{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/de\/synology-c3rb3r-ransomware\/","title":{"rendered":"C3RB3R Ransomware auf Synology: Urspr\u00fcnge, Wiederherstellung und wie Sie gesch\u00fctzt bleiben"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>C3RB3R-Ransomware<\/strong> tauchte um den 28. Oktober 2026 auf Synology NAS-Ger\u00e4ten auf, und innerhalb eines Tages war es das einzige Thema auf r\/synology. Dateinamen werden umbenannt mit einer <code>L0CK3D<\/code> -Dateiendung (eine Null, nicht der Buchstabe O), und jeder Ordner erh\u00e4lt eine <code>read-me3.txt<\/code> L\u00f6segeldforderungs-Datei, und ein Tor-Portal fordert Bitcoin. Die schnellsten und n\u00fctzlichsten Informationen stammten nicht von englischsprachigen Nachrichtenseiten. Sie kamen aus chinesischsprachigen Foren, in denen Synology eine riesige Benutzerbasis hat, und aus drei GitHub-Repositories von Opfern, die ihre Daten tats\u00e4chlich zur\u00fcckerhalten haben oder bewiesen haben, dass dies nicht m\u00f6glich war. Dieser Leitfaden fasst zusammen, was bisher \u00fcber die C3RB3R-Ransomware best\u00e4tigt ist: woher sie kam, wie sie eindringt, der eine Wiederherstellungsweg, der funktioniert hat, und das Backup-Konzept, das wir ausf\u00fchren, damit ein solcher Angriff uns eine Wiederherstellung statt eines L\u00f6segelds kostet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Update, 31. Oktober 2026:<\/strong> Synology hat nun den Einfallspunkt gekl\u00e4rt. In einer E-Mail an Kunden vom 30. Oktober best\u00e4tigte das Unternehmen, dass die C3RB3R-Ransomware nur die in Synology-SA-24:20 behobene Schwachstelle ausnutzt, die im Dezember 2024 gepatcht wurde, und dass die Kampagne nicht mit der im selben Monat gepatchten PHP2Shell-Schwachstelle zusammenh\u00e4ngt. Wir haben Synology&#8217;s eigene Vier-Schritte-Checkliste hinzugef\u00fcgt, unsere Einsch\u00e4tzung dazu, warum die Angriffe zu diesem Zeitpunkt stattfanden, sowie eine zus\u00e4tzliche Schutzschicht, die wir nutzen und f\u00fcr die die meisten Besitzer bereits bezahlen: den Active Insight Ransomware-Schutz.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club-Punkt:<\/strong>Ein Opfer in einer chinesischen NAS-Gruppe hatte mehr als 50 TB auf einem einzigen Ger\u00e4t und keine Snapshots. Der Verschl\u00fcsselungsprozess war langsam genug, sodass nur seine Fotos aus dem Jahr 2024 betroffen waren, von denen zuf\u00e4llig eine Cold-Copy auf einem Cloud-Laufwerk lag. Ein anderer verlor f\u00fcnf Jahre privater GitLab-Repositories, weil RAID 6 plus drei Backups alle auf demselben Ger\u00e4t lagen. Die C3RB3R-Ransomware hat nicht ihren Speicher besiegt, sondern ihr Backup-Konzept. Wir betreiben unsere \u00f6ffentlichen Websites als Docker innerhalb von Virtual DSM, erstellen vom Host aus Snapshots des gesamten Guests, replizieren sie auf ein zweites NAS und exportieren sie nach Zeitplan auf USB und in die Cloud. Wenn ein Guest heute Nacht verschl\u00fcsselt wird, setzen wir ihn auf den letzten Snapshot zur\u00fcck und der Angreifer geht leer aus.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Was ist die C3RB3R-Ransomware?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die C3RB3R-Ransomware ist ein Linux-Build der Cerber-Familie, einer Ransomware-Reihe, die seit 2016 existiert und seit Jahren immer wieder NAS-Ger\u00e4te angreift. 