Evlerde ve küçük işletmelerde fotoğraf arşivinden muhasebe dosyalarına kadar her şeyin saklandığı ağa bağlı depolama (NAS) cihazları, yeniden fidye yazılımcıların hedefinde. Tayvanlı üretici Synology, güncel olmayan DiskStation Manager (DSM) sürümlerini çalıştıran cihazlara yönelik C3RB3R fidye yazılımı saldırıları konusunda kullanıcılarını uyardı.
Şirketin duyurusuna göre saldırganlar, Aralık 2024’te yamalanmış bir açıktan yararlanarak hâlâ eski DSM sürümlerinde kalan cihazlara sızıyor. Amaç, cihazda saklanan verileri şifreleyip fidye talep etmek.
Kurbanlar ne ile karşılaşıyor?
2 Kasım’da yayımlanan bir kampanya raporuna göre etkilenen kullanıcılar, dosyalarının L0CK3D uzantısıyla yeniden adlandırıldığını ve cihazlarında “C3RB3R şifre çözücü” teklif eden fidye notları bulduklarını bildirdi. C3RB3R, daha önce de internete açık sunuculardaki bilinen açıkları hızla istismar etmesiyle tanınan bir fidye yazılımı ailesi.
Hangi açık kullanılıyor?
Synology, saldırılarda kullanılan açığın tam olarak hangisi olduğunu kamuoyuyla paylaşmadı. Şirketin notu kullanıcıları, uzaktan kod çalıştırma, dosya okuma ve dosya yazma olanağı veren açıkları kapsayan SA 24:20 numaralı eski güvenlik bültenine ve bu bültende listelenen düzeltilmiş DSM sürümlerine yönlendiriyor. Yani yaklaşık iki yıl önce yayımlanan güncellemeleri yükleyen cihazlar bu saldırı dalgasına karşı korunmuş durumda; risk altındaki cihazlar, o günden bu yana hiç güncellenmeyenler.
Sorunun büyüklüğü
İnternet taraması yapan kâr amacı gütmeyen kuruluş Shadowserver, internete doğrudan açık 380 binden fazla Synology NAS cihazı izliyor. Bu rakam kaç cihazın savunmasız olduğunu göstermiyor; ancak NAS cihazlarının yıllarca güncelleme almadan çalıştığı düşünüldüğünde, saldırganlar için geniş bir hedef havuzu olduğu açık.
NAS kullanıcıları şimdi ne yapmalı?
- DSM’yi hemen güncelleyin: Denetim Masası’ndaki güncelleme bölümünden en son DSM sürümünü yükleyin ve otomatik güncellemeleri açın.
- Yönetim arayüzünü internete kapatın: Güncelleme tamamlanana kadar DSM yönetim paneline internetten erişimi engelleyin; modeminizdeki port yönlendirmelerini gözden geçirin.
- Uzaktan erişimi güvenli yoldan yapın: Cihaza dışarıdan bağlanmanız gerekiyorsa doğrudan port açmak yerine VPN kullanın.
- Yönetici hesabını sağlamlaştırın: Varsayılan “admin” hesabını devre dışı bırakın, güçlü parola ve iki aşamalı doğrulama kullanın.
- Anlık görüntü ve ayrı yedek alın: Btrfs anlık görüntülerini (snapshot) etkinleştirin ve en önemli verilerinizin NAS dışında, çevrim dışı bir kopyasını saklayın.
Fidye ödemek çözüm değil
Güvenlik uzmanları, fidye ödenmesinin dosyaların geri geleceğini garanti etmediğini ve saldırganları yeni kampanyalara teşvik ettiğini hatırlatıyor. Saldırıya uğrayan kullanıcıların cihazı ağdan ayırması, fidye notunu ve şifrelenmiş örnek dosyaları saklaması ve üreticinin destek ekibiyle iletişime geçmesi öneriliyor. NAS’ını “kur ve unut” mantığıyla kullananlar için bu dalga, güncellemenin bir güvenlik zorunluluğu olduğunu bir kez daha hatırlatıyor.
Kaynak: Synology güvenlik duyurusu ve SA 24:20 bülteni, Shadowserver, iSec News
