{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/da\/synology-c3rb3r-ransomware\/","title":{"rendered":"C3RB3R Ransomware p\u00e5 Synology: Oprindelse, genoprettelse og hvordan du forbliver sikker"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>C3RB3R-ransomware<\/strong> begyndte at dukke op p\u00e5 Synology NAS-enheder omkring den 28. oktober 2026, og inden for et d\u00f8gn var det det eneste emne p\u00e5 r\/synology. Filer bliver omd\u00f8bt med en <code>L0CK3D<\/code> -filtype (et nul, ikke bogstavet O), og hver mappe f\u00e5r en <code>read-me3.txt<\/code> l\u00f8sepengenota, og en Tor-portal beder om Bitcoin. Den hurtigste og mest nyttige information kom ikke fra engelske nyhedssider. Den kom fra kinesisktalende fora, hvor Synology har en k\u00e6mpe brugerbase, og fra tre GitHub-repositories skrevet af ofre, der faktisk fik deres data tilbage, eller beviste, at de ikke kunne. Denne guide samler, hvad der er bekr\u00e6ftet om C3RB3R ransomware indtil videre: hvor det kom fra, hvordan det kommer ind, den ene gendannelsesvej, der har fungeret, og det backupdesign, vi k\u00f8rer, s\u00e5 et angreb som dette koster os en gendannelse i stedet for l\u00f8sepenge.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Opdatering, 31. oktober 2026:<\/strong> Synology har nu fastlagt adgangspunktet. I en e-mail til kunder den 30. oktober bekr\u00e6ftede det, at C3RB3R-ransomware kun udnytter s\u00e5rbarheden rettet i Synology-SA-24:20, som blev patchet i december 2024, og at kampagnen ikke er relateret til PHP2Shell-s\u00e5rbarheden, der blev patchet i samme m\u00e5ned. Vi har tilf\u00f8jet Synology\u2019s egen fire-trins tjekliste, vores fortolkning af, hvorfor angrebene fandt sted, da de gjorde, og et ekstra lag, vi k\u00f8rer, som de fleste ejere allerede betaler for: Active Insight-ransomwarebeskyttelse.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club-punkt:<\/strong>Et offer i en kinesisk NAS-gruppe havde mere end 50 TB p\u00e5 en enkelt enhed og ingen snapshots. Krypteringsprogrammet var langsomt nok til, at kun hans billeder fra 2024 blev ramt, og de havde tilf\u00e6ldigvis en kold kopi p\u00e5 et sky-drev. En anden mistede fem \u00e5rs private GitLab-repositories, fordi RAID 6 plus tre sikkerhedskopier alle l\u00e5 p\u00e5 den samme maskine. C3RB3R ransomware besejrede ikke deres lagerplads, det besejrede deres backupdesign. Vi k\u00f8rer vores offentlige websteder som Docker i Virtual DSM, tager snapshot af hele g\u00e6sten fra v\u00e6rten, replikerer det til en anden NAS og eksporterer det til USB og skyen efter en tidsplan. Hvis en g\u00e6st bliver krypteret i nat, ruller vi den tilbage til det seneste snapshot, og angriberen f\u00e5r intet.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Hvad er C3RB3R ransomware?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware er en Linux-version af Cerber-familien, en ransomware-linje, der har eksisteret siden 2016, og som af og til har m\u00e5lrettet sig mod NAS-enheder i \u00e5revis. 360 tilskriver b\u00f8lgen i oktober 2026 p\u00e5 Synology til den. P\u00e5 en inficeret DSM-enhed k\u00f8rer C3RB3R ransomware-krypteringsprogrammet som en statisk linket, UPX-pakket x86-64-bin\u00e6r fil ved navn <code>libgld<\/code>Det sletter sin egen fil efter start, s\u00e5 den k\u00f8rende proces viser <code>(slettet)<\/code> ved siden af sin sti til den eksekverbare fil.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hvad du ser som ejer af en enhed, der er ramt af C3RB3R ransomware, er ensartet i alle rapporter:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Filer omd\u00f8bt til <code>name.ext.L0CK3D<\/code>Nogle rapporter staver det <code>LOCK3D<\/code>, men GitHub-analyserne citerer nullet.<\/li>\n\n\n\n<li>En l\u00f8sepengenota ved navn <code>read-me3.txt<\/code> i hver krypterede mappe, med overskriften C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>En Tor-side med titlen C3rb3r Decryptor. Et screenshot fra et offer viste 0,03696 BTC (ca. 2.952 US$) ved betaling inden for fem dage, som fordobledes til 0,07392 BTC (ca. 5.904 US$) derefter, med en nedt\u00e6llings-timer.<\/li>\n\n\n\n<li>Persistens via cron-poster, der matcher <code>\/etc\/cron.d\/synot*<\/code>, som genopretter sig selv og i mindst \u00e9t tilf\u00e6lde overlevede en DSM-opgradering.<\/li>\n\n\n\n<li>Backupfiler p\u00e5 samme volumen krypteres sammen med alt andet, herunder Hyper Backup-destinationer og databasedumps.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Hvor det startede: r\/synology og de kinesiske fora<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware dukkede f\u00f8rst op p\u00e5 engelsk p\u00e5 r\/synology, hvor ofre opslog inden for ca. et d\u00f8gn af hinanden omkring den 28. og 29. oktober 2026. Inden for f\u00e5 timer sagde l\u00e6sere, at der dukkede en ny tr\u00e5d op, hver gang de genindl\u00e6ste subredditten. Tre af disse tr\u00e5de er v\u00e6rd at l\u00e6se i deres helhed, fordi hver is\u00e6r tilf\u00f8jer en ny brik:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Den forensiske gennemgang.<\/strong> En DS918+-ejer p\u00e5 DSM 7.2.1-69057 Update 5, med webgr\u00e6nsefladen tilg\u00e6ngelig fra internettet, slukkede enheden og unders\u00f8gte diskene skrivebeskyttet p\u00e5 en Proxmox-v\u00e6rt. DSM-godkendelsesloggen indeholdt en loginanmodning, hvis kontofelt indeholdt injicerede <code>LD_PRELOAD<\/code> og <code>LD_DEBUG_OUTPUT<\/code> -linjer plus en kodet shell-kommando og en fil under <code>\/etc\/cron.d<\/code>Det matcher den offentliggjorte CVE-2024-10441-teknik. En 3-2-1-backup bet\u00f8d, at angrebet kostede en gendannelse, ikke l\u00f8sepenge. L\u00e6s det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">N\u00e5, s\u00e5 skete det endelig. Min f\u00f8rste rigtige ransomware-h\u00e6ndelse<\/a>.