Synology NAS から C3RB3R ランサムウェアがデプロイ：脆弱性 CVE-2024-50629／10445 の悪用が疑われる

Hackers Exploit Patched Synology NAS Vulnerabilities to Deploy C3RB3R Ransomware and Encrypt Files

2026/11/02 CyberSecurityNews — Synology の NAS デバイスが、2024年に公表されたセキュリティ上の脆弱性に関連する C3RB3R ランサムウェア攻撃を受けている。同社はユーザーに対して、古いバージョンの DiskStation Manager (DSM) とパッケージを更新するよう呼びかけている。10月29日に 360 Security Team と Solar Emergency Response Team が報告したことを受けて、この警告が行われた。被害を受けたデバイスでは、ファイルが “.L0CK3D” という拡張子で暗号化され、身代金要求文書 “read-me3.txt” が作成されていることだ。複数のセキュリティチームにより、このランサムウェアは暫定的に、C3RB3R による攻撃と暫定的に特定されている。現時点で公開されている情報からは、侵害されたデバイスの数は明らかになっていない。

Synology のセキュリティ・アドバイザリ Synology-SA-24:20 では、Pwn2Own 2024 の後に公表された 3件の脆弱性が取り上げられている。このアドバイザリは 2024年11月5日に公開され、DSM の各バージョン向けの修正プログラムが提供されるにつれて、複数回更新されている。

Appinn は、これらの脆弱性が 2024年12月までに修正されたと説明している。また、Synology の改訂履歴によると、複数の修正プログラムが 11月中に公開されていた。

以前にも Cyber Security News は、Synology DSM に存在する重大な脆弱性 CVE-2024-10441 (CVSS 9.8) を取り上げている。この脆弱性を悪用する未認証の攻撃者は、ユーザーの操作を必要とせずに、リモートコード実行を引き起こす可能性がある。

Synology NAS が C3RB3R ランサムウェア攻撃の被害に

このアドバイザリには、一部のファイルの読み取りをリモート攻撃者に許す、Web API の脆弱性 CVE-2024-50629 (CVSS 5.3) と、更新用証明書の検証に関する脆弱性 CVE-2024-10445 (CVSS 4.3) も記載されている。後者を悪用する隣接ネットワーク上の攻撃者は、一部のファイルの書き込みを可能にする。

Multiple Synology NAS Ransomware Incidents Reported by Security Teams (source : appinn )
Multiple Synology NAS Ransomware Incidents Reported by Security Teams (source : Appinn )

公開された報告では、個々のランサムウェア攻撃で悪用された脆弱性や、複数の脆弱性の組み合わせといった情報は明らかになっていない。

初期の報道で懸念が示されたのは、DSM 7.4.1-90080 Update 1 を実行している被害デバイスを、Solar が調査したと報じられたためである。この段階では、研究者は侵入経路を調査している途中であり、未知の脆弱性が悪用された可能性を排除していなかった。

その後の報告では、Synology の調査結果として、過去に修正済みの脆弱性が原因であると説明されている。しかし、公開された情報では、これらの報告の間に見られる不一致について説明されておらず、新たなゼロデイ攻撃が発生したことも確認されていない。

Synology の NAS デバイスは、以前にもランサムウェアの脅威にさらされている。Cyber Security News は、Synology のストレージシステムを標的とした犯罪者が関与する Diskstation ランサムウェアの捜査 を報じている。このインシデントが示したのは、NAS ユーザーが直面する脅威の背景である。ただし、公開された情報では、C3RB3R との関連性は確認されていない。

Latest DSM patches fix two CVEs, but the attack entry point remains unknown (source : appinn )
Latest DSM patches fix two CVEs, but the attack entry point remains unknown (source : Appinn )

Synology のアドバイザリでは、修正済みのバージョンとして DSM 7.2.2-72806-1／7.2.1-69057-6／7.2-64570-4／7.1.1-42962-7／6.2.4-25556-8 が挙げられている。これらは過去に修正が適用された時点のバージョンであり、そのバージョンで更新を停止することを推奨するものではない。管理者にとって必要なのは、使用する NAS モデルでサポートされている最新バージョンのインストールと、公式パッケージおよびサードパーティ製コンポーネントの更新である。

Appinn の初期インシデント報告で推奨されているのは、インターネットから DSM の管理インターフェイスと SSH へ直接アクセスできないようにすること、遠隔接続に VPN を使用すること、不審なログイン／不明な管理者アカウント／スケジュールタスクを確認することである。

また、二要素認証の有効化と、独立したオフラインまたはオフサイトのバックアップの保管も推奨されている。被害を受けたユーザーにとって、こうした独立したバックアップが、暗号化されたファイルを復元する手段となる可能性がある。更新プログラムの適用は引き続き必要だが、それ自体により、ランサムウェアで暗号化されたファイルが復元されるわけではない。