Neem vijf minuten voor je NAS, want Synology waarschuwt sinds 29 oktober voor ransomware die precies de apparaten treft waar al een tijd niemand meer naar omkijkt. De aanvallers maken misbruik van een lek dat Synology eind 2024 repareerde, en wie die update toen oversloeg, laat de deur nog steeds open staan.
Hieronder staat welke DSM-versie je minimaal nodig hebt, hoe je dat in een paar klikken controleert en hoe je een back-uproutine bouwt die ook werkt als een aanval toch slaagt.
Synology ransomware: wat het bedrijf zelf zegt
Synology schrijft dat aanvallers een kwetsbaarheid misbruiken die in december 2024 is gepatcht. De getroffen apparaten draaien volgens het bedrijf een verouderde versie van DiskStation Manager, het besturingssysteem van Synology-NAS’en. De aanvallers versleutelen de opgeslagen data en eisen losgeld. Synology verwijst daarbij naar beveiligingsadvies Synology-SA-24:20, dat zijn oorsprong heeft in de Pwn2Own-hackwedstrijd van 2024.
In dat advies staan drie kwetsbaarheden. De zwaarste is CVE-2024-10441 in de plugin-daemon van het systeem. Die scoort 9,8 op 10, geldt als kritiek en laat een aanvaller op afstand code uitvoeren. De andere twee zijn milder: een fout waarmee een aanvaller beperkt bestanden kan uitlezen en een zwakte in de updatefunctie waarmee iemand in hetzelfde netwerk beperkt bestanden kan schrijven.
Wat Synology niet vertelt: om welke ransomware het gaat, hoeveel NAS’en zijn geraakt en wat de criminelen vragen. Die gaten blijven voorlopig open, dus wees voorzichtig met cijfers die op sociale media rondgaan.
Welke DSM-versie moet je minimaal draaien?
Het advies noemt per DSM-tak de eerste versie waarin het lek is gedicht. Zit jouw NAS op een lager versienummer binnen dezelfde tak, dan is hij kwetsbaar voor deze aanvallen.
| Jouw DSM-versie | Minimaal installeren |
|---|---|
| DSM 7.2.2 | DSM 7.2.2-72806-1 of hoger |
| DSM 7.2.1 | DSM 7.2.1-69057-6 of hoger |
| DSM 7.2 | DSM 7.2-64570-4 of hoger |
| DSM 7.1 | DSM 7.1.1-42962-7 of hoger |
| DSM 6.2 | DSM 6.2.4-25556-8 of hoger |
Draai je DSM 7.3 of 7.4, dan staat je versie niet in de tabel omdat dit specifieke lek daar allang is gedicht. Achteroverleunen kan toch niet: in september verscheen advies Synology-SA-26:13, met kritieke lekken waarmee een aanvaller op afstand zonder inlog bestanden kan lezen en schrijven. Daarvoor zijn de minimale versies DSM 7.4-90075, DSM 7.3.2-86009-4, DSM 7.2.2-72806-9 en DSM 7.2.1-69057-12. Installeer dus de nieuwste update binnen jouw DSM-tak, ook als je al boven de minimumversie uit de tabel zit. Wat de laatste versie, 7.4.1 Update 1, meebrengt, lees je in het artikel over DSM 7.4.1 Update 1.
Zo check je je versie en installeer je de update
Open DSM, ga naar Configuratiescherm en kies Update en herstel. Bovenaan staat je huidige versie en of er een nieuwere beschikbaar is. Installeer de update op een moment dat niemand de NAS gebruikt, want hij herstart. Kijk daarna in het Pakketcentrum, want ook pakketten krijgen hun eigen updates.
Zet vervolgens automatische updates aan, precies zoals Synology adviseert. Via de instellingen onder Update en herstel laat je DSM belangrijke updates zelf installeren, zodat je er niet meer aan hoeft te denken. Komt je model niet verder dan DSM 7.1 of 6.2, dan zijn 7.1.1-42962-7 en 6.2.4-25556-8 het eindpunt. Installeer die en haal zo’n NAS van het open internet.
Synology ransomware: wat onderzoekers erover zeggen
Beveiligingsbedrijf 360 publiceerde dezelfde dag een analyse van ransomware die het C3RB3R noemt, een variant van Cerber. Versleutelde bestanden krijgen volgens die analyse de extensie .L0CK3D, met een nul in plaats van een o, en in de mappen verschijnt een losgeldbericht met de naam read-me3.txt. De NAS blijft intussen gewoon reageren terwijl de versleuteling doorloopt. Een werkende webinterface zegt dus niets over de staat van je data.