<\/li>\n\n\n\n<li><strong>Brugeren, der kun brugte Photos.<\/strong> Denne ejer troede, at DSM var opdateret, og brugte kun Synology Photos, men UPnP p\u00e5 routeren var sl\u00e5et til. Efter en tilstand 2-nulstilling kom mapper d\u00e6kket af Snapshot Replication tilbage. Mapper uden snapshots gjorde ikke, og det lokale Hyper Backup USB-drev blev krypteret sammen med NAS'en. L\u00e6s det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Ramt af c3rb3r ransomware i morges<\/a>.<\/li>\n\n\n\n<li><strong>QuickConnect-diskussionen.<\/strong> Den oprindelige forfatter opdagede det f\u00f8rst, efter at DSM blev forringet, og en geninstallation afsl\u00f8rede de krypterede filer. I svarene sagde en anden l\u00e6ser med en st\u00e6rk adgangskode, 2FA og QuickConnect aktiveret, at de ogs\u00e5 var blevet ramt, og andre p\u00e5pegede, at brugere, der kun bruger apps, helt kan sl\u00e5 DSM-adgang fra i QuickConnect. L\u00e6s det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Ramt af C3RB3R ransomware<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">L\u00e6st i sammenh\u00e6ng er m\u00f8nsteret klart. C3RB3R ransomware havde kun brug for en DSM-login-side, den kunne n\u00e5, intet andet. Adgangskoder og 2FA hjalp ikke, fordi exploit'en k\u00f8rer f\u00f8r godkendelse. Den forensiske gennemgang udtrykte det helt klart: anmodningen n\u00e5ede et s\u00e5rbart program, og endnu en adgangskode-prompt ville ikke have l\u00f8st det.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Det dybere tekniske arbejde foregik p\u00e5 kinesisk. Ofre i WeChat- og Xiaohongshu-grupper opslog l\u00f8sesumssedler, sammenlignede tidslinjer og henviste hinanden til de GitHub-repositories, der er d\u00e6kket nedenfor. Et taiwansk Synology-f\u00e6llesskab p\u00e5 Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">indsamlede de samme genoprettelseslinks<\/a> til lokale brugere. Det giver mening: Synology er en taiwansk virksomhed, og dens st\u00f8rste brugerf\u00e6llesskaber er kinesisktalende, s\u00e5 det var derfra m\u00e6ngden af C3RB3R ransomware-sager \u2013 og dermed den hurtigste m\u00f8nstergenkendelse \u2013 kom.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Synology offentliggjorde selv <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">en sikkerhedsmeddelelse<\/a> den 29. oktober 2026, med meddelelse om, at det havde identificeret trusselsakt\u00f8rer, der udnyttede en s\u00e5rbarhed, som blev rettet i december 2024, mod for\u00e6ldede DSM-versioner, og opfordrede alle til at opdatere med det samme.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">S\u00e5dan tr\u00e6nger C3RB3R Ransomware ind<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">I de f\u00f8rste to dage var der to mulige adgangspunkter. Synology har siden bekr\u00e6ftet det \u00e6ldre af dem. Dets e-mail fra 30. oktober angiver, at angrebene kun udnytter den s\u00e5rbarhed, der blev h\u00e5ndteret i Synology-SA-24:20, og at C3RB3R-ransomware intet har at g\u00f8re med PHP2Shell. Tabellen nedenfor viser begge kandidater, som de blev debatteret, da 360-parret stadig er v\u00e6rd at patche.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology siger<\/th><th>360 siger<\/th><\/tr><\/thead><tbody><tr><td>R\u00e5dgivende<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, uautentificeret fjernafvikling af kode i systemets plugin-d\u00e6mon<\/td><td>CVE-2026-13639 (loginlogik) og CVE-2026-13684 (SCGI), begge CVSS 9.8<\/td><\/tr><tr><td>Rettet<\/td><td>November til december 2024<\/td><td>september 2026<\/td><\/tr><tr><td>Rettede builds<\/td><td>DSM 7.2.2-72806 Opdatering 1, 7.2.1-69057 Opdatering 6, 7.2-64570 Opdatering 4, 7.1.1-42962 Opdatering 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Opdatering 4, 7.2.2-72806 Opdatering 9, 7.2.1-69057 Opdatering 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">De retstekniske beviser peger mod den \u00e6ldre fejl p\u00e5 i det mindste nogle af ofrene. Den mest detaljerede Reddit-gennemgang matchede sine egne overlevende logfiler med det offentliggjorte CVE-2024-10441-exploit, mens det blev bem\u00e6rket, at Synology ikke havde bekr\u00e6ftet det, og at den samme enhed ogs\u00e5 var under SA-26:13-rettelsesniveauet. soimy-gennemgangen siger, at hukommelseslogfiler fra den inficerede g\u00e6st peger p\u00e5 milj\u00f8variabel-injection gennem DSM-login-pluginet, hvilket stemmer overens med CVE-2024-10441, og et offentligt proof of concept, der misbruger login-brugernavnefeltet, dukkede op p\u00e5 GitHub dage f\u00f8r udbruddet. To af de tre dokumenterede redningssager k\u00f8rte p\u00e5 uoriginal hardware med en DS918+-bootloader, den ene af dem p\u00e5 DSM 7.2-64570 Update 3, hvilket er pr\u00e6cis \u00e9n opdatering fra CVE-2024-10441-rettelsen. Klon-hardware kan ikke nemt modtage officielle opdateringer, hvilket g\u00f8r det til det nemmeste m\u00e5l i gruppen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Den praktiske konklusion har ikke \u00e6ndret sig: opdater til en version, der d\u00e6kker begge sikkerhedsadvarsler, og stop med at eksponere DSM mod internettet. Men \u00e9t sp\u00f8rgsm\u00e5l stod tilbage. Hvis hullet blev patchet i december 2024, hvorfor udl\u00f8ste s\u00e5 mange enheder C3RB3R-ransomware inden for de samme to dage i oktober 2026, herunder nogle, hvor ejerne troede, at de var fuldt opdaterede?