Der Netzwerkspeicherhersteller Synology warnt vor Ransomware-Angriffen auf NAS-Systeme, deren Betriebssystem nicht ausreichend aktualisiert wurde. Nach Angaben des Unternehmens nutzen Angreifer eine bereits Ende 2024 geschlossene Sicherheitslücke, um gespeicherte Daten zu verschlüsseln und anschließend Lösegeld zu verlangen. Sicherheitsforscher haben die Schadsoftware als Variante der bekannten Cerber-Ransomware identifiziert. Sie trägt die Bezeichnung C3RB3R. Synology fordert betroffene Nutzer auf, ihre Geräte unverzüglich zu aktualisieren.
Die offizielle Warnung veröffentlichte Synology am Donnerstag, 29. Oktober 2026. Darin bestätigte das Unternehmen, dass Angreifer gezielt Geräte mit veralteten Versionen des Betriebssystems DiskStation Manager (DSM) attackieren. Die ausgenutzte Schwachstelle sei bereits im Dezember 2024 durch ein Sicherheitsupdate behoben worden.
NAS-Systeme dienen als zentrale Speichergeräte innerhalb eines Netzwerks. Privatpersonen verwenden sie beispielsweise zur Sicherung von Fotos, Dokumenten und Videos. In Unternehmen werden solche Geräte außerdem für gemeinsame Dateien, Datensicherungen und weitere Netzwerkdienste eingesetzt.
Ein erfolgreicher Ransomware-Angriff kann deshalb erhebliche Folgen haben. Werden Dateien verschlüsselt, lassen sie sich ohne die erforderlichen Schlüssel normalerweise nicht mehr öffnen. Die Angreifer versuchen anschließend, für eine mögliche Wiederherstellung Geld zu verlangen.
Wie viele Synology-Geräte tatsächlich betroffen sind, teilte der Hersteller zunächst nicht mit. Auch Angaben zu den betroffenen Ländern oder zur Höhe möglicher Lösegeldforderungen machte Synology nicht.
Weitere Einzelheiten veröffentlichte der chinesische Sicherheitsanbieter 360 ebenfalls am 29. Oktober. Dessen Spezialisten hatten nach eigenen Angaben seit Anfang Oktober mehrere Hilfsanfragen wegen verschlüsselter Synology-Systeme erhalten.
Bei der Untersuchung von Schadsoftwareproben identifizierte das Unternehmen eine Variante der bereits seit Jahren bekannten Ransomware-Familie Cerber. Die aktuelle Variante wird als C3RB3R bezeichnet.
Nach der Analyse von 360 durchsucht die Schadsoftware erreichbare Verzeichnisse und verschlüsselt zahlreiche Dateien. Betroffene Dateien erhalten anschließend die zusätzliche Endung .L0CK3D. Der Buchstabe O wird darin durch die Ziffer Null ersetzt.
Außerdem hinterlässt die Ransomware nach Angaben der Sicherheitsforscher in verschlüsselten Verzeichnissen eine Textdatei mit dem Namen read-me3.txt. Darin befinden sich Anweisungen zur Lösegeldforderung.
Die Sicherheitsforscher beschrieben auch das technische Verschlüsselungsverfahren. Demnach kombiniert die Schadsoftware den Algorithmus ChaCha8 mit RSA-2048, um Dateien und die zugehörigen Schlüssel zu schützen.
Diese technischen Merkmale stammen aus der Untersuchung von 360. Eine eigenständige Bestätigung sämtlicher Einzelheiten durch Synology lag zunächst nicht vor.
Bei der technischen Ursache gibt es eine wesentliche Unterscheidung zwischen den veröffentlichten Angaben.
Synology verweist in seiner aktuellen Warnung auf das Sicherheitsbulletin Synology-SA-24:20. Dieses behandelt mehrere Schwachstellen, für die der Hersteller bereits 2024 Updates bereitstellte.
Zu den damals dokumentierten Sicherheitsproblemen gehört die Schwachstelle CVE-2024-10441. Sie ermöglicht unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne und wurde mit dem kritischen CVSS-Wert 9,8 bewertet. Synology benennt in seiner aktuellen Mitteilung allerdings nicht ausdrücklich diese einzelne CVE-Nummer als Einfallstor der Angriffe.
Der Sicherheitsanbieter 360 nennt hingegen zwei andere Schwachstellen: CVE-2026-13639 und CVE-2026-13684.
Beide wurden am 18. September 2026 im Synology-Sicherheitsbulletin SA-26:13 behandelt. Nach Herstellerangaben können Angreifer durch diese Sicherheitslücken aus der Ferne auf Dateien zugreifen, diese verändern oder die Verfügbarkeit des Systems beeinträchtigen. Beide Schwachstellen erhielten ebenfalls den kritischen CVSS-Wert 9,8.
