Synology تحذر من هجمات C3RB3R تستغل ثغرات 2024 في أجهزة NAS

مقدمة تحليلية

أصدرت Synology، الشركة التايوانية المصنعة لأجهزة التخزين المتصلة بالشبكة (NAS)، تحذيراً عاجلاً في 2 نوفمبر 2026 من تصاعد هجمات برمجية الفدية C3RB3R التي تستهدف أجهزتها. تدعو الشركة المستخدمين إلى تحديث نظام التشغيل DiskStation Manager (DSM) فوراً، مشيرة إلى أن المخترقين يستغلون ثغرة أمنية تم ترقيعها في ديسمبر 2024. تهدف هذه الهجمات إلى تشفير البيانات وابتزاز الفدية من المستخدمين. هذا التنبيه يأتي بعد موجة واسعة من تقارير المستخدمين التي بدأت تظهر قبل أكثر من أسبوعين، حيث تم تشفير بياناتهم وطُلب منهم دفع آلاف الدولارات لشراء أداة “C3rb3r Decryptor” عبر بوابة على الشبكة المظلمة. التحذير يركز على ضرورة التحديث الفوري وتفعيل التحديثات التلقائية لحماية البيانات الحيوية، في ظل استغلال مكثف لثغرات معروفة ومهملة.

التحليل التقني

تستغل هجمات C3RB3R الحالية ثغرات أمنية تم تحديدها ومعالجتها في ديسمبر 2024. وفقاً لإرشادات Synology، تسمح هذه الثغرات للمهاجمين بتنفيذ تعليمات برمجية عشوائية وقراءة وكتابة الملفات على الأجهزة غير المحدثة. على الرغم من أن Synology لم تحدد CVE المستغل في الهجمات الجارية بشكل مباشر، فقد ربطت التحذير بإعلان أمني صدر في نوفمبر 2024 يتضمن تفاصيل عن ثغرات حرجة تم ترقيعها:

• CVE-2024-10441: تسمح بتنفيذ تعليمات برمجية عشوائية.
• CVE-2024-50629: تسمح بقراءة الملفات.
• CVE-2024-10445: تسمح بكتابة الملفات.

برمجية الفدية C3RB3R، المعروفة أيضاً باسم CerberImposter، تسقط ملاحظة فدية بعنوان `read-me3.txt` وتضيف امتداد `.L0CK3D` إلى الملفات المشفرة. تطلب الملاحظة من الضحايا شراء برنامج “C3rb3r Decryptor” من بوابة على الشبكة المظلمة لاستعادة ملفاتهم، مع تحذير من أن أي محاولات استعادة ببرامج طرف ثالث ستكون “قاتلة لملفاتهم”. هذا التكتيك ليس جديداً؛ فنسخة سابقة من برمجية Cerber ظهرت في 2016 وكانت مسؤولة عن أكثر من 80% من جميع هجمات الفدية وربع جميع الإصابات على نقاط النهاية المؤسسية قبل اختفائها في نهاية 2019. بدأت C3RB3R في الظهور مرة أخرى في ديسمبر 2021، مستهدفة خوادم Atlassian Confluence وGitLab من خلال استغلال ثغرات مثل CVE-2021-26084 وCVE-2021-22205 (تنفيذ تعليمات برمجية عن بُعد) وCVE-2023-22518 (تجاوز المصادقة). توصي Synology بترقية إصدارات DSM إلى ما يلي:

• DSM 7.2.2: الترقية إلى 7.2.2-72806-1 أو أعلى.
• DSM 7.2.1: الترقية إلى 7.2.1-69057-6 أو أعلى.
• DSM 7.2: الترقية إلى 7.2-64570-4 أو أعلى.
• DSM 7.1: الترقية إلى 7.1.1-42962-7 أو أعلى.
• DSM 6.2: الترقية إلى 6.2.4-25556-8 أو أعلى.

كما توصي الشركة بحظر الوصول إلى واجهة إدارة الويب من الإنترنت.

السياق وتأثير السوق

نادراً ما تصدر Synology تحذيرات أمنية من هذا النوع؛ فآخر تنبيه مماثل كان في أغسطس 2019 بعد هجمات وحشية واسعة النطاق أدت إلى إصابات ببرمجية الفدية eCh0raix، التي استهدفت أيضاً أجهزة QNAP NAS. هذا التكرار لا يشير إلى تحسن في استجابة Synology أو في مستوى وعي المستخدمين. تتبع Shadowserver حالياً أكثر من 380,000 جهاز Synology NAS مكشوف للإنترنت، وهو عدد كبير يمثل قاعدة واسعة للمهاجمين، ولا توجد بيانات عن عدد الأجهزة التي تم تأمينها بالفعل. توقيت التحذير الرسمي من Synology، الذي صدر في 2 نوفمبر 2026، يأتي متأخراً بشكل واضح بعد ظهور التقارير الأولية من المستخدمين المتضررين قبل أكثر من أسبوعين، مما يعكس بطء استجابة قد يكلف المستخدمين بياناتهم. هذه الفترة الزمنية الحرجة بين بدء الهجمات وإصدار التحذير الرسمي تترك آلاف المستخدمين عرضة للخطر لفترة طويلة. المنافسون مثل QNAP واجهوا أيضاً تحديات مماثلة مع برمجيات الفدية مثل eCh0raix، مما يدل على أن مشكلة أمن أجهزة NAS ليست حكراً على Synology، ولكن التباين يكمن في سرعة الاستجابة والشفافية. عدم تقديم Synology لتفاصيل جديدة حول الثغرة المستغلة، واكتفاؤها بالإشارة إلى استشارة أمنية تعود لعام 2024، يثير تساؤلات حول مدى جدية التعامل مع التهديد الراهن ومدى فعالية تحديثاتها في منع الهجمات المستقبلية. هذا يترك انطباعاً بأن الشركة تعتمد على التحديثات القديمة بدلاً من معالجة طبيعة الهجمة الحالية بشكل مباشر.