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Placeret tidligt, detoneret p\u00e5 kommando<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Vores vurdering, og det er vores egen fortolkning snarere end noget Synology har udtalt, er, at C3RB3R-ransomware-indbruddet og krypteringen er to adskilte h\u00e6ndelser. Beviserne peger i den retning:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Bagd\u00f8ren kom f\u00f8rst.<\/strong> I Xiaohongshu-sagen nedenfor havde en bagd\u00f8rsshell ligget p\u00e5 NAS'en i 37 dage og sl\u00e5et telnet til som root, f\u00f8r en eneste fil blev krypteret.<\/li>\n\n\n\n<li><strong>Den overlever opdateringer.<\/strong> Cron-posterne under <code>\/etc\/cron.d\/synot*<\/code> genopretter sig selv, og mindst et offer fandt dem stadig til stede efter opgradering til den nyeste DSM. Opdateringen lukkede hullet, men efterlod indtr\u00e6ngeren indenfor.<\/li>\n\n\n\n<li><strong>Detonationerne var synkroniserede.<\/strong> C3RB3R-ransomware-enheder, der var blevet kompromitteret p\u00e5 forskellige tidspunkter og p\u00e5 forskellige build-versioner, begyndte at kryptere inden for ca. 48 timer af hinanden.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Det m\u00f8nster passer p\u00e5 en akt\u00f8r, der har placeret C3RB3R-ransomware-implantater p\u00e5 u-patched enheder over flere m\u00e5neder og derefter valgte, hvorn\u00e5r aftr\u00e6kkeren skulle aktiveres fjernstyret. Det \u00f8jeblik, de valgte, var PHP2Shell-ugen, hvor enhver Synology-administrator havde travlt med at patche, mange enheder lige var blevet opdateret, og ejerne f\u00f8lte sig trygge, fordi de havde opdateret. Synology g\u00f8r det klart, at PHP2Shell ikke var vejen ind. Det var d\u00e6kket. L\u00e6ren er, at en enhed, der har v\u00e6ret eksponeret, mens den var u-patched, b\u00f8r behandles som kompromitteret, indtil den er kontrolleret, hvilket er pr\u00e6cis, hvad trin \u00e9t i Synology\u2019s tjekliste beder dig om at g\u00f8re.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">F\u00f8rstehj\u00e6lp ved C3RB3R Ransomware i 4 trin<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hvis du finder <code>L0CK3D<\/code> -filer lige nu, afg\u00f8r r\u00e6kkef\u00f8lgen af de n\u00e6ste ti minutter, om gendannelse overhovedet er mulig. N\u00f8glen, der l\u00e5ser dine filer op, findes kun i den k\u00f8rende C3RB3R ransomware-proces. En genstart, et <code>kill -9<\/code> eller en geninstallation af DSM \u00f8del\u00e6gger den.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Afbryd netv\u00e6rket, ikke str\u00f8mmen<\/h3>\n<div class=\"rank-math-step-content\"><p>Tag stikket ud af WAN-siden, eller fjern routerens portforwards og UPnP-tilknytninger. Luk ikke din NAS ned, og genstart den ikke. Luk enhver SSH- eller telnet-adgang, du ikke selv har \u00e5bnet.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Find og frys krypteringsprogrammet<\/h3>\n<div class=\"rank-math-step-content\"><p>Opret forbindelse via SSH som root, angiv processer, hvis eksekverbare fil er blevet slettet, og send derefter SIGSTOP med kill -STOP og PID. En frossen proces bevarer sin hukommelse, og dens hukommelse indeholder sessionsn\u00f8glen.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Dump den frosne proceshukommelse<\/h3>\n<div class=\"rank-math-step-content\"><p>F\u00f8lg Benjamin-zlt-repositoryet for at l\u00e6se den skrivbare hukommelse for det PID fra proc-filsystemet over p\u00e5 en separat disk. P\u00e5 en virtuel maskine fungerer et komplet g\u00e6stehukommelsessnapshot fra hypervisoren ogs\u00e5.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Bevar bevismateriale, og ryd derefter op<\/h3>\n<div class=\"rank-math-step-content\"><p>Bevar enhver L0CK3D-fil og l\u00f8sesum-note ur\u00f8rt. Kopier data ud, der stadig kan l\u00e6ses. F\u00f8rst n\u00e5r hukommelsen er sikret, skal du fjerne synot cron-indtastningerne, skifte alle adgangskoder og opdatere DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Kommandoerne bag trin 2 og 3 ser s\u00e5ledes ud. L\u00e6s repositoryerne igennem f\u00f8r du k\u00f8rer noget, da detaljerne afh\u00e6nger af, hvilken bin\u00e6r fil du har.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Trin 2: Find krypteringsprogrammet (dets eksekverbare fil vises som slettet)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Frys det. Brug aldrig kill -9 her.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # b\u00f8r vise T (stopped)<\/th><th># S\u00f8g efter den vedholdenhed (persistence), der bringer det tilbage<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Kan du dekryptere det? De tre redningssager fra GitHub<\/a><\/td><td>Der findes intet universelt C3RB3R ransomware-dekrypteringsv\u00e6rkt\u00f8j, og alle, der s\u00e6lger et, g\u00e6tter bare. Hvad der findes, er tre omhyggelige casestudier, der fort\u00e6ller dig pr\u00e6cis, hvorn\u00e5r gendannelse fungerer.<\/td><td>Repository<\/td><td>Maskine<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resultat<\/a><\/td><td>Hvorfor<\/td><td>Repository<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en Proxmox VE virtuel maskine, der k\u00f8rer GitLab<\/a><\/td><td>Gendannet<\/td><td>En kopi p\u00e5 16 GiB af g\u00e6ste-RAM indeholdt sessionsn\u00f8glen p\u00e5 48 byte. GitLab blev gendannet med 80 projekter og 9.253 LFS-objekter.<\/td><td>Krypteringsprogrammet var allerede lukket omkring 30 timer tidligere. Fuldst\u00e6ndige RAM- og swap-scanninger fandt ingen n\u00f8gle.