Synology DSM: el ransomware C3RB3R cifra NAS desactualizados; qué versión instalar

Synology confirmó el 29 de octubre que hay atacantes cifrando NAS que corren versiones viejas de su sistema, DSM. El comunicado de Synology es corto: "Synology has identified threat actors exploiting a vulnerability patched in December 2024 to target devices running outdated versions of DSM. These attacks aim to encrypt data and extort ransom." Es decir, una falla con casi 2 años de corrección disponible.

El mismo día, la empresa china de seguridad Qihoo 360 publicó una alerta con el análisis de equipos atacados. Dice que desde octubre recibió varios pedidos de ayuda, que el ransomware es C3RB3R, una variante de la familia Cerber, y que la entrada son dos fallas que Synology corrigió el 18 de septiembre de 2026: CVE-2026-13639 y CVE-2026-13684. Lo describe como un ataque de día uno: las fallas tenían apenas 1 mes de publicadas y muchos equipos seguían sin actualizar.

Las dos fuentes no coinciden en la falla. Para el dueño del NAS cambia poco: las versiones actuales de las ramas con soporte corrigen las dos. Lo que importa es cuál es la tuya y si el NAS se ve desde internet.

Synology DSM: qué dicen los avisos SA-24:20 y SA-26:13

El comunicado remite al aviso Synology-SA-24:20, publicado en noviembre de 2024 por fallas que se mostraron en el concurso Pwn2Own. La más grave es CVE-2024-10441, de 9,8, que permite a un atacante remoto "execute arbitrary code via unspecified vectors". En ese aviso, las correcciones salieron por partes: la mayoría en noviembre y la de DSM 6.2 el 5 de diciembre de 2024, la única de diciembre. Synology no aclara si se refiere a esa.

El aviso Synology-SA-26:13 es más reciente y corrige ocho fallas. Las dos que cita Qihoo 360 permiten, según Synology, que un atacante remoto sin cuenta lea o escriba archivos arbitrarios: CVE-2026-13684 está en el componente SCGI de DSM, y CVE-2026-13639 es un problema de aleatoriedad insuficiente en el inicio de sesión. Las dos tienen 9,8 y el aviso dice "Mitigation: None": no hay forma de cerrarlas sin actualizar.

¿Qué versión de Synology DSM corrige las fallas que usa C3RB3R?

"Fuera del rango afectado" sale de las fichas de los CVE de SA-24:20, que afectan a las versiones anteriores a las corregidas de 7.2.2 y menores. "No figura" quiere decir que el aviso SA-26:13 no lista esa rama: Synology no dice si está afectada ni publica una corrección para ella. Si tu NAS está en DSM 7.2, 7.1 o 6.2, lo seguro es pasar a una rama con corrección, si el modelo lo admite. Synology publica qué modelos soporta cada versión en su página de estado de productos. Para DSM 6.2, la misma página dice que desde el 1 de octubre de 2024 ya no recibe "functionality, security, and package updates": lleva más de 2 años sin soporte, salvo la corrección excepcional de diciembre de 2024.

¿Cómo sé si mi NAS Synology está expuesto a C3RB3R?

1. Mirá la versión. En DSM, Panel de control > Centro de información muestra la versión exacta. Comparala con la tabla de arriba.
2. Mirá si se ve desde internet. Las tres fallas son remotas: el atacante tiene que llegar a la interfaz de DSM. Revisá en el router si hay puertos reenviados al NAS, en especial 5000 y 5001, los de la interfaz web de DSM por defecto. Y probá desde un teléfono con datos móviles, fuera de la red de la oficina, si la página de inicio de sesión del NAS carga con la IP pública o con el nombre de DDNS.
3. Buscá las señales del ataque. Archivos con la extensión .L0CK3D o notas read-me3.txt en las carpetas compartidas. Con acceso por SSH, find /volume1 -name 'read-me3.txt' lo encuentra. En el Centro de registros de DSM, Qihoo 360 pide mirar inicios de sesión raros y modificaciones masivas de archivos.

Qué hace el ransomware C3RB3R adentro de un NAS Synology

Según el análisis de Qihoo 360, C3RB3R recorre todo el sistema de archivos salvo 27 carpetas del sistema, para no romper el NAS y poder seguir cifrando. Saltea los ejecutables y los archivos que ya cifró. Cifra cada archivo con ChaCha8, una clave distinta por archivo, y protege esas claves con una clave pública RSA-2048 que trae adentro. Al final agrega .L0CK3D al nombre y deja read-me3.txt en cada carpeta, con un identificador del equipo de seis caracteres.

Para una PyME, lo grave no es el NAS en sí: es lo que guarda. Si el NAS es también el destino del backup de las computadoras, el ransomware cifra el original y la copia en la misma pasada. Es el mismo riesgo que se vio con las dos fallas explotadas en los servidores de backup Ahsay.

