Ransomware C3RB3R: Angreifer verschlüsseln Synology-NAS mit veraltetem DSM

Auf Synology-NAS werden derzeit Dateien verschlüsselt. Die Ransomware C3RB3R hängt an verschlüsselte Dateien die Endung .L0CK3D an und legt in jeden Ordner eine Lösegeldforderung namens read-me3.txt. Synology hat die Angriffe am 29. Oktober 2026 bestätigt: Angreifer nutzen eine Sicherheitslücke aus, die längst gepatcht ist, und treffen damit NAS mit veraltetem DiskStation Manager (DSM). Wer sein NAS nicht aktualisiert hat und es aus dem Internet erreichbar macht, sollte jetzt handeln.

Das Wichtigste in Kürze

• Was passiert: Seit Anfang Oktober 2026 verschlüsselt die Ransomware C3RB3R, eine Variante der Cerber-Familie, Daten auf Synology-NAS. Dateien enden auf .L0CK3D, die Erpresser verlangen Geld für ein „C3rb3r Decryptor“.
• Wer betroffen ist: NAS mit veraltetem DSM, die aus dem Internet erreichbar sind. Berichte über erfolgreiche Angriffe auf vollständig aktualisierte NAS gibt es bisher nicht.
• Welche Lücke: Synology nennt eine im Dezember 2024 geschlossene Lücke (Advisory SA-24:20, darunter CVE-2024-10441 mit CVSS 9,8). Die Sicherheitsfirma 360 nennt dagegen zwei Lücken, die erst im September 2026 geschlossen wurden (SA-26:13).
• Was hilft: DSM sofort auf die neueste Version für dein Modell aktualisieren, die Weboberfläche nicht direkt ins Internet stellen und eine Sicherung haben, die das NAS nicht überschreiben kann.
• Kein Gratis-Entschlüssler: Ein kostenloses Werkzeug zum Entschlüsseln gibt es bisher nicht. Ein Update rettet bereits verschlüsselte Dateien nicht.

Was bisher bekannt ist

Die ersten Berichte tauchten Mitte Oktober auf, vor allem in chinesischen Foren. Die chinesische Sicherheitsfirma Qihoo 360 schreibt, ihr Anti-Ransomware-Dienst habe seit Anfang Oktober mehrere Hilferufe von Synology-Besitzern erhalten. Nach der Analyse von Proben ordnet 360 die Schadsoftware als C3RB3R ein, eine Variante der bekannten Cerber-Ransomware.

Laut 360 verschlüsselt C3RB3R die Dateiinhalte mit ChaCha8 und schützt die Schlüssel mit RSA-2048. Systemordner und Programme lässt die Malware aus, damit das NAS weiter läuft. Bei einer Liste besonders wichtiger Dateitypen verschlüsselt sie den ganzen Inhalt, bei allen anderen nur einen Teil, was schneller geht. In jedem betroffenen Ordner liegt danach eine read-me3.txt mit einem Verweis auf eine Seite im Tor-Netz. Dort sollen Opfer das „C3rb3r Decryptor“ kaufen, laut BleepingComputer für mehrere tausend US-Dollar.

Synology selbst nennt weder den Namen der Ransomware noch eine Zahl der Opfer. Am 29. Oktober veröffentlichte der Hersteller eine kurze Warnung: Angreifer nutzten eine im Dezember 2024 gepatchte Lücke aus, um NAS mit veraltetem DSM anzugreifen, mit dem Ziel, Daten zu verschlüsseln und Lösegeld zu erpressen. Synology rät allen Betroffenen, DSM „sofort“ zu aktualisieren und automatische Updates einzuschalten.

Welche Lücke? Synology und 360 sind sich nicht einig

Hier liegt der unklare Punkt. Synology verweist in der Warnung auf das Advisory SA-24:20 von November 2024. Die schwerste Lücke darin ist CVE-2024-10441 (CVSS 9,8): Über den System-Plugin-Dienst von DSM können Angreifer ohne Anmeldung Code ausführen. Gefunden hat sie das Team DEVCORE beim Hacker-Wettbewerb Pwn2Own 2024.