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Det tredje repository er det vigtigste at l\u00e6se, fordi dets titel er dets lektie: aldrig genstartet betyder ikke genoprettelig. Det, der betyder noget, er, om C3RB3R-ransomware-processen stadig k\u00f8rer. N\u00e5r den f\u00f8rst afsluttes, nulstiller den sin n\u00f8glebuffer, og n\u00f8glen er v\u00e6k. En n\u00f8gle gendannet hos \u00e9t offer er ogs\u00e5 ubrugelig hos et andet, fordi hver k\u00f8rsel genererer en ny sessionsn\u00f8gle.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Hvorfor n\u00f8glen kun findes i hukommelsen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Benjamin-zlt-analysen udpensler C3RB3R-ransomwarens filformat, og den forklarer b\u00e5de, hvorfor dette virker, og hvorfor det normalt ikke g\u00f8r.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Hver fil f\u00e5r sin egen tilf\u00e6ldige ChaCha8-n\u00f8gle.<\/strong> Den n\u00f8gle pakkes ind med en sessions-hovedn\u00f8gle ved hj\u00e6lp af AES-256-CBC og gemmes i en 588-byte trailer i slutningen af filen.<\/li>\n\n\n\n<li><strong>Sessions-hovedn\u00f8glen er p\u00e5 48 bytes:<\/strong> en 16-byte IV plus en 32-byte AES-n\u00f8gle. Den skrives aldrig til disken. En global pointer inde i den k\u00f8rende proces peger p\u00e5 den.<\/li>\n\n\n\n<li><strong>Traileren indeholder ogs\u00e5 en blob indpakket med angriberens offentlige n\u00f8gle<\/strong> (RSA-2048), s\u00e5 uden den k\u00f8rende proces kan kun angriberen genoprette sessionsn\u00f8glen.<\/li>\n\n\n\n<li><strong>Ikke alle filer krypteres fuldst\u00e6ndigt.<\/strong> I en stikpr\u00f8ve p\u00e5 400 filer brugte ca. 56% segmenteret tilstand, 31% havde kun den f\u00f8rste 1 MiB krypteret, og 13% var krypteret fra ende til anden. Delvist krypterede filer er stadig ikke l\u00e6sbare, men triage af footeren fort\u00e6ller dig, hvad der er tilbage.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">S\u00e5 svagheden i C3RB3R-ransomware er sn\u00e6ver og tidsbegr\u00e6nset: krypteringsprogrammet beholder hovedn\u00f8glen i hukommelsen under hele sessionen. Frys det, mens det k\u00f8rer, og du kan tr\u00e6kke n\u00f8glen ud. Misser du det vindue, st\u00e5r du tilbage med den offentlige n\u00f8gle-blob, som er designet til at v\u00e6re ubrydelig.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">En historie fra et offer: 50 TB og ingen snapshots<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">En detaljeret beretning sl\u00e5et op p\u00e5 Xiaohongshu den 29. oktober 2026 af brugeren \u67ef\u57fa\u7231\u597d\u8005 f\u00f8lger et medlem af deres NAS-gruppe gennem natten. Han bem\u00e6rkede C3RB3R-ransomware-noten, bekr\u00e6ftede C3RB3R INSTRUCTIONS-overskriften og var t\u00e6t p\u00e5 at k\u00f8be Bitcoin, f\u00f8r gruppen henviste ham til GitHub-sagerne.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Han brugte derefter en AI-kodningsassistent over SSH til at unders\u00f8ge sagen. Den fandt og frossede krypteringsprogrammet, s\u00e5 intet nyt blev krypteret efter dette tidspunkt. Den fandt ogs\u00e5 ud af, at en sandsynlig bagd\u00f8rs-shell havde ligget p\u00e5 NAS'en i 37 dage og havde aktiveret telnet som root, hvilket betyder, at det indledende indbrud og krypteringen skete med mere end en m\u00e5neds mellemrum. Den skrev et bevisindsamlingsscript og ventede korrekt p\u00e5, at han bekr\u00e6ftede, f\u00f8r den k\u00f8rte noget som root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hans held var, at C3RB3R-ransomware er langsom. Med mere end 50 TB at tygge igennem var krypteringsprogrammet kun n\u00e5et til hans 2024-fotos, og dem havde han en kold kopi af p\u00e5 et cloud-drev. Han flyttede arbejdsdata til en mindre NAS og parkerede den krypterede volumen til senere. Hans egen konklusion var kontant: han havde ingen snapshots, og med snapshots ville dette have v\u00e6ret nemt at rette. Et andet offer p\u00e5 X opsummerede den samme lektie fra den anden side: RAID 6 plus tre sikkerhedskopis\u00e6t, alle p\u00e5 den samme boks, alle krypteret sammen.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Hvordan vi holder C3RB3R-ransomware v\u00e6k fra vores sikkerhedskopier<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Enhver historie om tabte data ovenfor har samme m\u00f8nster: sikkerhedskopierne var tilg\u00e6ngelige fra den maskine, der blev kompromitteret. C3RB3R-ransomware krypterer alt, hvad den kompromitterede DSM kan skrive til, s\u00e5 l\u00f8sningen er at opbevare mindst \u00e9n kopi et sted, hvor DSM overhovedet ikke kan skrive. Dette er m\u00e5den, vi g\u00f8r det p\u00e5 for de websteder, vi hoster, og det passer med 3-2-1-1-0-reglen.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regel<\/th><th>Betydning<\/th><th>Hvordan vi g\u00f8r det<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tre kopier af dataene<\/td><td>Den aktive VM, en replika p\u00e5 en anden NAS og en planlagt eksport<\/td><\/tr><tr><td>2<\/td><td>To slags medier<\/td><td>NAS-volumener plus et USB-drev og et cloud-drev<\/td><\/tr><tr><td>1<\/td><td>\u00c9n kopi off-site<\/td><td>Eksporter synkroniseret til Google Drive med Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>\u00c9n kopi offline eller uforanderlig<\/td><td>VM-snapshots p\u00e5 v\u00e6rtssiden, som g\u00e6sten ikke kan r\u00f8re, plus den frakoblede USB-eksport<\/td><\/tr><tr><td>0<\/td><td>Nul fejl ved genopretning<\/td><td>Vi genopretter og starter faktisk fra replikaerne, n\u00e5r vi flytter VM'er mellem v\u00e6rter<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">K\u00f8r Docker inde i Virtual DSM, ikke p\u00e5 v\u00e6rten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Vores WordPress-containere k\u00f8rer ikke p\u00e5 den fysiske NAS. De k\u00f8rer inde i en Virtual DSM-g\u00e6st, og g\u00e6sten er beskyttet af Virtual Machine Manager p\u00e5 v\u00e6rten. Hvis