360 f\u00fchrt die Welle vom Oktober 2026 auf Synology darauf zur\u00fcck. Auf einem infizierten DSM-Ger\u00e4t l\u00e4uft der Verschl\u00fcsseler der C3RB3R-Ransomware als statisch verlinkte, UPX-gepackte x86-64-Bin\u00e4rdatei namens <code>libgld<\/code>Sie l\u00f6scht ihre eigene Datei nach dem Start, sodass der laufende Prozess <code>(gel\u00f6scht)<\/code> neben seinem ausf\u00fchrbaren Pfad anzeigt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Was Sie als Besitzer eines von der C3RB3R-Ransomware betroffenen Ger\u00e4ts sehen, ist in allen Berichten einheitlich:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Dateinamen wurden umbenannt in <code>name.ext.L0CK3D<\/code>In einigen Berichten wird es als <code>LOCK3D<\/code>geschrieben, aber die GitHub-Analysen nennen die Null.<\/li>\n\n\n\n<li>Eine L\u00f6segeldforderung namens <code>read-me3.txt<\/code> in jedem verschl\u00fcsselten Ordner mit der \u00dcberschrift C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Eine Tor-Seite mit dem Titel C3rb3r Decryptor. Der Screenshot eines Opfers zeigte 0,03696 BTC (ca. 2.952 US-Dollar) bei Zahlung innerhalb von f\u00fcnf Tagen, was sich danach auf 0,07392 BTC (ca. 5.904 US-Dollar) verdoppelte, zusammen mit einem Countdown-Timer.<\/li>\n\n\n\n<li>Persistenz durch Cron-Eintr\u00e4ge, die mit <code>\/etc\/cron.d\/synot*<\/code>\u00fcbereinstimmen, die sich selbst neu erstellen und in mindestens einem Fall ein DSM-Upgrade \u00fcberstanden haben.<\/li>\n\n\n\n<li>Backup-Dateien auf demselben Volume wurden zusammen mit allen anderen Daten verschl\u00fcsselt, einschlie\u00dflich Hyper Backup-Zielen und Datenbank-Dumps.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Wo es begann: r\/synology und die chinesischen Foren<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R-Ransomware tauchte erstmals auf Englisch auf r\/synology auf, wo Opfer um den 28. und 29. Oktober 2026 innerhalb eines Tages Beitr\u00e4ge ver\u00f6ffentlichten. Innerhalb von Stunden berichteten Leser, dass bei jedem Neuladen des Subreddits ein neuer Thread erschien. Drei dieser Threads sind es wert, vollst\u00e4ndig gelesen zu werden, da jeder ein anderes Puzzleteil hinzuf\u00fcgt:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Der forensische Bericht.<\/strong> Ein Besitzer einer DS918+ mit DSM 7.2.1-69057 Update 5, dessen Weboberfl\u00e4che aus dem Internet erreichbar war, fuhr das Ger\u00e4t herunter und untersuchte die Festplatten schreibgesch\u00fctzt auf einem Proxmox-Host. Das DSM-Authentifizierungsprotokoll enthielt eine Anmeldeanfrage, deren Kontofeld injizierte <code>LD_PRELOAD<\/code> und <code>LD_DEBUG_OUTPUT<\/code> -Zeilen sowie einen kodierten Shell-Befehl und eine Datei unter <code>\/etc\/cron.d<\/code>enthielt. Das entspricht der ver\u00f6ffentlichten CVE-2024-10441-Technik. Ein 3-2-1-Backup bedeutete, dass der Angriff eine Wiederherstellung kostete, kein L\u00f6segeld. Lesen Sie es hier: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Nun, es ist endlich passiert. Mein erster echter Ransomware-Vorfall<\/a>.<\/li>\n\n\n\n<li><strong>Der reine Photos-Nutzer.<\/strong> Dieser Besitzer glaubte, DSM sei auf dem neuesten Stand, und nutzte nur Synology Photos, aber UPnP am Router war aktiviert. Nach einem Modus-2-Reset kehrten die von Snapshot Replication abgedeckten Ordner zur\u00fcck. Ordner ohne Snapshots nicht, und das lokale Hyper Backup-USB-Laufwerk wurde zusammen mit dem NAS verschl\u00fcsselt. Lesen Sie es hier: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Heute Morgen von c3rb3r-Ransomware getroffen<\/a>.