Synology xác nhận ransomware nhắm DSM cũ; attribution C3RB3R chưa độc lập
Synology xác nhận ransomware đang khai thác một lỗ hổng đã vá từ tháng 12/2024 trên NAS chạy DSM lỗi thời. CVE cụ thể, số thiết bị và attribution C3RB3R vẫn chưa được hãng công khai xác nhận.
Cập nhật: · Giờ Việt Nam (UTC+7)
Đã đối chiếu thông cáo Synology ngày 29/10/2026, advisory Synology-SA-24:20 và cảnh báo ThaiCERT ngày 03/11. Xác nhận có hoạt động ransomware nhắm thiết bị chạy DSM lỗi thời và nhà sản xuất yêu cầu cập nhật. Chưa xác minh độc lập CVE đang bị khai thác, số thiết bị, đường truy cập ban đầu hoặc attribution C3RB3R; extension .L0CK3D và ransom note đơn lẻ không đủ để kết luận family. Đối chiếu thêm HKCERT và SA-26:14: chưa xác nhận PHP2Shell là đường vào của chiến dịch.
Thông cáo nguồn được phát hành ngày 29/10; bài Ransomware.VN xuất bản ngày 05/11 sau khi rà soát nguồn sơ cấp và CERT. Ngày bài không thay thế ngày sự kiện. Không sử dụng dữ liệu Ticket, khách hàng, mẫu mã độc hay leak-site riêng. Nếu thiết bị có dấu hiệu bị xâm nhập, cần cô lập và bảo toàn chứng cứ trước các thay đổi có thể làm mất timeline.
Bằng chứng: Synology xác nhận ransomware nhắm DSM lỗi thời
Ngày 29/10/2026, Synology cho biết threat actor đang khai thác một lỗ hổng đã được vá từ tháng 12/2024 để tấn công thiết bị chạy DSM lỗi thời. Mục tiêu của các cuộc tấn công là mã hóa dữ liệu và tống tiền. [S1]
Nhà sản xuất yêu cầu người dùng phiên bản dễ bị ảnh hưởng cập nhật DSM ngay và khuyến nghị bật cập nhật tự động. Đây là xác nhận về hoạt động ransomware, không phải chỉ là claim từ leak site. [S1]
Bằng chứng: Synology-SA-24:20 không xác định CVE đang bị khai thác
Thông cáo dẫn tới Synology-SA-24:20. Advisory này liệt kê ba lỗi: CVE-2024-10441 có thể cho phép thực thi mã từ xa, CVE-2024-50629 cho phép đọc một số tệp và CVE-2024-10445 liên quan ghi tệp trong điều kiện nhất định. [S2]
Tuy nhiên, thông cáo ransomware không chỉ rõ lỗi nào trong ba CVE đang được dùng. Vì vậy không nên biến đường dẫn advisory thành kết luận rằng một CVE cụ thể đã được xác nhận khai thác trong mọi ca. [S1][S2]
Attribution C3RB3R / L0CK3D vẫn cần bằng chứng bổ sung
ThaiCERT ghi nhận các báo cáo từ người dùng liên hệ hoạt động với tên C3RB3R, extension .L0CK3D và ransom note read-me3.txt. Cơ quan này cũng lưu ý Synology chưa công bố số thiết bị bị ảnh hưởng hay lỗ hổng chính xác. [S3]
Trong phần nội dung thông cáo được rà soát, Synology xác nhận ransomware nhưng không công khai family. Ransomware.VN giữ attribution C3RB3R ở trạng thái chưa xác minh độc lập: extension, note hoặc tên chiến dịch riêng lẻ không đủ để kết luận family.
Nhận định kỹ thuật: vá ngay khi chưa có dấu hiệu; bảo toàn chứng cứ nếu nghi bị xâm nhập
Với NAS chưa có dấu hiệu bất thường, ưu tiên nâng DSM lên bản mới nhất mà model hỗ trợ, xác minh lại build sau khi khởi động và loại giao diện quản trị khỏi Internet công khai. Bản vá chỉ giảm nguy cơ khai thác tiếp theo, không chứng minh thiết bị trước đó chưa bị truy cập.
Nếu đã xuất hiện đổi extension, ransom note, đăng nhập lạ hoặc thay đổi hàng loạt, cần tách NAS khỏi mạng, ghi nhận trạng thái và bảo toàn log/cấu hình trước khi cập nhật, khôi phục hay reset. Không nên tiếp tục ghi dữ liệu lên volume bị ảnh hưởng.
- Kiểm tra DSM và package theo model; bật cập nhật tự động khi phù hợp với quy trình thay đổi.
- Đóng truy cập quản trị trực tiếp từ Internet; dùng VPN hoặc mạng quản trị tin cậy, MFA và tài khoản quản trị riêng.
- Kiểm tra backup độc lập/ngoại tuyến và thử phục hồi; snapshot cùng NAS không phải bản sao sống sót độc lập.
- Đổi thông tin xác thực từ một máy sạch nếu có căn cứ phơi nhiễm; giữ nguyên chứng cứ trước khi rebuild.
Đối chiếu ngày 09/11: bản vá DSM và bản vá PHP2Shell không thay thế nhau
Cảnh báo HKCERT ngày 02/11 phân biệt lỗ hổng đã được vá từ tháng 12/2024 mà Synology ghi nhận bị khai thác với hai CVE PHP2Shell (CVE-2026-109618 và CVE-2026-109619). Synology chưa xác nhận PHP2Shell liên quan các vụ ransomware này. [S4][S5]
Kiểm tra riêng phiên bản DSM theo SA-24:20 và các gói cài đặt theo bảng của SA-26:14. Cài bản vá PHP phù hợp qua Package Center; nếu dùng Mail Station, kiểm tra cập nhật thủ công cho gói này. Bản vá gói trên một số nhánh DSM hết vòng đời không đồng nghĩa các nhánh đó được hỗ trợ trở lại. [S2][S4][S5]
Điều chưa xác minh
Chưa có nguồn sơ cấp công khai xác nhận CVE cụ thể đang bị khai thác, tổng số NAS bị ảnh hưởng, IOC đầy đủ, cơ chế mã hóa, dữ liệu bị lấy, khóa giải mã hoặc tác động tại Việt Nam. Bài này không công bố hay suy luận từ bất kỳ Ticket khách hàng nào của TUNGTEK.
Nguồn tham khảo
Phạm vi và ngày của từng nguồn được ghi riêng khi có dữ liệu. Việc dẫn nguồn không đồng nghĩa xác minh độc lập toàn bộ nhận định.
Lịch sử cập nhật
· Xuất bản lần đầu từ thông cáo Synology, advisory SA-24:20 và cảnh báo ThaiCERT; tách xác nhận ransomware khỏi attribution C3RB3R chưa độc lập.
· Bổ sung hướng dẫn phân biệt bản vá DSM và bản vá gói PHP2Shell theo HKCERT và Synology-SA-26:14; không quy chiến dịch cho PHP2Shell. Giữ nguyên URL, ngày xuất bản và ảnh.
Chính sách sửa bài