C3RB3R-ransomware f\u00e5r root inde i g\u00e6sten, ejer de den g\u00e6st og intet andet. Snapshots af g\u00e6sten ligger p\u00e5 v\u00e6rtens lagerplads, uden for g\u00e6stefilsystemet, s\u00e5 ransomware inde i VM'en kan ikke se dem, end sige kryptere eller slette dem. Genopretning er et snapshot-rollback m\u00e5lt i minutter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro tilf\u00f8jer de dele, der g\u00f8r det til en rigtig sikkerhedskopi: en beskyttelsesplan, der tager snapshot af VM'en og replikerer den til en anden NAS i klynget, s\u00e5 en d\u00f8d v\u00e6rt ogs\u00e5 er d\u00e6kket. Vores klynge er en DS1621xs+ og en DS1525+, der replikerer til hinanden. Vi har beskrevet <a href=\"https:\/\/synopower.club\/da\/docs\/vmm-backup-google-drive-cloud-sync\/\">planlagt eksport og Cloud Sync til Google Drive<\/a> -delen separat, og <a href=\"https:\/\/synopower.club\/da\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">sammenligningen mellem gratis VMM og VMM Pro<\/a> forklarer, hvilke dele der kr\u00e6ver licensen.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"VMM Pro-beskyttelsesplan, der replikerer en Virtual DSM-g\u00e6st til en anden NAS som forsvar mod C3RB3R ransomware\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Vores Virtual DSM-g\u00e6st spc_4C8G: snapshots hver 12. time, replikeret fra DS1621xs+ til DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Hvis du k\u00f8rer Docker direkte p\u00e5 DSM, skal du bruge uforanderlige snapshots<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ikke alle \u00f8nsker et VM-lag. Hvis dine containere k\u00f8rer p\u00e5 hosten, er uforanderlige snapshots forsvaret mod C3RB3R-ransomware. Sl\u00e5 dem til i Snapshot Replication for den delte mappe, der indeholder dine containerdata. De kr\u00e6ver DSM 7.2 eller nyere og en Btrfs-volumen, og i l\u00e5seperioden kan ingen slette dem, heller ikke en administratorkonto, som angriberen har overtaget. To detaljer er helt afg\u00f8rende:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Brug bind-mounts i en delt mappe<\/strong> s\u00e5som <code>\/volume1\/docker\/app<\/code>. Navngivne Docker-volumes ligger under <code>\/volume1\/@docker<\/code>, som ikke er en delt mappe, og som der slet ikke kan tages snapshot af.<\/li>\n\n\n\n<li><strong>Dump databaser til en fil f\u00f8r snapshottet.<\/strong> Et snapshot af en k\u00f8rende MariaDB er som en kopi ved str\u00f8msvigt. Et planlagt <code>mysqldump<\/code> i den samme delte mappe giver dig et rent genoprettelsespunkt, som \u00f8jebliksbilledet derefter l\u00e5ser.<\/li>\n\n\n\n<li><strong>V\u00e6lg en l\u00e5seperiode, der er l\u00e6ngere end den tid, en angriber kan sidde stille.<\/strong> Offeret ovenfor havde en bagd\u00f8r i 37 dage, f\u00f8r krypteringen startede. Syv dages uforanderlige \u00f8jebliksbilleder ville ikke have r\u00e6kket tilbage til en ren tilstand.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Indstillinger for Snapshot Replication med uforanderlige snapshots aktiveret for at beskytte en delt mappe mod C3RB3R ransomware\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, indstillinger for en delt mappe: en daglig tidsplan med uforanderlige \u00f8jebliksbilleder l\u00e5st i 30 dage.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Vores ekstra lag: Active Insight tager et snapshot, n\u00e5r krypteringen starter<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Her er det lag, de fleste guides overser. Active Insight, Synology skyoverv\u00e5gningstjenesten, kan overv\u00e5ge filaktivitet p\u00e5 dine delte mapper, og n\u00e5r den vurderer, at den ser ransomware, reagerer den af sig selv. Synology dokumenterer det i sin <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">NAS-sikkerhedsguide<\/a>: n\u00e5r der registreres en ransomware-h\u00e6ndelse, sender Active Insight en h\u00e6ndelsesmeddelelse og tager automatisk et snapshot af den delte mappe, og p\u00e5 modeller, der underst\u00f8tter det, er det snapshot uforanderligt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hvorfor dette har s\u00e6rlig betydning for C3RB3R-ransomware: C3RB3R-ransomware-krypteringen er langsom. Offeret med mere end 50 TB var kun n\u00e5et til sine 2024-billeder, da han opdagede det. Et snapshot taget, n\u00e5r krypteringsm\u00f8nsteret f\u00f8rste gang vises, fastfryser alt, der endnu ikke er ber\u00f8rt, hvilket kan v\u00e6re st\u00f8rstedelen af diskenheden. Det er ogs\u00e5 ligeglad med, hvordan C3RB3R-ransomware kom ind, fordi det overv\u00e5ger, hvad der sker med filerne, ikke login-siden. P\u00e5 vores DS1621xs+ viser siden Filaktivitet ransomware-beskyttelsen som Beskyttet.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Active Insight File Activity-siden, der viser ransomware-beskyttelse som Protected p\u00e5 en DS1621xs+, et sikkerhedsnet mod C3RB3R-ransomware\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Active Insight-filaktivitet p\u00e5 vores DS1621xs+: ransomwarebeskyttelse er sl\u00e5et til, s\u00e5 en opdaget C3RB3R-ransomwareh\u00e6ndelse udl\u00f8ser et automatisk snapshot.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">L\u00e6s begr\u00e6nsningerne, f\u00f8r du forlader dig p\u00e5 det. De stammer fra Synology\u2019s <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">dokumentation til Filaktivitet<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Overv\u00e5gning af filaktivitet er som standard sl\u00e5et fra.<\/strong> Registrer NAS'en til Active Insight i Kontrolpanel, og aktiver derefter overv\u00e5gning for hver v\u00e6rt i Active Insight-portalen.