<\/li>\n\n\n\n<li><strong>Die QuickConnect-Diskussion.<\/strong> Der urspr\u00fcngliche Autor bemerkte es erst, als DSM den Zustand \"Fehlerhaft\" anzeigte und eine Neuinstallation die verschl\u00fcsselten Dateien ans Licht brachte. In den Antworten gab ein anderer Leser mit starkem Passwort, 2FA und aktiviertem QuickConnect an, ebenfalls betroffen zu sein, w\u00e4hrend andere darauf hinwiesen, dass Nutzer reiner Apps den DSM-Zugriff in QuickConnect vollst\u00e4ndig deaktivieren k\u00f6nnen. Lesen Sie es hier: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Von C3RB3R-Ransomware getroffen<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Zusammen betrachtet ist das Muster eindeutig. Die C3RB3R-Ransomware ben\u00f6tigte lediglich eine erreichbare DSM-Anmeldeseite, sonst nichts. Passw\u00f6rter und 2FA halfen nicht, da der Exploit vor der Authentifizierung ausgef\u00fchrt wird. Der forensische Bericht brachte es auf den Punkt: Die Anfrage erreichte eine schwachstellenbehaftete Anwendung, und eine weitere Passwortabfrage h\u00e4tte daran nichts ge\u00e4ndert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die tiefgehendere technische Analyse fand auf Chinesisch statt. Opfer in WeChat- und Xiaohongshu-Gruppen posteten L\u00f6segeldschreiben, verglichen Zeitabl\u00e4ufe und wiesen sich gegenseitig auf die unten behandelten GitHub-Repositories hin. Eine taiwanische Synology-Community auf Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">sammelte dieselben Wiederherstellungs-Links<\/a> f\u00fcr lokale Benutzer. Das ergibt Sinn: Synology ist ein taiwanisches Unternehmen und seine gr\u00f6\u00dften Benutzer-Communitys sind chinesischsprachig, weshalb von dort das Hauptaufkommen an C3RB3R-Ransomware-F\u00e4llen und somit die schnellste Mustererkennung stammten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Synology selbst ver\u00f6ffentlichte <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">einen Sicherheitshinweis<\/a> am 29. Oktober 2026 und erkl\u00e4rte, es habe Bedrohungsakteure identifiziert, die eine im Dezember 2024 behobene Schwachstelle bei veralteten DSM-Versionen ausnutzen, und forderte alle dringend auf, sofort zu aktualisieren.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Wie C3RB3R-Ransomware eindringt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">In den ersten beiden Tagen gab es zwei m\u00f6gliche Einfallspunkte. Synology hat seitdem den \u00e4lteren best\u00e4tigt. In der E-Mail vom 30. Oktober hei\u00dft es, dass die Angriffe nur die in Synology-SA-24:20 behandelte Schwachstelle ausnutzen und dass die C3RB3R-Ransomware nichts mit PHP2Shell zu tun hat. Die folgende Tabelle zeigt beide Kandidaten im Zustand der bisherigen Diskussion, da das 360er-Paar nach wie vor gepatcht werden sollte.