A Synology emitiu um alerta pouco habitual: há uma campanha de ransomware a cifrar dados em equipamentos NAS que correm versões antigas do sistema operativo DiskStation Manager (DSM). Num comunicado de 29 de outubro, a empresa de Taiwan diz ter identificado agentes de ameaça a explorar uma vulnerabilidade corrigida em dezembro de 2024 para atacar dispositivos com versões desatualizadas do DSM. As vítimas ficam com os ficheiros renomeados com a extensão .L0CK3D e recebem uma nota de resgate assinada pelo C3RB3R. Ainda não há consenso sobre a porta de entrada: a empresa de segurança chinesa 360 aponta para vulnerabilidades corrigidas em setembro de 2026.
Resposta rápida: O ransomware C3RB3R está a cifrar NAS Synology com o DSM desatualizado. A Synology associa os ataques ao aviso Synology-SA-24:20 (CVE-2024-10441, CVSS 9.8), mas a empresa 360 atribui os casos que investigou a falhas corrigidas em setembro de 2026 (SA-26:13). Instale já a versão mais recente do DSM disponível para o seu modelo, ative as atualizações automáticas, retire a interface de gestão da Internet e garanta que tem cópias de segurança fora do NAS.
O que a Synology confirmou
O comunicado oficial da Synology é curto. Diz que os ataques têm como objetivo cifrar dados e extorquir um resgate, e a empresa insta todos os utilizadores com versões vulneráveis a atualizar o DSM de imediato e recomenda ativar as atualizações automáticas. A nota não indica número de vítimas nem refere explicitamente um identificador CVE. Remete apenas para o aviso de segurança Synology-SA-24:20.
Alertas destes são raros na Synology. Segundo o BleepingComputer, o último do género foi publicado em agosto de 2019, após ataques de força bruta em larga escala que levaram a infeções pelo ransomware eCh0raix. O mesmo meio refere que os primeiros relatos surgiram há mais de duas semanas, com utilizadores a descrever a nota de resgate e a extensão acrescentada aos ficheiros cifrados.
A vulnerabilidade de 2024 indicada pela Synology
O aviso Synology-SA-24:20 foi publicado a 5 de novembro de 2024, na sequência do concurso Pwn2Own Ireland 2024, e agrupa três falhas: CVE-2024-10441, CVE-2024-10445 e CVE-2024-50629. A mais grave é a primeira. Segundo a base de dados NVD, trata-se de uma falha de codificação ou escape incorreto de dados de saída no daemon de plugins do sistema, que permite a atacantes remotos executar código arbitrário. Afeta o DSM e também o BeeStation OS anterior à versão 1.1-65374. A pontuação CVSS é de 9.8, o que, na avaliação habitual, significa exploração pela rede, sem autenticação e sem interação do utilizador.
As outras duas falhas são de gravidade moderada: a CVE-2024-50629 permite ler ficheiros limitados através do componente webapi e a CVE-2024-10445 resulta de uma validação incorreta de certificados na função de atualização. O histórico de revisões do aviso mostra que as correções foram saindo de forma faseada: a atualização para o DSM 7.2.1 ficou disponível a 12 de novembro de 2024, a do DSM 7.1 a 26 de novembro e a do DSM 6.2 a 5 de dezembro. Isto explica a referência da Synology a dezembro de 2024.
| Ramo do DSM | Gravidade (SA-24:20) | Versão corrigida mínima |
|---|---|---|
| DSM 7.2.2 | Crítica | 7.2.2-72806-1 ou superior |
| DSM 7.2.1 | Crítica | 7.2.1-69057-6 ou superior |
| DSM 7.2 | Crítica | 7.2-64570-4 ou superior |
| DSM 7.1 | Crítica | 7.1.1-42962-7 ou superior |
| DSM 6.2 | Moderada | 6.2.4-25556-8 ou superior |
A tese alternativa: falhas corrigidas em setembro de 2026
Em paralelo, a equipa antirransomware da empresa chinesa 360 publicou a 29 de outubro uma análise de amostras recolhidas em equipamentos afetados. Identifica o C3RB3R como uma variante da família Cerber e atribui a intrusão a duas vulnerabilidades do aviso Synology-SA-26:13, publicado a 18 de setembro de 2026. Segundo a Synology, esse aviso corrige falhas em que as CVE-2026-13684, CVE-2026-13639 e CVE-2026-13635 permitem a atacantes remotos ler ou escrever ficheiros arbitrários, realizar ataques de negação de serviço ou obter informação não sensível. O centro de cibersegurança belga (CCB) classificou a CVE-2026-13639 e a CVE-2026-13684 com CVSS 9.8.
Esta atribuição é da 360 e não foi confirmada pelo fabricante, cujo comunicado não menciona o SA-26:13. A diferença tem consequências práticas: um NAS com o DSM 7.2.2-72806-1 está protegido contra a falha de 2024, mas não contra as de setembro. Há também relatos na imprensa especializada de uma equipa de resposta a incidentes que encontrou um equipamento comprometido já com uma versão recente do DSM 7.4.1. Isso deixa em aberto outras portas de entrada, como pacotes adicionais, credenciais ou serviços expostos.