<\/li>\n\n\n\n<li><strong>Det kr\u00e6ver Snapshot Replication,<\/strong> DSM 7.2 eller nyere, Active Insight 3.0.2 eller nyere, mindst 1 GB hukommelse og en Active Insight-licens tildelt den p\u00e5g\u00e6ldende NAS.<\/li>\n\n\n\n<li><strong>H\u00f8jst \u00e9t automatisk snapshot pr. delt mappe pr. dag.<\/strong> Det er et sikkerhedsnet taget efter registrering, ikke en erstatning for planlagte uforanderlige snapshots.<\/li>\n\n\n\n<li><strong>Ikke d\u00e6kket:<\/strong> Surveillance Station-optagelsesmapper og delte mapper p\u00e5 eksterne USB-drev.<\/li>\n\n\n\n<li><strong>Uforanderlighed afh\u00e6nger af modellen.<\/strong> P\u00e5 en model uden uforanderlige snapshots kan en angriber med root-rettigheder stadig slette det automatiske snapshot, s\u00e5 kombiner det med den uforanderlige tidsplan ovenfor.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Vil du have den samme ops\u00e6tning?<\/strong> SynoPower Club s\u00e6lger \u00e6gte licenser til begge byggesten: en <a href=\"https:\/\/synopower.club\/da\/virtual-dsm-vdsm-license-pack\/\">Virtual DSM (VDSM)-licens<\/a> til at k\u00f8re dine Docker-tjenester i en isoleret g\u00e6st, og en <a href=\"https:\/\/synopower.club\/da\/synology-vmm-pro-license\/\">VMM Pro licens<\/a> til beskyttelsesplaner, replikering p\u00e5 tv\u00e6rs af NAS og live migration. N\u00f8gler leveres via e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/da\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en Virtual DSM-licens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/da\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en VMM Pro-licens<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Hvor finder man flere officielle ressourcer<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R-ransomware p\u00e5 Synology har v\u00e6ret offentligt kendt i to dage i skrivende stund, og der er endnu ingen officiel videod\u00e6kning, s\u00e5 dette afsnit lister prim\u00e6re kilder i stedet for gennemgange.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synologys sikkerhedsmeddelelse<\/a> af 29. oktober 2026, som opfordrer brugere af for\u00e6ldede DSM-versioner til at opdatere med det samme og aktivere automatiske opdateringer, fulgt op den 30. oktober af en e-mail til kunder, der bekr\u00e6fter SA-24:20 som den eneste ber\u00f8rte s\u00e5rbarhed.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> og <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> er versionstabellerne. Tjek din build i Kontrolpanel, derefter Opdatering og genoprettelse, i forhold til begge.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en Proxmox VE virtuel maskine, der k\u00f8rer GitLab<\/a> er det bedste indeks over alle kendte tilf\u00e6lde, herunder dem der ikke er d\u00e6kket her, og den klareste forklaring p\u00e5, hvorn\u00e5r hukommelsesefterforskning er form\u00e5lsl\u00f8s.<\/li>\n\n\n\n<li>De tre r\/synology-tr\u00e5de, der er linket til ovenfor, is\u00e6r den retsmedicinske gennemgang, som indeholder kommandoerne til unders\u00f8gelse af skrivebeskyttede diske trin for trin: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Tja, det skete endelig<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Synology\u2019s egen tjekliste (30. oktober 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Synology\u2019s e-mail til kunder slutter med fire trin. De er korte, og hver eneste af dem har betydning i forhold til C3RB3R-ransomware:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Tjek for indtr\u00e6ngere.<\/strong> C3RB3R-ransomware efterlader planlagt persistens, s\u00e5 k\u00f8r en Security Advisor-scanning, og se derefter i Task Scheduler efter scripts, du ikke selv har oprettet, og i Bruger og Gruppe efter administratorkonti, du ikke selv har tilf\u00f8jet. Hvis noget ser forkert ud, skal du kontakte Synology Support.<\/li>\n\n\n\n<li><strong>Opdater alt.<\/strong> Installer den nyeste DSM i Kontrolpanel, Opdatering og genoprettelse, og opdater derefter alle pakker i Pakkecenter.<\/li>\n\n\n\n<li><strong>Sl\u00e5 automatiske opdateringer til<\/strong> i Opdatering og genoprettelse, s\u00e5 fremtidige sikkerhedsrettelser tr\u00e6der i kraft, s\u00e5 snart de udgives.<\/li>\n\n\n\n<li><strong>Bevar en off-site-backup.<\/strong> Brug Hyper Backup og Snapshot Replication til at opbevare en kopi p\u00e5 en separat placering, og kontroller regelm\u00e6ssigt, at backup-opgaverne reelt gennemf\u00f8res.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Trin et er det, folk springer over. Hvis din enhed kunne n\u00e5s fra internettet f\u00f8r rettelsen i december 2024, har C3RB3R-ransomware muligvis allerede f\u00e5et fodf\u00e6ste, og opdatering i dag fort\u00e6ller dig ikke, om nogen allerede er inde.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Et gratis v\u00e6rkt\u00f8j, der k\u00f8rer tjekket for dig<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hvis du er fortrolig med en terminal, kan trin et nu v\u00e6re en enkelt kommando. synology-nas-cli er et open source-kommandolinjev\u00e6rkt\u00f8j under MIT-licensen, udgivet den 30. oktober 2026 af den uafh\u00e6ngige udvikler Akari Sora. Det logger ind p\u00e5 DSM via dets web-API og reviderer enheden mod denne kampagne. Projektet findes p\u00e5 GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vi genneml\u00e6ste dets kode, f\u00f8r vi linkede til det. Det bruger kun Pythons standardbibliotek, og det taler ikke med andet end din NAS, Synology-downloadserveren, PyPI og soimy-redningsv\u00e6rkt\u00f8jss\u00e6ttet. Det sender ingen telemetri, og den grundl\u00e6ggende revision l\u00e6ser kun. Dette er, hvad det tjekker:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Patch-niveau.