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology sagt<\/th><th>360 sagt<\/th><\/tr><\/thead><tbody><tr><td>Beratung<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, unauthentifizierte Remote-Code-Ausf\u00fchrung im System-Plugin-Daemon<\/td><td>CVE-2026-13639 (Login-Logik) und CVE-2026-13684 (SCGI), beide CVSS 9.8<\/td><\/tr><tr><td>Behoben<\/td><td>November bis Dezember 2024<\/td><td>September 2026<\/td><\/tr><tr><td>Korrigierte Versionen<\/td><td>DSM 7.2.2-72806 Update 1, 7.2.1-69057 Update 6, 7.2-64570 Update 4, 7.1.1-42962 Update 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Update 4, 7.2.2-72806 Update 9, 7.2.1-69057 Update 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Die forensischen Beweise deuten zumindest bei einigen Opfern auf den \u00e4lteren Fehler hin. Der detaillierteste Reddit-Bericht stimmte mit seinen eigenen verbliebenen Protokollen mit dem ver\u00f6ffentlichten CVE-2024-10441-Exploit \u00fcberein, wobei angemerkt wurde, dass Synology dies nicht best\u00e4tigt hatte und dass dasselbe Ger\u00e4t auch unter dem SA-26:13-Fix-Level lag. Der Bericht von soimy besagt, dass Speicherprotokolle des infizierten Guests auf eine Umgebungsvariablen-Injection \u00fcber das DSM-Login-Plugin hindeuten, was mit CVE-2024-10441 \u00fcbereinstimmt, und ein \u00f6ffentlicher Proof of Concept, der das Login-Benutzername-Feld missbraucht, erschien wenige Tage vor dem Ausbruch auf GitHub. Zwei der drei dokumentierten Rettungsf\u00e4lle liefen auf inoffizieller Hardware mit einem DS918+-Bootloader, einer davon auf DSM 7.2-64570 Update 3, was genau ein Update vor der Behebung von CVE-2024-10441 liegt. Klon-Hardware kann offizielle Updates nicht ohne Weiteres \u00fcbernehmen, was sie zum einfachsten Ziel in der Gesamtheit macht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die praktische Schlussfolgerung hat sich nicht ge\u00e4ndert: Aktualisieren Sie auf einen Build, der beide Sicherheitshinweise abdeckt, und machen Sie DSM nicht mehr im Internet verf\u00fcgbar. Eine Frage blieb jedoch offen. Wenn die L\u00fccke im Dezember 2024 gepatcht wurde, warum wurden dann im Oktober 2026 innerhalb derselben zwei Tage so viele Systeme mit C3RB3R-Ransomware befallen, darunter auch solche, deren Besitzer glaubten, auf dem neuesten Stand zu sein?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Fr\u00fch platziert, auf Signal gez\u00fcndet<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Unsere Einsch\u00e4tzung \u2013 und dies ist unsere eigene Interpretation und keine Aussage von Synology \u2013 ist, dass das Eindringen der C3RB3R-Ransomware und die Verschl\u00fcsselung zwei getrennte Ereignisse sind. Die Beweise weisen in diese Richtung:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Die Backdoor kam zuerst.<\/strong> Im unten stehenden Xiaohongshu-Fall war eine Backdoor-Shell 37 Tage lang auf dem NAS aktiv und hatte Telnet als root aktiviert, bevor auch nur eine einzige Datei verschl\u00fcsselt wurde.<\/li>\n\n\n\n<li><strong>Sie \u00fcbersteht Updates.<\/strong> Die Cron-Eintr\u00e4ge unter <code>\/etc\/cron.d\/synot*<\/code> erneuern sich von selbst, und mindestens ein Opfer stellte fest, dass sie nach dem Upgrade auf das neueste DSM immer noch vorhanden waren. Das Update schloss zwar die L\u00fccke, lie\u00df aber den Eindringling im System zur\u00fcck.<\/li>\n\n\n\n<li><strong>Die Z\u00fcndungen erfolgten synchronisiert.<\/strong> Systeme mit C3RB3R-Ransomware, die zu unterschiedlichen Zeiten und auf unterschiedlichen Builds kompromittiert worden waren, begannen innerhalb von etwa 48 Stunden nacheinander mit der Verschl\u00fcsselung.