Neste artigo, explicamos exatamente quem est\u00e1 em risco e como proteger seus dados.<\/p>\n
Quem o C3RB3R ataca e como o ataque funciona<\/h2>\n
Estamos acostumados a pensar que um malware chega a um dispositivo depois que algu\u00e9m baixa um arquivo suspeito ou segue as instru\u00e7\u00f5es de um invasor. Mas a grande maioria das infec\u00e7\u00f5es pelo C3RB3R acontece sem nenhuma intera\u00e7\u00e3o do usu\u00e1rio: o invasor s\u00f3 precisa alcan\u00e7ar um servi\u00e7o NAS vulner\u00e1vel. Scanners especializados provavelmente ajudam a encontrar esses dispositivos, procurando automaticamente sistemas NAS Synology e verificando a vers\u00e3o do DiskStation Manager (DSM).<\/p>\n
No m\u00eas passado, muitos propriet\u00e1rios de dispositivos Synology come\u00e7aram a relatar ataques do C3RB3R. A Synology confirmou oficialmente<\/a> o problema e informou que os invasores estavam explorando uma vulnerabilidade corrigida ainda em dezembro de 2024. Pela descri\u00e7\u00e3o, tudo indica que se trata da CVE-2024-10441<\/a> \u2014 uma vulnerabilidade que permite executar c\u00f3digo arbitr\u00e1rio no sistema operacional do NAS sem autentica\u00e7\u00e3o.<\/p>\n Ao mesmo tempo, pesquisadores da 360.cn relataram<\/a> que os ataques do C3RB3R analisados por eles tamb\u00e9m envolviam outras duas vulnerabilidades cr\u00edticas \u2014 ambas com pontua\u00e7\u00e3o 9,8: CVE-2026-13639<\/a> e CVE-2026-13684<\/a>. Essas vulnerabilidades permitem leitura ou grava\u00e7\u00e3o arbitr\u00e1ria de arquivos e ataques de nega\u00e7\u00e3o de servi\u00e7o (DoS). A Synology n\u00e3o confirmou que essas vulnerabilidades tenham sido usadas nesta campanha. A empresa as corrigiu na atualiza\u00e7\u00e3o do DSM de setembro.<\/p>\n De qualquer forma, as vulnerabilidades citadas acima permitem que invasores ataquem um NAS remotamente. Para acessar seu armazenamento, colocar o ransomware nele e execut\u00e1-lo, basta que duas condi\u00e7\u00f5es sejam atendidas:<\/p>\n \u00c9 s\u00f3 isso. O invasor n\u00e3o precisa da sua senha nem de nenhuma a\u00e7\u00e3o sua. Todo<\/em> propriet\u00e1rio de um NAS Synology que n\u00e3o <\/strong>atualizou o sistema a tempo<\/strong><\/a> est\u00e1 em risco<\/strong>.<\/p>\n Se voc\u00ea n\u00e3o instalou atualiza\u00e7\u00f5es manualmente recentemente e n\u00e3o se lembra se as atualiza\u00e7\u00f5es autom\u00e1ticas est\u00e3o ativadas, recomendamos primeiro bloquear o acesso do NAS \u00e0 internet e depois atualizar o dispositivo manualmente o quanto antes \u2014 caso contr\u00e1rio, voc\u00ea pode facilmente acabar entre as v\u00edtimas.<\/p>\n Lembre-se de que, at\u00e9 que as atualiza\u00e7\u00f5es sejam instaladas, o dispositivo continua vulner\u00e1vel a ataques vindos da rede local. Portanto, se o seu NAS Synology estiver acess\u00edvel a outros usu\u00e1rios da LAN \u2014 por exemplo, se for compartilhado com vizinhos ou estiver conectado \u00e0 rede de uma universidade, escrit\u00f3rio ou alojamento estudantil \u2014 a op\u00e7\u00e3o mais segura \u00e9 desconectar o cabo Ethernet e desativar o Wi-Fi, caso o modelo do NAS ofere\u00e7a suporte a essa conex\u00e3o. Em seguida, baixe os arquivos de atualiza\u00e7\u00e3o no computador, desconecte o computador tanto da rede cabeada quanto do Wi-Fi, conecte o NAS diretamente ao computador com um cabo Ethernet e atualize o sistema operacional e os aplicativos em um ambiente totalmente isolado.<\/p>\n Outro motivo para atualizar seu armazenamento de rede s\u00e3o as vulnerabilidades do PHP descobertas recentemente<\/a>. A Synology j\u00e1 lan\u00e7ou atualiza\u00e7\u00f5es urgentes para o sistema operacional e para os aplicativos Mail Station e Synology Calendar<\/a>.