<\/strong> Din DSM-build mod Synology-SA-26:13, som ogs\u00e5 d\u00e6kker den \u00e6ldre SA-24:20-rettelse, og dine installerede pakker mod SA-26:14.<\/li>\n\n\n\n<li><strong>Eksponering.<\/strong> QuickConnect, UPnP-port-forwarding p\u00e5 routeren, DSM-firewallen, AutoBlock, SMB1 og den indbyggede admin-konto.<\/li>\n\n\n\n<li><strong>Spor af C3RB3R ransomware.<\/strong> De indspr\u00f8jtede login-strenge i forbindelsesloggen, <code>\/etc\/cron.d\/synot*<\/code> -poster, <code>libgld<\/code> og <code>qnetd<\/code> -bin\u00e6re filer, ekstra root-konti, SSH-n\u00f8gler og l\u00f8sesumsnoter p\u00e5 dine delte mapper.<\/li>\n\n\n\n<li><strong>\u00d8jebliksbilleder.<\/strong> Delte mapper, der ikke har en fungerende snapshot-tidsplan.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Det kan ogs\u00e5 rette det meste af det, det finder. Hvis filer krypteres lige nu, fryser dets contain-kommando krypteringen med SIGSTOP, hvilket er det samme tr\u00e6k som trin to p\u00e5 vores f\u00f8rstehj\u00e6lpsliste. Dets rescue-kommando driver derefter soimy-v\u00e6rkt\u00f8jss\u00e6ttet til at fange hukommelsen og s\u00f8ge efter n\u00f8glen.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # skrivebeskyttet revision<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">nas incident --deep          # s\u00f8g ogs\u00e5 efter implantatet (et skrivebeskyttet root-script)<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>nas incident fix --dry-run   # vis alle \u00e6ndringer det ville foretage, \u00e6ndr intet.<\/strong> L\u00e6s disse bem\u00e6rkninger, f\u00f8r du lader det \u00e6ndre noget:.<\/li>\n\n\n\n<li><strong>Det er helt nyt.<\/strong> Projektet er et par dage gammelt, kommer fra en enkelt udvikler, er ikke tilknyttet Synology og har kun haft lidt ekstern gennemgang. Start med den skrivebeskyttede revision og pr\u00f8vek\u00f8rslen.<\/li>\n\n\n\n<li><strong>Firewall-rettelsen kan l\u00e5se dig ude.<\/strong> Det skifter DSM-firewallen til at afvise alt undtagen de netv\u00e6rk, du angiver. K\u00f8r det fra en computer p\u00e5 det samme LAN, og vid, hvor RESET-knappen sidder.<\/li>\n\n\n\n<li><strong>Det sl\u00e5r QuickConnect fra.<\/strong> Det er den sikrere indstilling, men hvis din familie tilg\u00e5r Synology Photos eller Surveillance Station via QuickConnect, b\u00f8r du oprette en VPN eller Tailscale f\u00f8rst.<\/li>\n\n\n\n<li><strong>Det dybe scan, contain og rescue k\u00f8res som root.<\/strong> De fungerer via en midlertidig Opgavestyring-opgave (Task Scheduler), da det er den eneste m\u00e5de at l\u00e6se root-begr\u00e6nsede logfiler og fryse processer p\u00e5.<\/li>\n\n\n\n<li><strong>README foresl\u00e5r at overdrage det til en AI-agent.<\/strong> Hvis du g\u00f8r det, s\u00e5 gem adgangskoden i en adgangskodeadministrator i stedet for i chatten, og bekr\u00e6ft selv rettelsen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">For resten af sikkerhedsh\u00e6rdningen d\u00e6kker vores vejledninger om <a href=\"https:\/\/synopower.club\/da\/docs\/synology-nas-security-public-website\/\">at k\u00f8re et offentligt websted p\u00e5 en Synology NAS<\/a> og om <a href=\"https:\/\/synopower.club\/da\/docs\/synology-threat-prevention-blind-spots\/\">hvad Threat Prevention kan og ikke kan se<\/a> netv\u00e6rkssiden, og <a href=\"https:\/\/synopower.club\/da\/synology-php2shell-emergency-patch\/\">patch-vejledningen til PHP2Shell<\/a> d\u00e6kker det andet kritiske problem, der opstod i samme uge.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Begr\u00e6nsninger og sikkerhedsbem\u00e6rkninger for C3RB3R-ransomware<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Opdatering fjerner ikke en eksisterende infektion.<\/strong> Mindst \u00e9t offer fandt ud af, at cron-persistensen stadig var til stede efter opgradering til den nyeste DSM. Hvis du var udsat, mens du ikke var patchet, skal du tjekke <code>\/etc\/cron.d<\/code>, Opgavestyring, opstartsskripter og aktiverede tjenester som telnet, og derefter udskifte alle adgangsoplysninger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Opdateret er ikke det samme som ren.<\/strong> Et Reddit-offer troede, at DSM var opdateret, og et andet blev ramt selv med 2FA og en st\u00e6rk adgangskode aktiveret. En enhed, der blev kompromitteret, f\u00f8r den blev patched, kan b\u00e6re implantatet med sig gennem enhver senere opdatering. Betragt enhver DSM-login-side, som internettet kan n\u00e5, som et m\u00e5l, herunder dem, der er offentliggjort via UPnP, som du aldrig bevidst har konfigureret. Brug en VPN eller Tailscale til fjernadgang, og sl\u00e5 UPnP fra p\u00e5 routeren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID og lokale sikkerhedskopier er ikke sikkerhedskopier mod C3RB3R-ransomware.<\/strong> Alt, hvad den kompromitterede DSM kan skrive til, vil blive krypteret, inklusive Hyper Backup-destinationer p\u00e5 samme enhed og monterede netv\u00e6rksdelinger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Betal ikke f\u00f8r du har l\u00e6st sagerne.<\/strong> Betaling til bagm\u00e6ndene bag C3RB3R-ransomware finansierer den n\u00e6ste b\u00f8lge og garanterer intet. Hvis krypteringsprogrammet stadig k\u00f8rer, er metoden med ledig hukommelse din bedste chance. Hvis det ikke k\u00f8rer, er de realistiske muligheder dine egne eksterne kopier.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>V\u00e6r forsigtig med, hvad du inds\u00e6tter i en AI-assistent.