HD Doctor Logo

Synology alerta para ransomware em NAS com DSM desatualizado: o que fazer agora

Por Equipe Técnica HD Doctor

Resposta direta

Se o seu NAS Synology roda um DSM anterior às versões corrigidas pelo advisory Synology-SA-24:20, atualize agora para a versão mais recente disponível para o modelo e tire a interface de administração da internet. Em 29/10/2026, a Synology alertou que criminosos exploram uma falha corrigida em 2024 para cifrar NAS desatualizados. Se os arquivos já têm a extensão .L0CK3D, desconecte o NAS da rede sem reiniciá-lo, não reinstale o DSM, não rode “decryptors” de origem duvidosa e preserve os discos antes de qualquer reparo.

O que a Synology confirmou e o que ainda está em aberto

Em 29/10/2026, a Synology publicou um comunicado informando que criminosos estão explorando uma vulnerabilidade corrigida em dezembro de 2024 contra NAS com versões desatualizadas do DSM, para cifrar dados e exigir resgate. A empresa pede atualização imediata, recomenda ativar as atualizações automáticas e remete ao advisory Synology-SA-24:20. O comunicado não cita o nome do ransomware nem diz qual das falhas do advisory está sendo usada. Fonte: https://www.synology.com/en-global/company/news/article/C3RB3R/Synology%20urges%20users%20to%20update%20DSM%20following%20ransomware%20attacks%20on%20outdated%20DSM%20versions. O Synology-SA-24:20, publicado em 05/11/2024, reúne falhas do DSM apresentadas no Pwn2Own 2024 e não lista mitigação além da atualização; pelo histórico de revisões, as correções de cada versão do DSM saíram entre novembro e dezembro de 2024. A mais grave, CVE-2024-10441 (CVSS 9.8), permite que atacantes remotos executem código arbitrário; as outras duas, CVE-2024-50629 e CVE-2024-10445, permitem ler ou gravar determinados arquivos. As versões mínimas corrigidas são DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 e 6.2.4-25556-8. Fonte: https://www.synology.com/en-global/security/advisory/Synology_SA_24_20. Em 02/11/2026, a BleepingComputer associou os ataques ao ransomware C3RB3R, também chamado Cerber: os arquivos recebem a extensão .L0CK3D, aparece a nota read-me3.txt e a vítima é orientada a comprar um “C3rb3r Decryptor” num portal da dark web, por milhares de dólares. O tópico de vítimas no fórum do site começou em 17/10/2026, 12 dias antes do comunicado da Synology. A reportagem recomenda bloquear o acesso à interface web de administração a partir da internet e, citando a Shadowserver, menciona mais de 380.000 NAS Synology expostos à internet, sem dizer quantos já estão corrigidos. Fonte: https://www.bleepingcomputer.com/news/security/synology-warns-customers-of-ongoing-c3rb3r-ransomware-attacks/. A porta de entrada ainda não está confirmada. Questionada, a Synology apenas indicou o advisory de 2024, e outras publicações apontam falhas diferentes, sem confirmação do fabricante. Na prática, a versão mínima do SA-24:20 é o piso, não o alvo: instale a atualização mais recente disponível para o seu modelo e não deixe o DSM, o SMB ou outros serviços do NAS expostos por redirecionamento de portas. Até o fechamento deste texto, em 06/11/2026, não encontramos decryptor gratuito para essa campanha nas fontes consultadas. Para uma empresa, o risco maior é concentrar tudo no mesmo equipamento: pastas compartilhadas, cópias de backup dos computadores e snapshots no mesmo volume podem ser alcançados pelo mesmo ataque. Usuários no fórum da BleepingComputer descrevem arquivos cifrados só em parte e snapshots Btrfs que ficaram intactos em algumas pastas. São relatos individuais, não uma análise da variante, mas mostram por que reinicializar, reinstalar ou formatar o NAS pode destruir o que ainda daria para aproveitar. Se os dados já foram cifrados e não há cópia validada fora do NAS, preserve os discos na ordem em que estão. A HD Doctor trabalha sempre sobre clones bit a bit dos discos e reconstrói virtualmente o SHR/RAID e o Btrfs em laboratório; a partir daí, avalia snapshots, versões anteriores e arquivos cifrados só em parte. Arquivos cifrados por inteiro com criptografia bem implementada não têm solução técnica sem a chave, e a viabilidade é avaliada antes de qualquer cobrança. Essa avaliação não substitui a resposta a incidentes nem a correção do equipamento.

