Synology, eski DSM sürümlerini kullanan NAS cihazlarının fidye yazılımı saldırılarında hedef alındığını ve saldırganların Aralık 2024’te yamalanan bir açığı kötüye kullandığını açıkladı. Şirket, bu saldırıların verileri şifrelemeyi ve kurbanlardan fidye istemeyi amaçladığını belirtti.
Saldırıya uğrayan cihazlar, Synology’nin DiskStation Manager (DSM) yazılımının güncel olmayan sürümlerini çalıştırıyor. Şirket, istismar edilen zafiyetin tam kimliğini paylaşmadı ancak Kasım 2024’te yayımladığı güvenlik duyurusuna işaret etti. O duyuruda üç ayrı açık yer alıyordu: CVE-2024-10441, CVE-2024-50629 ve CVE-2024-10445.
CVE-2024-10441 için CVSS skoru 9,8 olarak verildi. Bu açık, DSM’de sistem eklenti daemon’ında bulunan uygunsuz kodlama veya kaçış işlemi hatası nedeniyle uzaktan kod çalıştırılmasına yol açabiliyor. CVE-2024-50629’un CVSS skoru 5,3; webapi bileşenindeki benzer bir kodlama/kaçış zafiyeti nedeniyle uzaktaki saldırganlar sınırlı dosyaları okuyabiliyor. CVE-2024-10445 ise 4,3 puanlık bir sertifika doğrulama hatası ve DSM’nin güncelleme işlevinde sınırlı dosya yazımına izin verebiliyor. Bu açıklar için https://nvd.nist.gov/vuln/detail/CVE-2024-10441, https://nvd.nist.gov/vuln/detail/CVE-2024-50629 ve https://nvd.nist.gov/vuln/detail/CVE-2024-10445 adresleri üzerinden kayıtlar incelenebiliyor.
Synology, yamaların DSM 7.2.2, 7.2.1, 7.2, 7.1 ve 6.2 serilerinde yayımlandığını hatırlattı. Şirketin verdiği sürüm numaraları şöyle: DSM 7.2.2 için 7.2.2-72806-1 veya üzeri, DSM 7.2.1 için 7.2.1-69057-6 veya üzeri, DSM 7.2 için 7.2-64570-4 veya üzeri, DSM 7.1 için 7.1.1-42962-7 veya üzeri, DSM 6.2 için ise 6.2.4-25556-8 veya üzeri.
Kurumun açıklaması, bazı kullanıcıların cihazlarında C3RB3R fidye yazılımı görüldüğüne dair şikâyetlerin ardından geldi. Bu yazılımın dosyaları “.L0CK3D” uzantısıyla kilitlediği bildirildi. Synology, bu kampanyanın hangi açık üzerinden yürütüldüğünü netleştirmedi; ancak istismar edilen zafiyetin Aralık 2024’te yamalanan bir hata olduğunu vurguladı.
NAS cihazları yeniden fidye yazılımı hedefinde
Ağ bağlantılı depolama sistemleri, fidye yazılımı gruplarının yeni hedefi değil. 2019’da Tayvan merkezli QNAP Systems tarafından üretilen NAS cihazları QNAPCrypt ya da eCh0raix olarak bilinen fidye yazılımıyla ele geçirilmişti. Ağustos 2021’de ise Synology, StealthWorker adlı zararlı aile tarafından yürütülen kaba kuvvet saldırılarına karşı kullanıcılarını uyarmıştı. Şirket o dönemde, saldırganların daha önce ele geçirilmiş cihazları kullanarak yaygın yönetici parolalarını tahmin etmeye çalıştığını, başarılı olmaları halinde sisteme zararlı yük kurabildiklerini ve bunun fidye yazılımı da içerebileceğini belirtmişti. Aynı uyarıda, enfekte olan cihazların Synology NAS dahil Linux tabanlı diğer sistemlere karşı ek saldırılar başlatabildiği de aktarıldı.
O ay Palo Alto Networks Unit 42 de QNAP ve Synology NAS cihazlarını hedef alan bir eCh0raix varyantını ortaya koymuştu. İncelemeye göre saldırganlar, CVE-2021-28799 gibi açıkları kullanarak ya da sık kullanılan yönetici kimlik bilgileriyle kaba kuvvet saldırıları gerçekleştirerek sisteme sızıyordu. Synology, son açıklamasında tüm kullanıcıları güncel olmayan DSM sürümlerini derhal yükseltmeye çağırdı ve otomatik güncellemelerin açılmasını önerdi.