<\/p>\n Quando o ransomware C3RB3R entra no armazenamento conectado \u00e0 rede, ele come\u00e7a a percorrer todas as pastas acess\u00edveis que cont\u00eam dados do usu\u00e1rio e criptografa os arquivos nelas \u2014 fotos, documentos, arquivos compactados, v\u00eddeos e grava\u00e7\u00f5es de \u00e1udio \u2014 adicionando a extens\u00e3o .L0CK3D<\/em> aos arquivos criptografados. Se o usu\u00e1rio tentar abrir um deles, o sistema informa que o arquivo est\u00e1 corrompido ou em um formato desconhecido. Infelizmente, simplesmente renomear o arquivo n\u00e3o remove a criptografia.<\/p>\n Como ficam os arquivos depois que o C3RB3R os criptografa<\/p><\/div>\n Os invasores tamb\u00e9m t\u00eam a gentileza de deixar um arquivo de texto chamado read-me3.txt nas pastas com arquivos criptografados, com instru\u00e7\u00f5es sobre como descriptografar os dados do armazenamento. Aparentemente, basta\u2026 abrir o nada suspeito Navegador Tor e pagar aos invasores por um descriptografador que supostamente restaura todos os seus arquivos. Nem \u00e9 preciso dizer que n\u00e3o h\u00e1 garantia de que voc\u00ea recuperar\u00e1 os arquivos intactos.<\/p>\n O C3RB3R deixa uma nota de resgate como esta em todas as pastas com arquivos criptografados. Uma oferta realmente generosa: descriptografe um arquivo de gra\u00e7a e depois pague pelo restante<\/p><\/div>\n Perder todos ou a maior parte dos arquivos pode n\u00e3o ser a \u00fanica consequ\u00eancia desagrad\u00e1vel. Os invasores costumam chantagear as v\u00edtimas amea\u00e7ando publicar dados roubados \u2014 credenciais de contas, fotos \u00edntimas, documentos de trabalho e outras informa\u00e7\u00f5es confidenciais. Se a v\u00edtima se recusar a pagar o resgate, os criminosos amea\u00e7am tornar todos esses dados p\u00fablicos. Eles podem entrar em contato com essas exig\u00eancias por e-mail ou pelas redes sociais.<\/p>\n Muitas vezes, essas amea\u00e7as n\u00e3o passam de um golpe, e j\u00e1 explicamos detalhadamente esses esquemas \u2014 e o que fazer se voc\u00ea estiver sendo chantageado \u2014 em nosso artigo Como os golpistas usam o e-mail para praticar chantagem e extors\u00e3o<\/strong><\/a>. Mas, se o seu NAS tiver sido realmente criptografado, infelizmente n\u00e3o \u00e9 poss\u00edvel descartar o roubo de dados.<\/p>\n Se um ransomware j\u00e1 tiver atacado seu NAS, voc\u00ea pode se deparar com uma de duas situa\u00e7\u00f5es:<\/p>\n O que voc\u00ea deve fazer?<\/p>\n O NAS precisa ficar completamente isolado da internet e do restante da sua rede dom\u00e9stica. Desconecte todos os cabos do NAS, exceto o cabo de alimenta\u00e7\u00e3o<\/strong>. Se o modelo do seu NAS se conecta \u00e0 rede local por Wi-Fi, desative tamb\u00e9m a conex\u00e3o sem fio. Voc\u00ea pode fazer isso no pr\u00f3prio NAS (alguns modelos Synology t\u00eam um bot\u00e3o Wi-Fi que desativa a rede sem fio quando mantido pressionado) ou simplesmente desligar o roteador da tomada. Isso interrompe o acesso remoto dos invasores ao dispositivo e impede que o NAS infectado alcance outros computadores e dispositivos de armazenamento.<\/p>\n Se houver unidades USB externas conectadas ao NAS para ampliar a capacidade de armazenamento, desconecte-as tamb\u00e9m \u2014 h\u00e1 uma chance de o ransomware ainda n\u00e3o ter chegado a elas.<\/p>\n Pause as tarefas de sincroniza\u00e7\u00e3o e backup associadas ao NAS nos computadores e nos servi\u00e7os em nuvem. Isso ajuda a impedir que arquivos danificados se espalhem para outras c\u00f3pias e substituam vers\u00f5es que ainda est\u00e3o intactas.