O HKCERT, centro de resposta de Hong Kong, refere ainda as falhas de PHP conhecidas como PHP2Shell e sublinha que o fabricante não confirmou se o PHP2Shell esteve envolvido nos ataques. Mesmo assim, recomenda instalar as atualizações aplicáveis ao PHP e aos pacotes relacionados.
| Ramo do DSM | Versão corrigida mínima (SA-26:13) |
|---|---|
| DSM 7.4 | 7.4-90075 ou superior |
| DSM 7.3 | 7.3.2-86009-4 ou superior |
| DSM 7.2.2 | 7.2.2-72806-9 ou superior |
| DSM 7.2.1 | 7.2.1-69057-12 ou superior |
Cronologia
| Data | Acontecimento |
|---|---|
| agosto de 2019 | Último alerta da Synology sobre ataques ativos (eCh0raix) |
| 5 de novembro de 2024 | Publicação do aviso Synology-SA-24:20 (falhas do Pwn2Own 2024) |
| 5 de dezembro de 2024 | Disponibilizada a correção para o DSM 6.2 |
| 18 de setembro de 2026 | Publicação do aviso Synology-SA-26:13 |
| início de outubro de 2026 | Começam os pedidos de ajuda de vítimas, segundo a 360 |
| 29 de outubro de 2026 | Comunicado da Synology e análise da 360 |
| 2 de novembro de 2026 | Alerta do HKCERT sobre a campanha |
Indicadores de comprometimento
Até agora não foram divulgados publicamente hashes nem endereços de infraestrutura validados pelo fabricante. Os sinais descritos pelas vítimas e pelos investigadores são os seguintes:
| Tipo | Indicador |
|---|---|
| Extensão de ficheiros cifrados | .L0CK3D |
| Nota de resgate | read-me3.txt |
| Ferramenta exigida | C3rb3r Decryptor, vendida num portal na dark web |
| Família | C3RB3R, variante do Cerber (segundo a 360) |
O resgate é elevado: segundo o BleepingComputer, as vítimas são instruídas a comprar a ferramenta ‘C3rb3r Decryptor’ num portal da dark web por milhares de dólares. O mesmo meio cita a Shadowserver, que acompanha mais de 380 mil NAS Synology expostos à Internet. Não se sabe quantos destes já estão corrigidos.
O que fazer agora
- Verifique a versão em
Painel de Controlo > Atualizar e Restaurare compare o número de compilação completo, incluindo o último dígito, com as tabelas acima. - Instale a versão mais recente do DSM suportada pelo seu modelo, e não apenas o mínimo do SA-24:20. Atualize também os pacotes no Centro de Pacotes.
- Ative as atualizações automáticas, como recomenda a Synology.
- Retire da Internet a interface de gestão web e o SSH. Para acesso remoto, use uma VPN.
- Procure sinais de intrusão: contas de administrador desconhecidas, tarefas agendadas que não criou, inícios de sessão invulgares e contentores Docker suspeitos.
- Mantenha cópias de segurança fora do NAS e, se possível, imutáveis ou offline. Instantâneos guardados no próprio equipamento podem não chegar.
- Se o modelo já não recebe versões novas do DSM, planeie a sua substituição.
Se o equipamento já foi cifrado, isole-o da rede, guarde a nota de resgate e os registos e contacte o suporte da Synology. Pagar o resgate não garante a recuperação dos dados.
Porque é que isto importa em Portugal
Os NAS Synology são muito usados em pequenas empresas, escritórios de contabilidade, consultórios e casas particulares, muitas vezes como servidor de ficheiros e, ao mesmo tempo, como destino das cópias de segurança. É por isso que este ataque é tão danoso: atinge os dados principais e também a cópia que devia servir para os recuperar. Muitos destes equipamentos funcionam anos a fio sem que alguém os atualize.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), gerir vulnerabilidades e aplicar correções a tempo faz parte das obrigações de gestão de risco. Os incidentes significativos têm de ser notificados ao CNCS/CERT.PT. Quando há dados pessoais cifrados ou exfiltrados, pode também haver uma violação de dados com notificação obrigatória à CNPD ao abrigo do RGPD. Os cidadãos e as empresas afetados podem reportar incidentes ao CERT.PT.
Perguntas frequentes
Que equipamentos estão a ser atacados pelo C3RB3R?
NAS da Synology com versões desatualizadas do DiskStation Manager (DSM), sobretudo os que têm a interface de gestão acessível pela Internet.
Que vulnerabilidade está a ser explorada?
A Synology remete para o aviso SA-24:20, cuja falha mais grave é a CVE-2024-10441 (CVSS 9.8). A empresa 360 atribui os casos que analisou às CVE-2026-13639 e CVE-2026-13684, do aviso SA-26:13. O fabricante não confirmou esta segunda hipótese.
Uma palavra-passe forte e a autenticação de dois fatores protegem o NAS?
Não são suficientes. As falhas críticas em causa podem ser exploradas remotamente sem autenticação. A proteção eficaz passa por atualizar o DSM e não expor a gestão à Internet.
Como sei se o meu NAS foi comprometido?
Procure ficheiros com a extensão .L0CK3D, notas de resgate chamadas read-me3.txt, contas de administrador desconhecidas e tarefas agendadas que não criou.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Synology, nos avisos Synology-SA-24:20 e Synology-SA-26:13, na NVD, no HKCERT e no BleepingComputer.