Let op het verschil tussen de bronnen. Synology noemt geen ransomwarefamilie en wijst naar het lek uit 2024. 360 koppelt zijn gevallen juist aan twee kwetsbaarheden uit het septemberadvies. Of beide verhalen dezelfde slachtoffers raken, is niet vastgesteld. Voor jouw NAS verandert dat weinig: zorg dat beide sets updates erop staan. Een ander lek bij Synology, dat eerder deze maand speelde, raakt weer andere pakketten. Dat lees je in het artikel over PHP2Shell op je Synology.
Maak je NAS onbereikbaar voor het internet
Het advies van Synology komt neer op twee dingen: updaten en niet onnodig aan het internet hangen. Haal daarom de poortdoorsturing naar je NAS uit de router, in het bijzonder die naar de DSM-poorten 5000 en 5001, en gebruik een VPN als je van buiten bij je bestanden wilt. Een NAS zonder VPN is een huis met de voordeur direct aan de straat. Met een VPN loopt iedereen eerst door een poort met slot, en daar komt alleen binnen wie een sleutel heeft.
Zet er ook tweestapsverificatie op voor elk beheerdersaccount en gebruik een eigen sterk wachtwoord. Een aanvaller die ooit een inlog buitmaakt, komt dan niet zomaar verder.
Back-ups die Synology ransomware overleven
Ransomware versleutelt alles waar de NAS bij kan, inclusief netwerkmappen en schijven die permanent aan de NAS hangen. Een kopie op dezelfde NAS is daarom geen veilige back-up, en dat geldt ook voor een USB-schijf die altijd is aangesloten. Een back-up is pas veilig als hij op het moment van een aanval niet bereikbaar is.
Dat regel je met een routine die je één keer instelt. Zet een externe schijf met eigen voeding aan een slimme stekker met een schema. Om 02:00 gaat de stekker aan, om 02:15 start Hyper Backup, om 05:00 gaat de stekker weer uit. De rest van de dag bestaat die schijf niet voor je netwerk, dus ook niet voor een aanvaller. Laat de back-up ruim voor het uitschakelmoment afronden, test eenmalig of Hyper Backup de schijf na het inschakelen zelf herkent en herstel een keer een map om te zien dat alles werkt. Wissel je af tussen twee schijven en bewaar er één buiten de deur, dan heb je een back-up die geen enkele digitale aanval bereikt.
Voor dit soort schema’s kun je bijna elke slimme stekker gebruiken. Eentje met energiemeting laat daarnaast zien dat de schijf echt alleen tijdens het back-upvenster stroom trekt.
Wat je doet als je al een losgeldbericht ziet
Haal als eerste de netwerkkabel uit de NAS en zet wifi uit, zodat de aanval niet verder kan. Schakel de NAS alleen uit als loskoppelen niet lukt, want uitzetten wist sporen die later nog nuttig zijn. Bewaar het losgeldbericht, een paar versleutelde bestanden, het DSM-versienummer, de lijst met geïnstalleerde pakketten en de logs voordat je iets herstelt, en neem contact op met Synology Support.
Updaten maakt versleutelde bestanden niet ongedaan. Herstel vanuit een back-up van vóór de aanval, op een NAS die je eerst schoon hebt opgezet. Betaal niet zomaar: je weet nooit of de sleutel werkt, en je laat de aanvaller met je geld zijn volgende slachtoffer zoeken.
Laat je camerabeelden niet op dezelfde NAS staan
Veel mensen laten hun beveiligingscamera’s naar Surveillance Station schrijven. Die opnames staan dan op dezelfde NAS als al het andere, dus een aanval treft ook je beelden. Een recorder met eigen schijf, zoals de Reolink NVS8, staat los van je opslag. Wordt je NAS versleuteld, dan lopen je opnames gewoon door.
Wil je je opnames op een eigen recorder bewaren, los van je NAS en elke ransomware-aanval? Bekijk dan ons overzicht van beveiligingscamera’s en de camera’s en recorders van Reolink op tink.nl en laat je beelden doorlopen, ook als je NAS een keer offline moet.