<\/p>\n Se voc\u00ea flagrar o Cerber em a\u00e7\u00e3o, seu primeiro impulso pode ser puxar o cabo de alimenta\u00e7\u00e3o do NAS, mas n\u00e3o fa\u00e7a isso: uma queda repentina de energia pode corromper dados que estejam sendo gravados no disco. \u00c9 melhor usar o procedimento normal de desligamento do NAS, mas lembre-se de que isso elimina uma poss\u00edvel maneira de recuperar arquivos que j\u00e1 foram criptografados. Com alguma sorte, um especialista pode conseguir extrair uma chave de recupera\u00e7\u00e3o<\/a> da RAM do dispositivo. Quando a alimenta\u00e7\u00e3o \u00e9 cortada, o conte\u00fado da RAM \u00e9 apagado.<\/p>\n Se o ransomware j\u00e1 tiver terminado de criptografar os arquivos do NAS e voc\u00ea o tiver desconectado da internet, tente se conectar diretamente ao NAS e salvar uma c\u00f3pia dos arquivos criptografados e das instru\u00e7\u00f5es dos invasores em um disco r\u00edgido externo vazio<\/strong>. Pesquisadores de seguran\u00e7a podem lan\u00e7ar no futuro um descriptografador gratuito para o C3RB3R.<\/p>\n Se voc\u00ea desligou o NAS enquanto a criptografia estava em andamento, n\u00e3o o ligue novamente apenas para inspecionar processos ou copiar arquivos \u2014 a criptografia acontece localmente e pode continuar depois que o dispositivo reiniciar. Nesse caso, procure um especialista de confian\u00e7a em recupera\u00e7\u00e3o de dados que consiga ler as unidades do NAS sem inicializar a instala\u00e7\u00e3o do DSM infectada.<\/p>\n Se, seguindo as etapas anteriores, voc\u00ea desconectou o NAS da rede, conectou-se diretamente a ele em um ambiente isolado e interrompeu os processos do ransomware, pode salvar todos os arquivos n\u00e3o criptografados que precisar resgatar. \u00c9 melhor conectar a unidade de backup ao computador ligado diretamente ao NAS, e n\u00e3o \u00e0 porta USB do NAS \u2014 isso reduz a chance de o ransomware voltar a ser executado e tamb\u00e9m criptografar essa unidade.<\/p>\n N\u00e3o conecte ao NAS infectado uma unidade externa que contenha um backup e n\u00e3o comece a restaurar arquivos de um backup para o NAS comprometido. O ransomware pode voltar a ser executado e danificar a unidade conectada.<\/p>\n Se voc\u00ea configurou o Snapshot Replication antecipadamente e os invasores n\u00e3o destru\u00edram os snapshots, pode recuperar os dados a partir deles \u2014 mas n\u00e3o faz sentido restaur\u00e1-los no NAS comprometido. Voc\u00ea precisar\u00e1 de uma unidade separada para o backup.<\/p>\n Primeiro, verifique se os snapshots ainda existem. Depois de interromper o malware, abra o Snapshot Replication pelo menu principal do DSM no NAS em funcionamento. Selecione a pasta compartilhada, abra Snapshot<\/em> \u2192 Lista de snapshots<\/em>, encontre um snapshot criado antes da infec\u00e7\u00e3o e clique em Procurar<\/em> para inspecionar o conte\u00fado. A partir da\u00ed, voc\u00ea tamb\u00e9m pode copiar os dados do snapshot para uma m\u00eddia externa sem restaur\u00e1-los no volume infectado. Para obter detalhes sobre o uso do Snapshot Replication, consulte as instru\u00e7\u00f5es da Synology<\/a>.<\/p>\n Depois de salvar tudo o que for poss\u00edvel \u2014 incluindo dados criptografados e n\u00e3o criptografados, al\u00e9m dos logs \u2014 redefina o NAS para as configura\u00e7\u00f5es de f\u00e1brica antes de voltar a us\u00e1-lo (Redefinir para os padr\u00f5es de f\u00e1brica<\/em> \u2192 Apagar todos os dados<\/em>).