basicamente como um depósito de arquivos e não há nele nada realmente valioso que não possa ser substituído, apague completamente o armazenamento conforme descrito acima antes de voltar a usá-lo e reinstale o DSM de uma fonte oficial seguindo as instruções para instalar o DSM sem conexão com a internet.

Não restaure configurações de um backup criado depois da infecção: ele pode conter alterações feitas pelos invasores. O melhor é configurar o NAS do zero.

7. Verifique contas possivelmente comprometidas

A reinstalação do DSM não invalida senhas, sessões ou outros segredos roubados de serviços cujas credenciais possam ter sido armazenadas no dispositivo. Pense em quais serviços eram usados no NAS, quais pacotes adicionais estavam instalados e a que eles podiam ter acesso. Revise todos esses serviços, encerre sessões suspeitas, revogue chaves e tokens afetados, altere as senhas e ative a autenticação de dois fatores. Recomendamos armazenar todas as credenciais no cofre seguro do um gerenciador de senhas. Faça isso antes de reconectar o armazenamento à rede.

8. Antes de reconectar o NAS à rede, desative o acesso remoto desnecessário

Desative o QuickConnect

Esse serviço permite conectar-se ao NAS pela internet. Para desativá-lo no DSM 7, abra Painel de Controle → Acesso Externo → QuickConnect, desmarque a caixa Enable QuickConnect e clique em Aplicar. Nas versões anteriores, a seção QuickConnect fica diretamente no Painel de Controle.

Verifique se o NAS está exposto à internet pelo roteador

Seu roteador pode estar configurado para encaminhar conexões de entrada da internet diretamente para o NAS, o que é chamado de encaminhamento de portas. Primeiro, encontre o endereço IP local do NAS. No DSM, ele aparece em Painel de Controle → Rede → Interface da Rede.

Em seguida, abra as configurações do roteador doméstico. Normalmente, isso é feito digitando o endereço local do roteador no navegador; o endereço exato e as credenciais de login costumam estar impressos em uma etiqueta no roteador ou aparecer no aplicativo do seu provedor de internet.

Nas configurações do roteador, procure uma seção com um nome como Encaminhamento de portas, Encaminhamento ou Redirecionamento de portas. Revise as regras existentes. Se um campo como IP interno, IP local, Destino ou Dispositivo contiver o endereço IP do NAS, exclua essa regra.

Verifique também a seção DMZ, Host DMZ ou Host exposto. Se o endereço IP do NAS estiver listado ali, desative o recurso.

Desative a abertura automática de portas por UPnP

O UPnP permite que aplicativos e dispositivos peçam ao roteador que abra portas automaticamente. Se você não precisa de UPnP, desative-o.

Lembre-se de que essa configuração vale para todo o roteador, portanto desativá-la pode afetar outros dispositivos da rede doméstica. Se quiser manter o UPnP ativado para eles, pelo menos revise as regras criadas por UPnP e confirme que nenhuma aponta para o endereço IP do NAS. Se alguma apontar, exclua-a e, se o roteador permitir, bloqueie a abertura automática de portas para o NAS.

Verificações adicionais

Se você usa IPv6, revise também as regras correspondentes: conexões de entrada desnecessárias para o NAS devem ser bloqueadas. Desative ainda túneis, VPNs e outros serviços de acesso remoto que não estejam em uso, caso você tenha configurado algum. Depois dessas alterações, verifique se o NAS pode ser acessado a partir de uma rede externa — por exemplo, usando uma conexão de dados móveis.

9. Continue verificando se surgiu um descriptografador gratuito

Pesquisadores de cibersegurança lançam periodicamente descriptografadores gratuitos para recuperação de arquivos. Lembre-se de que eles podem demorar bastante para aparecer; enquanto isso, não confie em ofertas de “pesquisadores” desconhecidos ou de sites que afirmam conseguir recuperar seus dados instantaneamente após um ataque por uma nova variante de ransomware.

O que os proprietários de sistemas NAS montados por conta própria devem fazer

Muita gente usa bootloaders de terceiros para o DiskStation Manager — ferramentas não oficiais do projeto XPenology que permitem executar o sistema operacional da Synology em hardware para o qual ele não foi originalmente projetado, como um PC ou um servidor montado pelo próprio usuário. Entre os exemplos estão Arc, RR (RedPill Recovery) e M-Shell.

Se você executa o DSM dessa forma, o C3RB3R também pode atacar seu sistema. Mas não tenha pressa em atualizar o DSM: primeiro confirme se a nova versão é compatível tanto com o bootloader quanto com o hardware. Caso contrário, seus arquivos podem ser danificados.

Se ainda não for possível instalar a versão mais recente do sistema, restrinja o acesso ao armazenamento de rede desativando o acesso externo e permitindo conexões pela rede local apenas a partir dos dispositivos que realmente precisam acessá-lo. Se possível, coloque o NAS em um segmento de rede separado. O recurso Smart Home Monitor do Kaspersky Plus e do Kaspersky Premium pode oferecer proteção adicional à sua rede doméstica — ele mostra todos os dispositivos na rede local e detecta quando novos dispositivos desconhecidos se conectam.

Como proteger seu NAS e seus dados pessoais

1. Não adie as atualizações de software do NAS e verifique se as atualizações automáticas estão ativadas.
2. Não exponha as portas 139 e 445 à internet: elas são alvos frequentes de ataques automatizados. Essas portas são usadas pelo protocolo que permite que computadores abram pastas compartilhadas em um NAS. Isso é útil em uma rede doméstica, mas não deve ficar exposto a toda a internet. Você pode verificar se essas portas estão abertas nas configurações do roteador.
3. Se você precisa acessar o NAS remotamente — durante uma viagem ou a partir do escritório — é melhor primeiro configurar uma conexão remota com a sua rede doméstica e então acessar o armazenamento de dentro dessa rede, em vez de expor o NAS diretamente à internet.
4. Não mantenha a única cópia de arquivos importantes no NAS. Configure cópias regulares com o Snapshot Replication e faça backups periódicos. Lembre-se da regra 3-2-1 — mantenha três cópias dos seus dados: duas em mídias de armazenamento diferentes e uma fora do armazenamento principal, em um disco rígido desconectado.
5. Você também pode confiar documentos importantes ao Kaspersky Password Manager. Ele pode armazenar credenciais de contas, notas de texto, digitalizações de documentos pessoais, fotos, endereços, dados de cartões bancários e documentos PDF no cofre criptografado, protegido por uma senha mestra que só você conhece. O cofre é sincronizado em todos os seus dispositivos, para que os dados continuem protegidos e acessíveis tanto no computador quanto no smartphone.
6. Use uma proteção confiável que impeça o download de ransomware e outros malwares no seu computador.
7. Proteja a conta de administrador. Ative a autenticação de dois fatores, use uma senha exclusiva e configure o bloqueio automático após várias tentativas de login malsucedidas, ou use chaves de acesso (passkeys). Armazene senhas, chaves de acesso e tokens de 2FA no um gerenciador de senhas criptografado. Essas medidas não protegerão você do ataque atual do C3RB3R — pois o Cerber explora vulnerabilidades que não exigem autenticação —, mas ajudarão caso um invasor tente comprometer sua conta ou encontre sua senha em um vazamento de dados.

Como armazenar e proteger seus dados? Leia também nossos outros artigos:

• Ransomware passa a mirar em backups pessoais
• Como salvar páginas da Web para a posteridade
• Como as novas vulnerabilidades do PHP ameaçam os usuários domésticos
• A Internet não se lembra de tudo
• Fatos e mitos sobre nomes de redes Wi-Fi ocultas