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Dieses Muster passt zu einem Angreifer, der \u00fcber Monate hinweg C3RB3R-Ransomware-Implantate auf ungepatchten Systemen platzierte und dann entschied, wann er den Ausl\u00f6ser aus der Ferne bet\u00e4tigen w\u00fcrde. Der gew\u00e4hlte Zeitpunkt war die PHP2Shell-Woche, in der jeder Synology-Administrator mit Patchen besch\u00e4ftigt war, viele Systeme gerade aktualisiert worden waren und sich die Besitzer genau deshalb sicher f\u00fchlten. Synology stellt klar, dass PHP2Shell nicht der Einfallsweg war. Es war die Tarnung. Die Lektion daraus ist, dass ein System, das ungepatcht dem Internet ausgesetzt war, als kompromittiert betrachtet werden sollte, bis es \u00fcberpr\u00fcft wurde \u2013 was genau dem ersten Schritt der Checkliste von Synology entspricht.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Erste Reaktion auf C3RB3R-Ransomware in 4 Schritten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie jetzt <code>L0CK3D<\/code> -Dateien vorfinden, entscheidet die Reihenfolge der n\u00e4chsten zehn Minuten dar\u00fcber, ob eine Wiederherstellung \u00fcberhaupt m\u00f6glich ist. Der Schl\u00fcssel, der Ihre Dateien entsperrt, existiert nur innerhalb des laufenden C3RB3R-Ransomware-Prozesses. Ein Neustart, ein <code>kill -9<\/code> oder eine Neuinstallation von DSM zerst\u00f6rt ihn.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Netzwerk trennen, nicht den Strom abziehen<\/h3>\n<div class=\"rank-math-step-content\"><p>Trennen Sie die WAN-Seite oder entfernen Sie die Portweiterleitungen und UPnP-Zuordnungen des Routers. Fahren Sie das NAS nicht herunter und starten Sie es nicht neu. Schlie\u00dfen Sie jeden SSH- oder Telnet-Zugriff, den Sie nicht selbst ge\u00f6ffnet haben.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Verschl\u00fcsselungsprozess finden und einfrieren<\/h3>\n<div class=\"rank-math-step-content\"><p>Listen Sie \u00fcber SSH als root die Prozesse auf, deren ausf\u00fchrbare Datei gel\u00f6scht wurde, und senden Sie dann SIGSTOP mit kill -STOP und der PID. Ein eingefrorener Prozess beh\u00e4lt seinen Arbeitsspeicher, und sein Speicher enth\u00e4lt den Sitzungsschl\u00fcssel.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Speicherauszug des eingefrorenen Prozesses erstellen<\/h3>\n<div class=\"rank-math-step-content\"><p>Folgen Sie dem Repository von Benjamin-zlt, um den beschreibbaren Speicher dieser PID aus dem proc-Dateisystem auf eine separate Festplatte zu lesen. Bei einer virtuellen Maschine funktioniert auch ein vollst\u00e4ndiger Speicher-Snapshot des Guests aus dem Hypervisor.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Beweise sichern, dann aufr\u00e4umen<\/h3>\n<div class=\"rank-math-step-content\"><p>Lassen Sie jede L0CK3D-Datei und jede Erpressernachricht unangetastet. Kopieren Sie noch lesbare Daten heraus. Erst wenn der Speicher gesichert ist, entfernen Sie die synot-Cron-Eintr\u00e4ge, \u00e4ndern Sie jedes Passwort und aktualisieren Sie DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Die Befehle hinter den Schritten 2 und 3 sehen wie folgt aus. Lesen Sie die Repositories, bevor Sie etwas ausf\u00fchren, da die Details davon abh\u00e4ngen, welche Bin\u00e4rdatei Sie haben.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Schritt 2: Verschl\u00fcsselungsprozess finden (seine ausf\u00fchrbare Datei wird als gel\u00f6scht angezeigt)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Einfrieren. Hier niemals kill -9 verwenden.