<\/p>\n Lembre-se de que isso apaga completamente todos os dados, aplicativos e configura\u00e7\u00f5es do armazenamento de rede. Antes de redefini-lo, verifique os backups feitos e confirme que os arquivos intactos que voc\u00ea copiou podem ser abertos, que as vers\u00f5es necess\u00e1rias dos arquivos nos snapshots foram salvas e que os arquivos criptografados, notas de resgate, logs e quaisquer despejos de mem\u00f3ria obtidos est\u00e3o armazenados em outro dispositivo, e n\u00e3o no NAS. Se estiver faltando alguma coisa, preserve as unidades originais ou imagens completas dos discos para um especialista em recupera\u00e7\u00e3o de dados. Se voc\u00ea conseguir ficar algum tempo sem o NAS, n\u00e3o tenha pressa em apag\u00e1-lo: ferramentas gratuitas de descriptografia podem aparecer mais tarde.<\/p>\n Se voc\u00ea usava o NAS basicamente como um dep\u00f3sito de arquivos e n\u00e3o h\u00e1 nele nada realmente valioso que n\u00e3o possa ser substitu\u00eddo, apague completamente o armazenamento conforme descrito acima antes de voltar a us\u00e1-lo e reinstale o DSM de uma fonte oficial seguindo as instru\u00e7\u00f5es para instalar o DSM sem conex\u00e3o com a internet<\/a>.<\/p>\n N\u00e3o restaure configura\u00e7\u00f5es de um backup criado depois da infec\u00e7\u00e3o: ele pode conter altera\u00e7\u00f5es feitas pelos invasores. O melhor \u00e9 configurar o NAS do zero.<\/p>\n A reinstala\u00e7\u00e3o do DSM n\u00e3o invalida senhas, sess\u00f5es ou outros segredos roubados de servi\u00e7os cujas credenciais possam ter sido armazenadas no dispositivo. Pense em quais servi\u00e7os eram usados no NAS, quais pacotes adicionais estavam instalados e a que eles podiam ter acesso. Revise todos esses servi\u00e7os, encerre sess\u00f5es suspeitas, revogue chaves e tokens afetados, altere as senhas e ative a autentica\u00e7\u00e3o de dois fatores. Recomendamos armazenar todas as credenciais no cofre seguro do um gerenciador de senhas<\/a>. Fa\u00e7a isso antes de reconectar o armazenamento \u00e0 rede.<\/p>\n Esse servi\u00e7o permite conectar-se ao NAS pela internet. Para desativ\u00e1-lo no DSM 7, abra Painel de Controle \u2192 Acesso Externo \u2192 QuickConnect<\/em>, desmarque a caixa Enable QuickConnect<\/em> e clique em Aplicar<\/em>. Nas vers\u00f5es anteriores, a se\u00e7\u00e3o QuickConnect<\/em> fica diretamente no Painel de Controle<\/em>.<\/p>\n Seu roteador pode estar configurado para encaminhar conex\u00f5es de entrada da internet diretamente para o NAS, o que \u00e9 chamado de encaminhamento de portas. Primeiro, encontre o endere\u00e7o IP local do NAS. No DSM, ele aparece em Painel de Controle \u2192 Rede \u2192 Interface da Rede<\/em>.<\/p>\n Em seguida, abra as configura\u00e7\u00f5es do roteador dom\u00e9stico. Normalmente, isso \u00e9 feito digitando o endere\u00e7o local do roteador no navegador; o endere\u00e7o exato e as credenciais de login costumam estar impressos em uma etiqueta no roteador ou aparecer no aplicativo do seu provedor de internet.<\/p>\n Nas configura\u00e7\u00f5es do roteador, procure uma se\u00e7\u00e3o com um nome como Encaminhamento de portas<\/em>, Encaminhamento<\/em> ou Redirecionamento de portas<\/em>. Revise as regras existentes. Se um campo como IP interno<\/em>, IP local<\/em>, Destino<\/em> ou Dispositivo<\/em> contiver o endere\u00e7o IP do NAS, exclua essa regra.<\/p>\n Verifique tamb\u00e9m a se\u00e7\u00e3o DMZ, Host DMZ ou Host exposto. Se o endere\u00e7o IP do NAS estiver listado ali, desative o recurso.<\/p>\n O UPnP permite que aplicativos e dispositivos pe\u00e7am ao roteador que abra portas automaticamente. Se voc\u00ea n\u00e3o precisa de UPnP, desative-o.