360 nennt dagegen zwei neuere Lücken aus dem Advisory SA-26:13 vom 18. September 2026, beide ebenfalls mit CVSS 9,8 und ohne Anmeldung ausnutzbar:

• CVE-2026-13639: zu wenig Zufall (Entropie) in der Anmeldelogik von DSM. Angreifer können damit beliebige Dateien lesen und schreiben.
• CVE-2026-13684: fehlerhafte Kodierung der Ausgabe in der SCGI-Komponente von DSM, mit derselben Folge.

Ob beide Angaben dieselben Angriffe beschreiben oder unterschiedliche Einfallstore, ist offen. Weder Synology noch 360 haben das öffentlich aufgeklärt. Für dich spielt das aber kaum eine Rolle: Wer auf die aktuelle DSM-Version für sein Modell aktualisiert, schließt beide Wege. Wichtig ist nur, die vollständige Build-Nummer zu vergleichen. Eine Version, die die Mindestversion von 2024 erfüllt, kann die Lücken von September trotzdem noch enthalten.

Diese DSM-Versionen brauchst du mindestens

Für DSM 7.2, 7.1 und 6.2 listet das September-Advisory keine Updates. Diese Zweige bekommen keine regulären Sicherheitsupdates mehr. Kann dein Modell kein neueres DSM, solltest du es auf keinen Fall aus dem Internet erreichbar lassen und mittelfristig ersetzen. Deine Version findest du in DSM unter Systemsteuerung → Aktualisieren und wiederherstellen → DSM-Update.

Nebenbei: PHP2Shell betrifft einige Synology-Pakete

Parallel hat Synology Updates für zwei kritische PHP-Lücken veröffentlicht, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Betroffen sind Pakete, die PHP nutzen, etwa Web Station, WordPress, phpMyAdmin, Synology Calendar und MailStation. Synology Drive und Hyper Backup sind laut Synology nicht betroffen. Die PHP-Updates gibt es über das Paket-Zentrum, auch für ältere DSM-Zweige bis 6.2. MailStation muss man dort von Hand aktualisieren. Ob PHP2Shell bei den Ransomware-Angriffen eine Rolle spielt, ist nicht belegt.

Was du jetzt tun solltest

1. DSM aktualisieren: Die neueste Version installieren, die Synology für dein Modell anbietet, und die Build-Nummer mit der Tabelle oben vergleichen. Danach automatische Updates einschalten.
2. Pakete aktualisieren: Im Paket-Zentrum PHP und alle PHP-Pakete aktualisieren. Was du nicht nutzt, deinstallieren.
3. NAS vom Internet nehmen: Keine Portweiterleitung auf die DSM-Oberfläche, UPnP im Router aus, QuickConnect nur, wenn du es wirklich brauchst. Für den Fernzugriff ist ein VPN der bessere Weg, zum Beispiel Tailscale.
4. Konten absichern: Das Standardkonto „admin“ deaktivieren, starke eigene Passwörter verwenden, die Zwei-Faktor-Anmeldung und die automatische IP-Sperre bei Fehlversuchen einschalten. SSH nur einschalten, wenn du es brauchst.
5. Snapshots einschalten: Bei Btrfs-Volumes unveränderliche Snapshots für die freigegebenen Ordner einrichten und prüfen, ob sie wirklich entstehen.
6. Eine Sicherung außerhalb des NAS: RAID ist kein Backup, und eine Hyper-Backup-Sicherung auf demselben NAS wird mit verschlüsselt. Mindestens eine Kopie gehört auf eine externe Platte, die nicht dauerhaft angeschlossen ist, oder in einen Cloud-Speicher mit Versionierung.
7. Logs prüfen: Anmeldungen von unbekannten Adressen, Pakete, die du nicht installiert hast, und plötzlich viele geänderte Dateien sind Warnzeichen. Wer das automatisch überwachen will, kann zum Beispiel Wazuh einsetzen.

