Synology NAS Cihazları Fidye Yazılımı Saldırısı Altında: DSM Güncellemesi Zorunlu

Tayvan merkezli depolama çözümleri üreticisi Synology, DiskStation Manager (DSM) yazılımını çalıştıran NAS (Ağa Bağlı Depolama) cihazlarını hedef alan fidye yazılımı saldırıları konusunda müşterilerini uyardı. Şirket, tehdit aktörlerinin Aralık 2024'te yamalanan bir güvenlik açığından yararlanarak eski DSM sürümü çalıştıran cihazlara saldırdığını tespit etti. Synology'nin yaptığı açıklamada "Bu saldırılar verileri şifrelemeyi ve fidye koparmayı amaçlamaktadır" ifadesine yer verildi.

Hangi Güvenlik Açıkları Söz Konusu?​

Synology, saldırılarda tam olarak hangi açığın kullanıldığını açıklamadı; ancak Kasım 2024 tarihli bir güvenlik danışma belgesine atıfta bulundu. Bu belgede üç farklı güvenlik açığı listeleniyor. En kritik olanı, DSM'nin sistem eklenti arka plan programındaki hatalı çıktı kodlaması veya kaçış açığı olan CVE-2024-10441; bu açık uzaktan kod çalıştırılmasına olanak tanıyor ve CVSS puanı 9.8 olarak belirlendi. İkinci açık CVE-2024-50629, DSM'nin webapi bileşenindeki benzer bir kodlama sorununa işaret ediyor ve uzak saldırganlara sınırlı dosya okuma imkânı sunuyor; CVSS puanı 5.3. Üçüncü açık ise CVE-2024-10445, DSM'nin güncelleme işlevindeki hatalı sertifika doğrulama sorununu kapsıyor ve uzak saldırganların sınırlı dosya yazmasına izin verebiliyor; CVSS puanı 4.3.

Hangi DSM Sürümleri Güncellenmeli?​

Synology, bu açıkları kapatan güncellemelerin hangi sürümlere uygulanması gerektiğini de açıkladı. Buna göre DSM 7.2.2 kullananların 7.2.2-72806-1 veya üstüne, DSM 7.2.1 kullananların 7.2.1-69057-6 veya üstüne, DSM 7.2 kullananların 7.2-64570-4 veya üstüne, DSM 7.1 kullananların 7.1.1-42962-7 veya üstüne, DSM 6.2 kullananların ise 6.2.4-25556-8 veya üstüne geçmesi gerekiyor.

C3RB3R Fidye Yazılımı Dosyaları Kilitledi​

Synology kullanıcılarından gelen raporlar, cihazlarının C3RB3R fidye yazılımıyla enfekte olduğunu ortaya koyuyor. Bu fidye yazılımı, kullanıcıların dosyalarını ".L0CK3D" uzantısıyla kilitliyor. Şirket, kullanıcıların açık sürüm çalıştıran cihazlarını derhal güncellemelerini ve otomatik güncelleme özelliğini etkinleştirmelerini tavsiye ediyor.

NAS Cihazlarına Yönelik Saldırıların Geçmişi​

Bu gelişme, NAS cihazlarının fidye yazılımı saldırılarının hedefi olduğu ilk vaka değil. 2019 yılında yine Tayvan merkezli QNAP Systems'ın NAS cihazları, QNAPCrypt (diğer adıyla eCh0raix) fidye yazılımıyla ele geçirilmişti. Ağustos 2021'de ise Synology, StealthWorker adlı bir kötü amaçlı yazılım ailesinin yönlendirdiği kaba kuvvet saldırıları konusunda uyarı yayımlamıştı. Synology, o dönemde yaptığı açıklamada bu saldırıların önceden ele geçirilmiş cihazları kullanarak yaygın yönetici kimlik bilgilerini tahmin etmeye çalıştığını ve başarılı olunması durumunda sisteme fidye yazılımı da içerebilen kötü amaçlı yükler kurulduğunu belirtmişti. Şirket aynı zamanda enfekte cihazların Synology NAS dahil diğer Linux tabanlı cihazlara ek saldırılar düzenleyebileceği uyarısını da yapmıştı.
Ağustos 2021'de Palo Alto Networks'ün Unit 42 ekibi de CVE-2021-28799 gibi güvenlik açıklarından ya da yaygın yönetici kimlik bilgilerini kaba kuvvetle deneyerek QNAP ve Synology NAS cihazlarını hedef alan bir eCh0raix varyantının ayrıntılarını kamuoyuyla paylaşmıştı.

Sıkça Sorulan Sorular​

Synology bu fidye yazılımı saldırıları hakkında ne zaman uyarı yaptı?​

Synology, geçtiğimiz hafta yayımladığı bir açıklamayla müşterilerini fidye yazılımı saldırıları konusunda uyardı ve DSM yazılımlarını güncellemelerini talep etti.

Saldırılarda hangi fidye yazılımı kullanılıyor?​

Kullanıcı raporlarına göre saldırılarda C3RB3R fidye yazılımı kullanılıyor. Bu yazılım, dosyaları ".L0CK3D" uzantısıyla şifreleyerek kilitliyor.

Synology NAS cihazlarındaki en kritik güvenlik açığı hangisi?​

En kritik açık, CVSS puanı 9.8 olan CVE-2024-10441'dir. Bu açık, DSM'nin sistem eklenti arka plan programındaki hatalı çıktı kodlaması nedeniyle uzaktan kod çalıştırılmasına olanak tanıyor.

Güvenlik açıkları hangi DSM sürümlerinde giderildi?​

Açıklar; DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 ve 6.2.4-25556-8 sürümlerinde kapatıldı. Kullanıcıların bu sürümlere veya daha yenisine geçmesi gerekiyor.

Synology, kullanıcılarına bu tür saldırılara karşı ne öneriyor?​

Synology, savunmasız sürüm çalıştıran tüm kullanıcıların DSM'yi derhal güncellemesini ve sistemlerini her zaman güncel tutmak için otomatik güncellemeleri etkinleştirmesini tavsiye ediyor.