<\/p>\n Lembre-se de que essa configura\u00e7\u00e3o vale para todo o roteador, portanto desativ\u00e1-la pode afetar outros dispositivos da rede dom\u00e9stica. Se quiser manter o UPnP ativado para eles, pelo menos revise as regras criadas por UPnP e confirme que nenhuma aponta para o endere\u00e7o IP do NAS. Se alguma apontar, exclua-a e, se o roteador permitir, bloqueie a abertura autom\u00e1tica de portas para o NAS.<\/p>\n Se voc\u00ea usa IPv6, revise tamb\u00e9m as regras correspondentes: conex\u00f5es de entrada desnecess\u00e1rias para o NAS devem ser bloqueadas. Desative ainda t\u00faneis, VPNs e outros servi\u00e7os de acesso remoto que n\u00e3o estejam em uso, caso voc\u00ea tenha configurado algum. Depois dessas altera\u00e7\u00f5es, verifique se o NAS pode ser acessado a partir de uma rede externa \u2014 por exemplo, usando uma conex\u00e3o de dados m\u00f3veis.<\/p>\n Pesquisadores de ciberseguran\u00e7a lan\u00e7am periodicamente descriptografadores gratuitos para recupera\u00e7\u00e3o de arquivos. Lembre-se de que eles podem demorar bastante para aparecer; enquanto isso, n\u00e3o confie em ofertas de \u201cpesquisadores\u201d desconhecidos ou de sites que afirmam conseguir recuperar seus dados instantaneamente ap\u00f3s um ataque por uma nova variante de ransomware.<\/p>\n Muita gente usa bootloaders de terceiros para o DiskStation Manager \u2014 ferramentas n\u00e3o oficiais do projeto XPenology<\/a> que permitem executar o sistema operacional da Synology em hardware para o qual ele n\u00e3o foi originalmente projetado, como um PC ou um servidor montado pelo pr\u00f3prio usu\u00e1rio. Entre os exemplos est\u00e3o Arc, RR (RedPill Recovery) e M-Shell.<\/p>\n Se voc\u00ea executa o DSM dessa forma, o C3RB3R tamb\u00e9m pode atacar seu sistema. Mas n\u00e3o tenha pressa em atualizar o DSM: primeiro confirme se a nova vers\u00e3o \u00e9 compat\u00edvel tanto com o bootloader quanto com o hardware. Caso contr\u00e1rio, seus arquivos podem ser danificados.<\/p>\n Se ainda n\u00e3o for poss\u00edvel instalar a vers\u00e3o mais recente do sistema, restrinja o acesso ao armazenamento de rede desativando o acesso externo e permitindo conex\u00f5es pela rede local apenas a partir dos dispositivos que realmente precisam acess\u00e1-lo. Se poss\u00edvel, coloque o NAS em um segmento de rede separado. O recurso Smart Home Monitor<\/a> do Kaspersky Plus<\/a> e do Kaspersky Premium<\/a>\u00a0pode oferecer prote\u00e7\u00e3o adicional \u00e0 sua rede dom\u00e9stica \u2014 ele mostra todos os dispositivos na rede local e detecta quando novos dispositivos desconhecidos se conectam.<\/p>\n Como armazenar e proteger seus dados? Leia tamb\u00e9m nossos outros artigos:<\/p>\n O ransomware C3RB3R est\u00e1 atacando dispositivos de armazenamento conectado \u00e0 rede (NAS) da Synology que executam sistemas operacionais desatualizados e criptografando os arquivos armazenados neles. Explicamos quais dispositivos NAS est\u00e3o em risco, como se proteger do ataque e o que fazer se seus dados j\u00e1 tiverem sido criptografados.<\/p>\n","protected":false},"author":2698,"featured_media":25430,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1260],"tags":[3451,1249,1297,347,35,2735,83],"class_list":["post-25429","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-armazenamento-conectado-a-rede","tag-armazenamento-de-dados","tag-backups","tag-dados-pessoais","tag-malware-2","tag-nas","tag-ransomware"],"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/synology-c3rb3r-attack\/25429\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/synology-c3rb3r-attack\/31202\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/synology-c3rb3r-attack\/26233\