Synology NAS Cihazları Fidye Yazılımı Saldırılarına Hedef Oldu: DSM Güncellemesi Zorunlu

Tayvan merkezli depolama çözümleri üreticisi Synology, ağa bağlı depolama (NAS) cihazlarını yöneten DiskStation Manager (DSM) yazılımını etkileyen güvenlik açıklarının aktif olarak istismar edildiğini duyurdu. Şirket, tehdit aktörlerinin Aralık 2024'te yamalanan bir açığı kullanarak güncel olmayan DSM sürümlerini çalıştıran cihazları hedef aldığını açıkladı. Saldırıların amacı verileri şifreleyerek fidye talep etmek.

Hangi Güvenlik Açıkları Kullanılıyor?​

Synology, saldırılarda tam olarak hangi açığın kullanıldığını açıklamasa da Kasım 2024 tarihli bir güvenlik danışma belgesine yönlendirdi. Bu belgede üç ayrı güvenlik açığı listeleniyor.
Bunların en kritiki, CVSS puanı 9,8 olan CVE-2024-10441. DSM'nin sistem eklenti daemon bileşenindeki hatalı kodlama açığı, uzaktan kod çalıştırmaya zemin hazırlıyor. İkinci açık CVE-2024-50629 (CVSS: 5,3), DSM'nin webapi bileşenindeki benzer bir sorun olup uzaktaki saldırganların sınırlı dosya okumasına olanak tanıyor. Üçüncüsü ise CVE-2024-10445 (CVSS: 4,3); güncelleme işlevindeki hatalı sertifika doğrulaması nedeniyle saldırganların sınırlı dosya yazabilmesine yol açıyor.
Söz konusu açıklar için Synology, kullanıcıların aşağıdaki sürümlere yükseltme yapmasını zorunlu kılıyor: DSM 7.2.2 için 7.2.2-72806-1 ve üzeri; DSM 7.2.1 için 69057-6 ve üzeri; DSM 7.2 için 64570-4 ve üzeri; DSM 7.1 için 7.1.1-42962-7 ve üzeri; DSM 6.2 için ise 6.2.4-25556-8 ve üzeri sürüm gerekiyor.

C3RB3R Fidye Yazılımı Dosyaları .L0CK3D Uzantısıyla Şifreliyor​

Kullanıcıların bildirdiği saldırılarda C3RB3R fidye yazılımı devreye giriyor. Bu yazılım, ele geçirilen cihazlardaki dosyaları tarayarak belirli 27 dizini ve BAT, DLL, EXE, LNK, MOD, MSI ile SYS gibi uzantıları atlıyor; bu sayede sistem çökmelerini önlemeye ve şifreleme sürecini kesintisiz yürütmeye çalışıyor. Başarıyla şifrelenen dosyalar .L0CK3D uzantısını alıyor ve her şifrelenmiş dizine read-me3.txt adlı bir fidye notu bırakılıyor.
Çinli güvenlik firması Qihoo 360 Internet Security Center'ın yayımladığı analize göre C3RB3R, NAS cihazlarına yönelik fidye yazılımı dağıtma konusunda uzun bir geçmişe sahip. Firma, yazılımın daha önce Synology'nin Eylül 2026'da yamaladığı iki DSM açığını da kullandığını belirtiyor: CVSS puanı 9,8 olan CVE-2026-13684 ve yine 9,8 puan alan CVE-2026-13639. İlki, SCGI bileşenindeki hatalı kodlama nedeniyle uzaktaki saldırganların rastgele dosya okuyup yazmasına ve hizmet reddi saldırısı gerçekleştirmesine izin veriyor. İkincisi ise giriş mantığındaki yetersiz entropi sorunundan kaynaklanıyor ve benzer sonuçlara yol açıyor.