¿Qué hago si tengo un NAS Synology en la empresa?

1. Actualizá DSM hoy. En Panel de control > Actualizar y restaurar, instalá la versión de la tabla para tu rama. Synology recomienda además activar las actualizaciones automáticas. Antes, verificá que tengas una copia de los datos fuera del NAS.
2. Sacá DSM de internet. Borrá los reenvíos de puertos del router hacia el NAS. Qihoo 360 recomienda no publicar los puertos de administración y, si hace falta acceso externo, usar el servicio de acceso del fabricante o una VPN. Una red privada como Tailscale, que tiene cliente para Synology, permite llegar al NAS sin abrir puertos; las alternativas están en la guía de acceso remoto seguro sin VPN tradicional.
3. Tené una copia que el NAS no pueda tocar. Qihoo 360 pide al menos una copia desconectada, que no esté unida al NAS mientras no se usa. Synology ofrece además instantáneas inmutables en las versiones recientes de DSM y en los modelos compatibles: durante el período de protección no se pueden borrar. Las opciones de copia externa están en la comparativa de backup y recuperación, y es uno de los requisitos de las aseguradoras de ciberriesgo.
4. Cerrá las cuentas. Qihoo 360 recomienda desactivar la cuenta de administrador de fábrica, usar contraseñas fuertes, activar la verificación en dos pasos y el bloqueo automático de IP. Para la verificación en dos pasos en el resto de la empresa está la guía para configurar MFA en un fin de semana.
5. Si ya ves archivos .L0CK3D, desconectá el NAS de la red, como pide Qihoo 360, y no lo vuelvas a conectar hasta actualizarlo. Restaurá desde la copia externa, no desde una carpeta del mismo NAS.

Si en el NAS corre además Plex, sumá a la misma ventana las cuatro fallas de Plex Media Server explotadas en cadena. Si el modelo no admite una rama con corrección, el NAS no debería verse desde internet bajo ninguna circunstancia. Y conviene planear el reemplazo: un equipo que no recibe parches va a seguir siendo blanco.

¿Quién puede ignorar el aviso de Synology DSM?

Quien no tenga un NAS Synology. Y quien tenga uno en la versión de la tabla o posterior, sin puertos abiertos a internet y con una copia fuera del equipo. El aviso SA-24:20 también afectaba a BeeStation OS antes de la 1.1-65374, pero el comunicado del 29 de octubre habla solo de DSM. Los NAS de otras marcas, como QNAP, tienen sus propios avisos y no entran en este.

Fuentes leídas: el comunicado de Synology del 29 de octubre de 2026; los avisos Synology-SA-24:20 y Synology-SA-26:13, con sus tablas de versiones y revisiones; la página de estado de productos de Synology; la alerta de Qihoo 360 del 29 de octubre, en chino; las fichas de NVD de CVE-2024-10441, CVE-2026-13639 y CVE-2026-13684; y el catálogo de vulnerabilidades explotadas de CISA. Sin confirmar: cuál es la falla que usan los atacantes, porque Synology y Qihoo 360 dicen cosas distintas; cuántos equipos fueron cifrados; y en qué países, porque ninguna de las dos fuentes da cifras.

Preguntas frecuentes sobre C3RB3R y Synology DSM

¿Qué versión de DSM me protege de C3RB3R?

La actual de cada rama con soporte: 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 o 7.2.1-69057-12, o posteriores. Esas cubren tanto la falla que señala Synology como las dos que señala Qihoo 360. DSM 7.2, 7.1 y 6.2 no figuran en el aviso de septiembre de 2026.

¿Cómo sé si mi NAS Synology fue cifrado por C3RB3R?

Los archivos cifrados terminan en .L0CK3D y en cada carpeta aparece una nota llamada read-me3.txt. Si ves cualquiera de las dos cosas, desconectá el NAS de la red y restaurá desde una copia que esté fuera del equipo.

¿Me afecta si mi NAS Synology no está expuesto a internet?

El riesgo baja mucho, porque las fallas son remotas y el atacante tiene que llegar a la interfaz de DSM. Igual conviene actualizar: un equipo infectado dentro de la red de la oficina también llega al NAS.

¿Por qué Synology y Qihoo 360 hablan de fallas distintas?

Ninguna de las dos lo explica. Synology remite a un aviso de noviembre de 2024 y Qihoo 360 a uno de septiembre de 2026, basado en equipos que analizó. Puede que haya más de una vía de entrada. Actualizar a la última versión de la rama cubre las dos.

¿Sirven las instantáneas de Synology contra el ransomware?

Las instantáneas comunes pueden borrarse si el atacante toma el control del NAS. Las inmutables, que DSM ofrece en los modelos compatibles, no se pueden borrar durante su período de protección. Igual hace falta una copia fuera del equipo, que es la que pide Qihoo 360.