Wenn dein NAS schon verschlüsselt ist

• Sofort vom Netz trennen: Netzwerkkabel ziehen und Sync- und Backup-Aufgaben stoppen, damit nicht noch weitere Daten oder Sicherungen betroffen sind.
• Nicht neu starten, nicht formatieren: Lösegeldforderung, ein paar verschlüsselte Beispieldateien und die Logs aufheben. Sie helfen herauszufinden, wie die Angreifer hereinkamen.
• Nicht zahlen: 360 rät ausdrücklich davon ab. Eine Zahlung garantiert nicht, dass du deine Daten zurückbekommst.
• Erst absichern, dann wiederherstellen: Das NAS neu aufsetzen, aktualisieren, alle Passwörter von einem sauberen Gerät aus ändern und erst danach Daten aus einer sauberen Sicherung zurückspielen.
• Dateien umbenennen bringt nichts: Verschlüsselt ist der Inhalt, nicht der Name.

Einordnung

NAS sind seit Jahren ein beliebtes Ziel. 2019 traf die Ransomware QNAPCrypt (eCh0raix) NAS von QNAP, 2021 warnte Synology vor dem Botnetz StealthWorker, das Admin-Passwörter durchprobierte und Ransomware nachlud. Das Muster ist immer ähnlich: Ein Gerät mit allen Daten eines Haushalts oder kleinen Büros hängt offen im Internet und bekommt keine Updates. Dass Angreifer jetzt erfolgreich eine Lücke von 2024 ausnutzen, zeigt, wie viele NAS seit fast zwei Jahren nicht aktualisiert wurden. Ein Teil davon sind ältere Modelle, die das nötige DSM gar nicht mehr bekommen. Für sie bleibt nur, sie vom Internet zu trennen oder zu ersetzen.

Häufige Fragen

Ist mein Synology-NAS betroffen?

Gefährdet sind NAS mit einer DSM-Version unter den Mindestversionen in der Tabelle, vor allem wenn die DSM-Oberfläche oder andere Dienste aus dem Internet erreichbar sind. Ob dein NAS schon befallen ist, siehst du an Dateien mit der Endung .L0CK3D und an read-me3.txt-Dateien in deinen Ordnern.

Reicht es, nur die Portweiterleitung abzuschalten?

Das senkt das Risiko deutlich, ersetzt aber nicht das Update. Die Lücken bleiben im Heimnetz ausnutzbar, etwa von einem infizierten PC aus. Erst das Update schließt sie.

Kann ich meine Dateien ohne Lösegeld entschlüsseln?

Derzeit nicht. Ein kostenloses Entschlüsselungswerkzeug gibt es bisher nicht, auch Synology bietet keines an. Rettung gibt es nur aus Snapshots, die die Ransomware nicht löschen konnte, oder aus einer Sicherung außerhalb des NAS.

Mein NAS bekommt kein neues DSM mehr. Was nun?

Installiere das letzte Update, das es für dein Modell gibt, und mach das NAS auf keinen Fall aus dem Internet erreichbar. Fernzugriff nur über ein VPN. Langfristig solltest du ein Gerät einplanen, das noch Sicherheitsupdates bekommt.

Quellen

• Synology: Synology urges users to update DSM following ransomware attacks on outdated DSM versions (29.10.2026)
• Synology: Security Advisory SA-24:20 DSM (PWN2OWN 2024)
• Synology: Security Advisory SA-26:13 DSM (18.09.2026)
• BleepingComputer: Synology warns of C3RB3R ransomware attacks targeting NAS devices (02.11.2026)
• The Hacker News: Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM Flaw (03.11.2026)
• NAS Compares: Synology LOCK3D / C3RB3R Ransomware Attack (30.10.2026)
• HKCERT: Ransomware Attacks Targeting Synology NAS Devices (02.11.2026)