<\/strong> AI-v\u00e6rkt\u00f8jer hjalp flere ofre her, men giv dem ikke adgangskoder, genoprettede n\u00f8gler, komplette hukommelsesdumps eller virksomhedsdata. Lad dem foresl\u00e5 kommandoer, og k\u00f8r selv alt, der kr\u00e6ver root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Klonet hardware medf\u00f8rer ekstra risiko.<\/strong> Flere dokumenterede ofre k\u00f8rte DSM p\u00e5 u\u00e6gte hardware, hvor officielle opdateringer er sv\u00e6re eller umulige at installere. Hvis det er din ops\u00e6tning, m\u00e5 du antage, at du er uopdateret, og holde den helt v\u00e6k fra internettet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Referencer<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synologys sikkerhedsmeddelelse om DSM-ransomware-angreb<\/a>, 29. oktober 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 og de rettede DSM-builds.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 og CVE-2026-13684, offentliggjort 18. september 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Benjamin-zlt C3RB3R-ransomware bare-metal genoprettelse<\/a>, filformatet, n\u00f8glelayoutet og SIGSTOP-arbejdsgangen.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Hukommelsesredning virker kun, mens krypteringsprogrammet er aktivt.<\/a>, Den samme regel som i de tre GitHub-sager g\u00e6lder.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect om C3RB3R-kampagnen<\/a>, der opsummerer 360-tilskrivningen og tidslinjen.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: forbedring af sikkerheden p\u00e5 din Synology NAS<\/a>, herunder hvordan Active Insight tager et snapshot af en delt mappe, n\u00e5r den opdager ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Ofte stillede sp\u00f8rgsm\u00e5l<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hvad er C3RB3R-ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>C3RB3R-ransomware er en Linux-variant af Cerber-familien, som har ramt Synology NAS-enheder siden slutningen af oktober 2026. Den omd\u00f8ber filer med filtypenavnet L0CK3D, efterlader en read-me3.txt-l\u00f8sesumsmeddelelse i hver mappe og kr\u00e6ver Bitcoin via en Tor-side.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hvordan kommer C3RB3R ransomware ind p\u00e5 en Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Via DSM eksponeret for internettet. Den 30. oktober 2026 bekr\u00e6ftede Synology, at den kun udnytter CVE-2024-10441 fra Synology-SA-24:20, som blev rettet i december 2024, og at den er uafh\u00e6ngig af PHP2Shell. Opdater DSM, tjek for scripts og administratorkonti, du ikke selv har oprettet, og stop med at eksponere DSM direkte.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Kan filer krypteret af C3RB3R ransomware dekrypteres gratis?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Kun hvis krypteringsprocessen stadig k\u00f8rer. Frys den med SIGSTOP og dump dens hukommelse, da sessionsn\u00f8glen kun findes der. N\u00e5r processen afsluttes, eller NAS'en genstarter, kan intet offentligt v\u00e6rkt\u00f8j genskabe n\u00f8glen.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">B\u00f8r jeg genstarte eller slukke en inficeret NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nej. Afbryd netv\u00e6rksforbindelsen i stedet. En genstart eller kill -9 \u00f8del\u00e6gger den eneste kopi af n\u00f8glen. Frys processen f\u00f8rst, gem dens hukommelse p\u00e5 en anden disk, og ryd f\u00f8rst op derefter.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Fjerner en opdatering af DSM C3RB3R ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nej. Opdatering lukker hullet, men fjerner ikke det, der allerede er der. Ofre har fundet cron-persistens, der overlevede en opgradering. Tjek cron.d-mappen, planlagte opgaver og telnet, og skift alle adgangskoder.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Beskytter Synology snapshots mod C3RB3R ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Uforanderlige snapshots g\u00f8r derimod, fordi ingen kan slette dem i l\u00e5seperioden, ikke engang en kapret administratorkonto. Active Insight tilf\u00f8jer et sikkerhedsnet ved automatisk at tage et snapshot af en delt mappe, n\u00e5r den opdager ransomware, h\u00f8jst \u00e9n gang om dagen pr. mappe.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hvorfor k\u00f8re Docker inde i Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Fordi VM-snapshots ligger p\u00e5 v\u00e6rten, uden for g\u00e6sten. Ransomware, der overtager g\u00e6sten, kan hverken se eller slette dem, s\u00e5 genoprettelse er blot en tilbagerulning. VMM Pro tilf\u00f8jer replikering til en anden NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Er det en god id\u00e9 at betale l\u00f8sesummen?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Vi anbefaler det ikke. Betaling er ingen garanti for at det virker, og det finansierer det n\u00e6ste angreb. Tjek f\u00f8rst redningssagerne p\u00e5 GitHub, og genopret derefter fra kopier opbevaret uden for den inficerede NAS.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>G\u00f8r det n\u00e6ste C3RB3R ransomware-angreb til et sp\u00f8rgsm\u00e5l om genoprettelse, ikke l\u00f8sesum.<\/strong> K\u00f8r dine Docker-tjenester inde i Virtual DSM og beskyt hele g\u00e6sten med VMM Pro-beskyttelsesplaner, replikeret til en anden NAS. SynoPower Club s\u00e6lger \u00e6gte licenser til begge med n\u00f8gler leveret via e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/da\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en Virtual DSM-licens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/da\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en VMM Pro-licens<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/da\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}