Quatro decisões que podem fechar a recuperação

  1. 1.
    Reinicializar, reinstalar ou atualizar o DSM de um NAS já cifrado. Em NAS já atacado, a atualização vem depois da preservação. Reset, reinstalação, Repair e a própria atualização gravam no equipamento e podem sobrescrever áreas ainda íntegras ou dificultar o acesso a snapshots. Clone os discos antes.
  2. 2.
    Comprar o “C3rb3r Decryptor” ou rodar ferramenta de origem duvidosa. Pagamento não garante a devolução dos dados e, sem jurídico e equipe de resposta, cria novos riscos. Ferramentas baixadas de fóruns podem corromper arquivos ainda recuperáveis; qualquer teste deve ser feito em cópias, nunca nos originais.
  3. 3.
    Ligar a única cópia externa ao NAS comprometido. Conectar o disco USB de backup ou reabrir o acesso ao servidor de cópias pode expor a última alternativa ao mesmo ataque. Confira e restaure essa cópia em ambiente separado, aprovado pela equipe responsável.
  4. 4.
    Tirar ou trocar discos sem identificar as baias. Inserir disco novo pode iniciar rebuild, e discos fora de ordem complicam a reconstrução do SHR/RAID. Etiquete cada disco com a baia de origem e não substitua nenhum antes do diagnóstico.

Cinco passos para quem tem NAS Synology

Os três primeiros valem para qualquer NAS Synology; os dois últimos, para quem já encontrou arquivos .L0CK3D. Não teste a falha nem instale ferramentas sugeridas em fóruns para tentar confirmar a suspeita.

  1. 1

    Confira a versão do DSM e atualize

    No Painel de Controle do DSM, confira a versão instalada e compare com as versões mínimas do Synology-SA-24:20. Instale a atualização mais recente disponível para o modelo e ative as atualizações automáticas, como recomenda a Synology. Se o volume estiver degradado ou em alerta, trate isso antes de atualizar.

  2. 2

    Tire a administração e os compartilhamentos da internet

    Remova redirecionamentos de portas para a interface do DSM, o SMB e outros serviços do NAS, inclusive os criados automaticamente pelo roteador, e use VPN para acesso remoto. Revise contas de administrador e senhas, sem apagar registros.

  3. 3

    Garanta uma cópia fora do NAS e teste a restauração

    Snapshots e backups guardados no próprio NAS não bastam. Mantenha ao menos uma cópia em outro equipamento, offline ou imutável, e teste a restauração de uma amostra de arquivos. Sem essa cópia, um ataque ao NAS leva os dados e o backup juntos.

  4. 4

    Se encontrou arquivos .L0CK3D, isole e documente

    Desconecte o cabo de rede do NAS sem reiniciá-lo e sem reinstalar o DSM. Fotografe as telas, guarde a nota read-me3.txt e anote modelo, versão do DSM, baias e horários. Se a cifragem parecer em andamento, a equipe de resposta decide sobre o desligamento, pesando evidências e avanço do dano.

  5. 5

    Preserve os discos antes de reparar ou restaurar

    Não troque discos, não force Repair e não formate volumes. Confira se há cópia íntegra fora do NAS e restaure em ambiente separado. Se não houver, procure recuperação profissional com os discos preservados: a HD Doctor trabalha sobre clones e informa a viabilidade antes de qualquer cobrança.

Perguntas sobre o ataque a NAS Synology

Meu NAS já está atualizado. Ainda corro risco?

A atualização fecha as falhas do Synology-SA-24:20, mas a porta de entrada desta campanha não foi confirmada publicamente. Mantenha a versão mais recente disponível, não exponha serviços do NAS à internet e tenha uma cópia fora do equipamento. Atualizar reduz o risco; não substitui o backup.

Existe decryptor gratuito para arquivos .L0CK3D?

Até 06/11/2026, não encontramos decryptor gratuito nas fontes consultadas, e relatos no fórum da BleepingComputer indicam que as ferramentas testadas por usuários não funcionaram. Consulte o No More Ransom periodicamente e teste qualquer ferramenta apenas em cópias. Desconfie de quem promete descriptografia garantida.

Os snapshots do NAS salvam meus dados?

Podem ajudar: um usuário relatou no fórum da BleepingComputer ter restaurado parte das pastas a partir de snapshots Btrfs que ficaram intactos. Mas snapshots ficam no mesmo volume e dependem do mesmo equipamento, então não servem como única cópia. Não reinstale o DSM nem apague nada antes de verificar o que sobrou.

Quando procurar recuperação profissional?

Quando os arquivos estiverem cifrados e não houver cópia validada fora do NAS, ou quando o volume ficar inacessível depois do ataque. Preserve os discos e informe modelo, versão do DSM, tipo de RAID e o que já foi tentado. Arquivos cifrados por inteiro, sem a chave, podem não ter solução técnica; isso é avaliado no diagnóstico.

Seu NAS Synology foi cifrado?

Preserve os discos e informe modelo, versão do DSM, sintomas e tentativas já feitas.

Próximas leituras