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/synology-c3rb3r-attack\/13776\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/synology-c3rb3r-attack\/31044\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/synology-c3rb3r-attack\/29595\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/synology-c3rb3r-attack\/32578\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/synology-c3rb3r-attack\/31116\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/synology-c3rb3r-attack\/42962\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/synology-c3rb3r-attack\/15025\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/synology-c3rb3r-attack\/56663\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/synology-c3rb3r-attack\/24508\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/synology-c3rb3r-attack\/33948\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/synology-c3rb3r-attack\/36945\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/synology-c3rb3r-attack\/36613\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/ransomware\/","name":"ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25429","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=25429"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25429\/revisions"}],"predecessor-version":[{"id":25432,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25429\/revisions\/25432"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/25430"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=25429"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=25429"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=25429"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
O que acontece com os arquivos depois da infec\u00e7\u00e3o?<\/h2>\n
![\"O](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2026\/11\/10103323\/synology-c3rb3r-attack-01.png\" "\\"O")
<\/a>![\"O](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2026\/11\/10103413\/synology-c3rb3r-attack-02.png\" "\\"O")
<\/a>O que fazer se um ransomware j\u00e1 tiver infectado seu NAS Synology<\/h2>\n
\n
1. Desconecte imediatamente o NAS de todas as redes (mas n\u00e3o o desligue)<\/h3>\n
2. Decida se deve desligar o NAS<\/h3>\n
\n
sudo ps -ef<\/code>), identifique o processo do ransomware, determine o PID (ID do processo) e pause a criptografia sem encerrar o processo (sudo kill -STOP<\/code>, em que PID \u00e9 o ID do processo do ransomware). Em seguida, confirme que todas as threads do processo est\u00e3o paradas (status T<\/code>) e siga as instru\u00e7\u00f5es de resgate do ransomware C3RB3R \/ .L0CK3D<\/a> para salvar um despejo de mem\u00f3ria. Se n\u00e3o conseguir interromper a criptografia, desligue o NAS<\/strong>.<\/li>\n3. Salve os arquivos criptografados e a nota de resgate<\/h3>\n
4. N\u00e3o restaure arquivos nem conecte unidades que contenham backups at\u00e9 que o ransomware tenha sido removido<\/h3>\n
5. Depois de interromper o ataque, verifique seus snapshots no Snapshot Replication<\/h3>\n
6. Apague o NAS comprometido e reinstale o DSM<\/h3>\n
7. Verifique contas possivelmente comprometidas<\/h3>\n
8. Antes de reconectar o NAS \u00e0 rede, desative o acesso remoto desnecess\u00e1rio<\/h3>\n
Desative o QuickConnect<\/h4>\n
Verifique se o NAS est\u00e1 exposto \u00e0 internet pelo roteador<\/h4>\n
Desative a abertura autom\u00e1tica de portas por UPnP<\/h4>\n
Verifica\u00e7\u00f5es adicionais<\/h4>\n
9. Continue verificando se surgiu um descriptografador gratuito<\/h3>\n
O que os propriet\u00e1rios de sistemas NAS montados por conta pr\u00f3pria devem fazer<\/h2>\n
Como proteger seu NAS e seus dados pessoais<\/h2>\n
\n
\n