Synology NAS'lara fidye saldırısı: eski DSM sürümleri hedefte

Synology, ağ depolama (NAS) cihazlarına yönelik aktif bir fidye yazılımı kampanyası tespit ettiğini duyurdu. Şirketin açıklamasına göre saldırganlar, Aralık 2024'te yamanmış bir güvenlik açığını hâlâ güncellenmemiş DSM sürümlerinde kullanıyor. Yani bu bir sıfırıncı gün açığı değil; iki yıl önce kapatılmış bir deliğin açık bırakılmasının sonucu.

Saldırılarda C3RB3R adlı fidye yazılımı kullanılıyor. The Hacker News'in aktardığına göre zararlı yazılım şifrelediği dosyalara .L0CK3D uzantısı ekliyor ve her klasöre read-me3.txt adında bir fidye notu bırakıyor. TechRadar'ın haberine göre mağdurlardan şifre çözme anahtarı için binlerce dolar talep ediliyor.

Hangi açıklar, hangi sürümler

Synology hangi açığın kullanıldığını açıkça belirtmedi, ancak saldırıları Kasım 2024 tarihli Synology_SA_24_20 güvenlik bülteniyle ilişkilendirdi. Bu bültendeki en ağır zafiyet CVE-2024-10441, CVSS ölçeğinde 9.8 puanla uzaktan kod çalıştırmaya izin veriyor. Aynı bültende CVE-2024-50629 (5.3) ve CVE-2024-10445 (4.3) de yer alıyor. The Hacker News, Qihoo 360'ın C3RB3R'ın Eylül 2026'da yamanan CVE-2026-13684 ve CVE-2026-13639 (ikisi de CVSS 9.8) açıklarını da kullandığını bildirdiğini aktardı.

Synology kaç cihazın etkilendiğini, saldırıların nerede yoğunlaştığını veya saldırganların kimliğini paylaşmadı. Şirket yalnızca müşterilerinden gelen bulaşma bildirimleri olduğunu doğruladı ve açıklamasında "savunmasız sürüm çalıştıran tüm kullanıcıların DSM'yi derhal güncellemesini" istedi.

Synology'nin düzeltme yayımladığı sürümler: DSM 7.2.2 için 7.2.2-72806-1, DSM 7.2.1 için 7.2.1-69057-6, DSM 7.2 için 7.2-64570-4, DSM 7.1 için 7.1.1-42962-7 ve DSM 6.2 için 6.2.4-25556-8 ve sonrası. Bu yapılardan eski bir sürüm çalıştıran cihazlar risk altında kabul ediliyor.

Neden KOBİ tarafında önemli

NAS cihazları Türkiye'deki küçük ve orta ölçekli işletmelerde çoğu zaman tek yedekleme noktasıdır. Proje dosyaları, muhasebe kayıtları, kamera görüntüleri, e-posta arşivleri aynı kutuda durur. Fidye yazılımı doğrudan bu kutuyu şifrelediğinde şirket hem canlı verisini hem de geri dönüş imkânını aynı anda kaybeder.

İki yapısal sorun bu riski büyütüyor. Birincisi, NAS cihazları uzaktan erişim kolaylığı için sık sık internete doğrudan açılıyor; TechRadar, Shadowserver verilerine dayanarak internete açık yaklaşık 380.000 Synology uç noktası izlendiğini, bunların önemli bölümünün muhtemelen yamalı olduğunu belirtiyor. İkincisi, RAID yapılandırması ve cihazın kendi üzerindeki yedekler fidye yazılımına karşı koruma sağlamıyor — şifreleme her iki kopyaya da ulaşıyor. Veri kaybı yaşanması durumunda KVKK'nın 72 saatlik ihlal bildirimi yükümlülüğü de devreye girer; yani olay yalnızca operasyonel bir kesinti değil, aynı zamanda idari bir yükümlülük doğuruyor.

Kamer Bilişim olarak ne öneriyoruz?

• DSM sürümünü bugün kontrol edin ve yukarıdaki yapılara yükseltin. Panelde Denetim Masası > Güncelleme ve Geri Yükleme bölümünden mevcut sürümü görebilirsiniz. Otomatik güncellemeyi açık bırakın; bu saldırı dalgası yamanın varlığından değil, uygulanmamasından besleniyor.
• NAS'ı internete doğrudan açmayı bırakın. Uzaktan erişim gerekiyorsa bunu VPN arkasına alın, yönetim arayüzünü dış dünyaya kapatın, varsayılan portları ve admin hesabını değiştirin, yönetici girişlerinde iki adımlı doğrulama zorunlu olsun.
• Yedeğin yedeğini ayrı tutun. 3-2-1 kuralını uygulayın: verinin üç kopyası, iki farklı ortam, bir kopya cihazdan ve ağdan bağımsız konumda (çevrimdışı disk veya bulut). En önemlisi, geri dönüş testini düzenli olarak yapın; test edilmemiş yedek yedek değildir.

Ofisinizdeki NAS ve yedekleme yapılandırmasının bu saldırı dalgasına karşı dayanıklı olup olmadığını birlikte gözden geçirebiliriz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz. Bize iletişim sayfasından ulaşabilirsiniz.

Kaynak: The Hacker News, TechRadar, Synology güvenlik bülteni Synology_SA_24_20