Betrifft Sie das?
- Betroffen: alle, die ein Synology-NAS betreiben, vor allem dort, wo die DSM-Anmeldeseite (Ports 5000/5001) aus dem Internet erreichbar ist oder das Gerät auf einem älteren DSM-Zweig läuft.
- Nicht betroffen, wenn: weder in Ihrem Büro noch zu Hause ein Synology-Gerät steht.
Was tun?
- Suchen Sie in freigegebenen Ordnern nach Dateien mit der Endung .L0CK3D oder .LOCK3D und nach Erpresserschreiben namens read-me3.txt; die Meldungen reichen bis Anfang Oktober zurück. Fündig geworden? Ziehen Sie das Netzwerkkabel, zahlen Sie nicht und geben Sie dem Synology-Support Ihre DSM-Version und die Ereignisprotokolle.
- Installieren Sie unter Control Panel → Update & Restore das neueste DSM für Ihr Modell und schalten Sie automatische Updates ein. Auf älteren Zweigen wie DSM 7.1 kann dieser Bildschirm „aktuell“ melden, obwohl ein neuerer Zweig existiert. DSM 7.4 streicht Mail Station und PHP 8.1, prüfen Sie also zuerst Ihre Pakete.
- Schließen Sie die Ports 5000 und 5001 zum Internet und nutzen Sie VPN; schalten Sie UPnP am Router aus, beschränken oder deaktivieren Sie QuickConnect, aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA).
- Bewahren Sie ein Offline- oder unveränderliches Backup getrennt vom NAS auf.
Was wir wissen – und was nicht
- 360 identifiziert die Ransomware als C3RB3R, eine Cerber-Variante. Der Einfallsweg ist umstritten. Synology macht eine im Dezember 2024 geschlossene Lücke (SA-24:20, darunter die kritische CVE-2024-10441) auf Geräten mit veraltetem DSM verantwortlich. 360 ordnet seine Samples CVE-2026-13639 und CVE-2026-13684 zu, behoben am 18. September 2026 (SA-26:13), die Frandroid als Lücken beschreibt, über die ein Angreifer ohne Anmeldung beliebige Dateien auf dem NAS lesen oder schreiben kann. Das Incident-Response-Team Solar veröffentlichte einen Screenshot eines verschlüsselten NAS mit DSM 7.4.1-90080 Update 1, damals die neueste Version, ohne sich auf eine Zero-Day-Lücke festzulegen: Gestohlene Zugangsdaten, ein Drittanbieter-Paket oder ein anderer kompromittierter Dienst sind nicht ausgeschlossen, ebenso wenig ein erst nach dem Einbruch installiertes Update. Niemand hat gezeigt, dass die drei dieselbe Angriffskette beschreiben.
- Wie viele Besitzer betroffen sind, ist unklar: Frandroids Überschrift spricht von Dutzenden, 360 von mehreren Hilfeanfragen, Synology nennt keine Zahl. Einen kostenlosen Entschlüssler gab es am 30. Oktober nicht.
Warum das wichtig ist
Ein NAS enthält oft das gemeinsame Laufwerk und auf denselben Platten dessen einzige Sicherung. Ist seine Anmeldeseite aus dem Internet erreichbar, nimmt ein einziger Einbruch beides. „Wir haben gepatcht“ ist hier eine schwache Antwort, denn Hersteller und Forscher zeigen auf unterschiedliche Lücken. Wer auch immer recht hat: Ein NAS, das aus dem Internet nicht erreichbar ist, senkt das Risiko am stärksten, und eine Kopie Ihrer Daten, an die das NAS nicht herankommt, rettet Sie, wenn das nicht reicht.