Ob bei den aktuellen Angriffen verschiedene Schwachstellen aus den Jahren 2024 und 2026 ausgenutzt werden, blieb zunächst unklar. Eine ausdrückliche Bestätigung der von 360 beschriebenen Angriffsmethode durch Synology lag zunächst nicht vor.
Für die bereits 2024 dokumentierten Schwachstellen nennt Synology in seinem Sicherheitsbulletin SA-24:20 mehrere korrigierte Softwareversionen.
Dazu gehören DSM 7.2.2-72806-1, DSM 7.2.1-69057-6, DSM 7.2-64570-4, DSM 7.1.1-42962-7 und DSM 6.2.4-25556-8. Auch nachfolgende Versionen enthalten die entsprechenden Korrekturen.
Allerdings wurden im September 2026 weitere kritische Sicherheitslücken geschlossen. Für diese nennt Synology im Bulletin SA-26:13 folgende Mindestversionen:
Die Angaben beziehen sich jeweils auf die genannten Entwicklungszweige. Neuere Versionen desselben Zweigs enthalten die entsprechenden Sicherheitskorrekturen ebenfalls.
Für die Absicherung reicht es deshalb nicht aus, lediglich zu prüfen, ob ein Update aus dem Jahr 2024 installiert wurde. Auch später veröffentlichte Sicherheitsaktualisierungen müssen berücksichtigt werden.
Welche DSM-Version ein NAS-Gerät unterstützt, hängt vom jeweiligen Modell ab. Synology empfiehlt grundsätzlich die Installation der neuesten verfügbaren und für das Gerät vorgesehenen Systemversion.
Synology fordert Besitzer von Geräten mit anfälligen DSM-Versionen zur sofortigen Aktualisierung auf. Außerdem empfiehlt das Unternehmen, automatische Updates zu aktivieren.
Die installierte Version lässt sich in der DSM-Systemsteuerung unter dem Bereich für Aktualisierung und Wiederherstellung überprüfen. Wird ein Update angeboten, kann es dort installiert werden. Für ältere Systeme bietet Synology im Download-Zentrum außerdem modellabhängige Aktualisierungsdateien und Hinweise zur erforderlichen Reihenfolge der Installationen an.
Zusätzlich empfiehlt der Sicherheitsanbieter 360, die Netzwerkzugänge der Geräte zu überprüfen. Insbesondere sollten Administrationsoberflächen möglichst nicht unmittelbar aus dem öffentlichen Internet erreichbar sein. Für notwendige Fernzugriffe können abgesicherte VPN-Verbindungen verwendet werden.
Weitere Schutzmaßnahmen sind starke Passwörter, die Zwei-Faktor-Authentifizierung, die Deaktivierung nicht benötigter Benutzerkonten sowie die Beschränkung offener Netzwerkdienste.
Besonders wichtig sind unabhängige Datensicherungen. Mindestens eine Sicherung wichtiger Dateien sollte getrennt vom NAS aufbewahrt werden, damit ein Angriff nicht gleichzeitig das Original und sämtliche Sicherungskopien verschlüsseln kann.
Ein Sicherheitsupdate kann bekannte Schwachstellen schließen, hebt aber eine bereits erfolgte Verschlüsselung nicht automatisch auf.
Bei Anzeichen eines Angriffs sollten betroffene Geräte möglichst vom Netzwerk getrennt werden, um weitere Zugriffe zu unterbinden. Die IT-Sicherheitsstelle der Chinesischen Universität Hongkong empfahl am 30. Oktober ebenfalls, verdächtige Systeme zu isolieren und mögliche Spuren für eine Untersuchung zu sichern.
Zu den auffälligen Merkmalen der beschriebenen C3RB3R-Variante gehören ungewöhnlich viele veränderte Dateien mit der Endung .L0CK3D und die Lösegeldnachricht read-me3.txt.
Ob verschlüsselte Daten wiederhergestellt werden können, hängt unter anderem vom konkreten Schadsoftwaretyp, dem Zustand des Geräts und vorhandenen Sicherungskopien ab. Eine allgemeine Wiederherstellungsmöglichkeit für sämtliche betroffenen Systeme ist nicht bestätigt.
Die aktuellen Angriffe verdeutlichen insbesondere das Risiko länger nicht aktualisierter Netzwerkspeicher. Für die betroffenen Sicherheitslücken existieren bereits Korrekturen. Entscheidend für den Schutz ist deshalb, dass diese auch auf den jeweiligen Geräten installiert werden.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu