Ransomware C3RB3R cifra NAS de Synology sin parchear: 380.000 dispositivos expuestos a internet

El 29 de octubre, Synology publicó un aviso de seguridad que ha hecho saltar las alarmas: una oleada de ataques del ransomware C3RB3R está cifrando dispositivos NAS con versiones antiguas de DiskStation Manager (DSM). Lo llamativo no es la sofisticación del ataque, sino todo lo contrario: los atacantes están explotando una vulnerabilidad que Synology parcheó en diciembre de 2024, casi dos años antes.

Que un fabricante de almacenamiento lance una alerta así es excepcional: la última vez que Synology avisó de una campaña similar fue en agosto de 2019, cuando ataques de fuerza bruta masivos terminaron en infecciones del ransomware eCh0raix.

Qué está pasando

Según el aviso de Synology, los atacantes están explotando una vulnerabilidad en DSM para atacar dispositivos con software desactualizado. El objetivo: cifrar los datos almacenados y extorsionar a las víctimas. La empresa no ha especificado qué vulnerabilidad exacta se está explotando; en su lugar, remite a su aviso de seguridad de noviembre de 2024 (Synology-SA-24:20), que cubre tres fallos:

• CVE-2024-10441 (CVSS 9.8, crítica): codificación de salida inadecuada en el daemon del plugin del sistema, que permitiría ejecución remota de código sin autenticación.
• CVE-2024-50629 (CVSS 5.3): fallo en el componente webapi que permitiría lecturas limitadas de archivos.
• CVE-2024-10445 (CVSS 4.3): validación de certificados inadecuada en la función de actualización, con escrituras limitadas de archivos.

El parche existe desde diciembre de 2024. Sin embargo, algunos informes del sector apuntan a una hipótesis alternativa: la empresa de seguridad china Qihoo 360, tras analizar malware de dispositivos afectados, sugiere que los atacantes también estarían aprovechando dos vulnerabilidades críticas de DSM reveladas en septiembre de 2026 (CVE-2026-13684 y CVE-2026-13639, ambas CVSS 9.8). Synology no ha confirmado esta segunda vía, así que el punto exacto de entrada sigue sin estar resuelto. Desde el punto de vista defensivo, la conclusión práctica es la misma: actualiza a la última versión, no a la de 2024.

¿A quién afecta?

A cualquiera con un NAS de Synology con DSM desactualizado y la interfaz de administración accesible desde internet. La organización Shadowserver calcula que hay más de 380.000 dispositivos Synology expuestos a internet en todo el mundo. Esa cifra incluye equipos parcheados y señuelos (honeypots), así que no es un recuento de víctimas, pero da una idea del tamaño de la superficie de ataque.

Los primeros informes de usuarios afectados aparecieron hace más de dos semanas (mediados de octubre de 2026): archivos cifrados, una nota de rescate y la exigencia de comprar una supuesta herramienta llamada «C3rb3r Decryptor» en un portal de la dark web por miles de dólares.

IOCs y detección: qué buscar

De momento no se han publicado hashes ni direcciones IP de infraestructura de esta campaña, así que la detección es principalmente a nivel de host. Estos son los indicadores confirmados por las víctimas:

• Extensión .L0CK3D (ojo: después de la L va un cero) añadida a los archivos cifrados.
• Nota de rescate read-me3.txt en cada carpeta afectada.
• Procesos inesperados en DSM, tareas programadas nuevas o cuentas de administrador creadas poco antes del inicio del cifrado.

Si administras un NAS Synology, puedes buscar rastros con estos comandos desde una sesión SSH (en bloques de código):

find /volume1 -name 'read-me3.txt' 2>/dev/null | head
find /volume1 -name '*.L0CK3D' 2>/dev/null | wc -l

En el Centro de registros (Log Center) de DSM, revisa inicios de sesión desde IPs desconocidas, creación de cuentas de administrador e instalaciones de paquetes que no hayas hecho tú. En el firewall o el router, busca conexiones entrantes a los puertos de administración de DSM (5000/5001 por defecto) procedentes de internet.

Qué hacer: recomendaciones

1. Actualiza DSM ya. Las versiones mínimas que corrigen los fallos de 2024 (según el aviso Synology-SA-24:20):
   • DSM 7.2.2 → 7.2.2-72806-1 o superior
   • DSM 7.2.1 → 7.2.1-69057-6 o superior
   • DSM 7.2 → 7.2-64570-4 o superior
   • DSM 7.1 → 7.1.1-42962-7 o superior
   • DSM 6.2 → 6.2.4-25556-8 o superior
2. Saca la interfaz de administración de internet. Nada de exponer los puertos 5000/5001 con un simple reenvío de puertos: usa una VPN o los servicios de retransmisión (relay) de Synology.
3. Activa las actualizaciones automáticas, como recomienda la propia Synology. Este ataque entero existe porque hay equipos sin actualizar desde 2024.
4. Endurece el acceso: activa el bloqueo automático, la verificación en dos pasos y el bloqueo de cuentas; deshabilita la cuenta admin por defecto.
5. Copias inmutables u offline. Con Snapshot Replication y snapshots inmutables —o un destino de copia al que el NAS no pueda escribir— recuperas los datos sin pasar por la caja del atacante.
6. Si ya estás infectado: desconecta el equipo de la red, conserva la nota de rescate y los registros, y contacta con el soporte de Synology antes de borrar nada. No des por hecho que pagar devuelve los datos; en los foros de víctimas ya se advierte de que no existe descifrador conocido.

Ángulo Blue Team: qué vigilaría un SOC

Esta campaña es un caso de libro para un analista defensivo, y la lección más importante es esta: el vector de entrada no es un zero-day, es un n-day de casi dos años. En un SOC, eso se traduce en prioridades muy concretas:

• Inventario y parcheado como detección. Un NAS con la interfaz de administración expuesta a internet y sin parches de seguridad recientes debería generar una alerta de riesgo por sí mismo, antes de que pase nada. Escaneos periódicos de superficie externa (tipo Shadowserver) y una CMDB actualizada son la base.
• Detección de comportamiento, no de firmas. Sin hashes ni IPs públicas, lo que importa es el comportamiento: extensiones de archivo que cambian masivamente a .L0CK3D (una regla de FIM que alerte ante renombrados en bloque es oro aquí), creación de cuentas de administrador fuera de ventana de cambio, y conexiones entrantes a 5000/5001 desde redes externas.
• Supuestos de compromiso. Un NAS expuesto y sin actualizar se trata como «cuestión de cuándo, no de si». En entornos con Synology en la red, merece la pena un ejercicio de threat hunting proactivo: buscar la nota read-me3.txt, revisar cuentas creadas en los últimos 30 días y correlacionar inicios de sesión atípicos.
• Backups como control de seguridad, no como tarea de TI. La única recuperación fiable ante ransomware es una copia que el atacante no pueda tocar. Verificar periódicamente que los snapshots son inmutables y que las restauraciones funcionan es trabajo defensivo de primer orden.

El ransomware C3RB3R no es nuevo: el nombre lo toma prestado del RaaS Cerber de 2016, y desde diciembre de 2021 se ha desplegado contra servidores de Atlassian Confluence y GitLab explotando RCE (CVE-2021-26084, CVE-2021-22205) y bypass de autenticación (CVE-2023-22518). Su modus operandi no cambia: busca software sin parchear y lo exprime. La defensa tampoco debería cambiar: parchea, expón menos y respalda mejor.

Fuentes

• BleepingComputer, «Synology warns of C3RB3R ransomware attacks targeting NAS devices» (publicado 2026-11-02, actualizado 2026-11-03)
• Reef Sentinel, «C3RB3R Ransomware Is Encrypting Unpatched Synology NAS Devices» (2026-11-04), con IOCs, comandos de detección y versiones mínimas de DSM
• CyberWorldOps, «Synology warns C3RB3R ransomware is hitting outdated NAS devices» (2026-11-02)
• HackerPosts, «Synology DSM: C3RB3R ransomware hitting NAS devices on outdated DSM«, que recoge la discrepancia sobre el punto de entrada exacto (fallo de 2024 frente a CVEs de septiembre de 2026)