NAS Cihazları Uzun Süredir Fidye Yazılımlarının Hedefinde​

NAS cihazlarına yönelik fidye yazılımı saldırıları yeni bir olgu değil. 2019 yılında Tayvan merkezli QNAP Systems'ın ürettiği NAS cihazları, QNAPCrypt (diğer adıyla eCh0raix) fidye yazılımıyla tehlikeye atılmıştı. Ağustos 2021'de ise Synology, StealthWorker adlı bir kötü amaçlı yazılım ailesinin tetiklediği kaba kuvvet saldırıları konusunda uyarıda bulunmuştu. Bu saldırılar, yaygın yönetici kimlik bilgilerini tahmin etmeye çalışarak sisteme sızıyor ve fidye yazılımı dahil kötü amaçlı yükler yüklüyordu. Synology, söz konusu uyarısında enfekte cihazların diğer Linux tabanlı sistemlere, özellikle de Synology NAS cihazlarına yönelik ek saldırılar başlatabileceğini de vurgulamıştı.
Aynı dönemde Palo Alto Networks Unit 42, CVE-2021-28799 gibi açıkları ya da yaygın yönetici kimlik bilgilerini kullanarak hem QNAP hem de Synology cihazlarını hedef alan bir eCh0raix varyantının ayrıntılarını kamuoyuyla paylaşmıştı.

Synology'den Acil Güncelleme Çağrısı​

Synology, açıklamasında savunmasız sürümleri çalıştıran tüm kullanıcıları DSM'yi derhal güncellemeye çağırdı. Şirket ayrıca sistemlerin her zaman güncel kalması için otomatik güncellemelerin etkinleştirilmesini de öneriyor.

Sıkça Sorulan Sorular​

Synology NAS cihazlarını etkileyen bu saldırılarda hangi fidye yazılımı kullanılıyor?​

Kullanıcıların bildirdiği saldırılarda C3RB3R fidye yazılımı kullanılıyor. Bu yazılım, şifrelediği dosyalara .L0CK3D uzantısı ekliyor ve her şifrelenmiş dizine read-me3.txt adlı bir fidye notu bırakıyor.

Saldırılarda hangi DSM güvenlik açıkları istismar ediliyor?​

Synology, saldırılarda tam olarak hangi açığın kullanıldığını açıklamadı; ancak Kasım 2024 tarihli güvenlik danışma belgesindeki üç açığa yönlendirdi: CVE-2024-10441 (CVSS 9,8), CVE-2024-50629 (CVSS 5,3) ve CVE-2024-10445 (CVSS 4,3). Bu açıklar Aralık 2024'te yamalar yayımlanarak giderildi.

C3RB3R fidye yazılımı hangi dosyaları şifreliyor, hangi dosyaları atlıyor?​

C3RB3R, ele geçirilen cihazda dosyaları tarar; sistem çökmelerini önlemek amacıyla 27 dizini ve BAT, DLL, EXE, LNK, MOD, MSI ile SYS gibi uzantılara sahip dosyaları atlar. Diğer dosyaları şifreleyerek .L0CK3D uzantısı ekler.

Synology kullanıcılarının bu saldırılardan korunmak için hangi sürüme geçmesi gerekiyor?​

Synology, DSM sürümüne göre farklı hedef sürümler belirtiyor: DSM 7.2.2 için 7.2.2-72806-1 veya üzeri, DSM 7.2.1 için 69057-6 veya üzeri, DSM 7.2 için 64570-4 veya üzeri, DSM 7.1 için 7.1.1-42962-7 veya üzeri, DSM 6.2 için ise 6.2.4-25556-8 veya üzeri sürüme geçilmesi gerekiyor.

NAS cihazlarına yönelik fidye yazılımı saldırıları daha önce de yaşandı mı?​

Evet. 2019'da QNAP cihazları QNAPCrypt (eCh0raix) fidye yazılımıyla hedef alındı. Ağustos 2021'de ise Synology, StealthWorker kötü amaçlı yazılımının kaba kuvvet saldırıları aracılığıyla fidye yazılımı bulaşmalarına yol açtığı konusunda uyardı. Aynı dönemde Palo Alto Networks Unit 42, hem QNAP hem de Synology cihazlarını hedef alan bir eCh0raix varyantının ayrıntılarını paylaştı.