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # sollte T (stopped) anzeigen<\/th><th># Nach der Persistenz suchen, die ihn zur\u00fcckbringt<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">K\u00f6nnen Sie es entschl\u00fcsseln? Die drei GitHub-Rettungsf\u00e4lle<\/a><\/td><td>Es gibt keinen universellen Entschl\u00fcsseler f\u00fcr C3RB3R-Ransomware, und jeder, der einen verkauft, r\u00e4t nur. Was es gibt, sind drei sorgf\u00e4ltige Fallstudien, die Ihnen genau zeigen, wann eine Wiederherstellung funktioniert.<\/td><td>Repository<\/td><td>Maschine<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Ergebnis<\/a><\/td><td>Grund<\/td><td>Repository<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM in einer virtuellen Maschine unter Proxmox VE mit GitLab<\/a><\/td><td>Wiederhergestellt<\/td><td>Eine 16-GiB-Kopie des Guest-RAM enthielt den 48-Byte-Sitzungsschl\u00fcssel. GitLab mit 80 Projekten und 9.253 LFS-Objekten wiederhergestellt.<\/td><td>Der Verschl\u00fcsseler war bereits etwa 30 Stunden zuvor beendet worden. Vollst\u00e4ndige RAM- und Swap-Scans fanden keinen Schl\u00fcssel.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Das dritte Repository ist das wichtigste zu lesen, denn sein Titel ist seine Lektion: Niemals neu gestartet bedeutet nicht wiederherstellbar. Was z\u00e4hlt, ist, ob der Prozess der C3RB3R Ransomware noch aktiv ist. Sobald er beendet wird, \u00fcberschreibt er seinen Schl\u00fcsselpuffer mit Nullen, und der Schl\u00fcssel ist weg. Ein bei einem Opfer wiederhergestellter Schl\u00fcssel ist auch bei einem anderen nutzlos, da jeder Durchlauf einen neuen Sitzungsschl\u00fcssel generiert.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Warum der Schl\u00fcssel nur im Arbeitsspeicher liegt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Analyse von Benjamin-zlt erkl\u00e4rt das Dateiformat der C3RB3R Ransomware im Detail und erl\u00e4utert sowohl, warum dies funktioniert, als auch, warum es das normalerweise nicht tut.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Jede Datei erh\u00e4lt ihren eigenen zuf\u00e4lligen ChaCha8-Schl\u00fcssel.<\/strong> Dieser Schl\u00fcssel wird mit einem Sitzungs-Hauptschl\u00fcssel unter Verwendung von AES-256-CBC verschl\u00fcsselt und in einem 588-Byte-Trailer am Ende der Datei gespeichert.<\/li>\n\n\n\n<li><strong>Der Sitzungs-Hauptschl\u00fcssel ist 48 Bytes gro\u00df:<\/strong> ein 16-Byte-IV plus ein 32-Byte-AES-Schl\u00fcssel. Er wird niemals auf die Festplatte geschrieben. Ein globaler Zeiger innerhalb des laufenden Prozesses weist darauf hin.<\/li>\n\n\n\n<li><strong>Der Trailer enth\u00e4lt au\u00dferdem einen Blob, der mit dem \u00f6ffentlichen Schl\u00fcssel des Angreifers verschl\u00fcsselt ist<\/strong> (RSA-2048), sodass ohne den laufenden Prozess nur der Angreifer den Sitzungsschl\u00fcssel wiederherstellen kann.<\/li>\n\n\n\n<li><strong>Nicht jede Datei ist vollst\u00e4ndig verschl\u00fcsselt.<\/strong> In einer Stichprobe von 400 Dateien nutzten etwa 56 % den segmentierten Modus, bei 31 % war nur das erste 1 MiB verschl\u00fcsselt und 13 % waren durchgehend verschl\u00fcsselt. Teilweise verschl\u00fcsselte Dateien sind zwar immer noch nicht lesbar, aber eine Footer-Triage verr\u00e4t Ihnen, was \u00fcbrig ist.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die Schwachstelle der C3RB3R Ransomware ist also eng begrenzt und zeitlich limitiert: Der Verschl\u00fcsseler beh\u00e4lt den Hauptschl\u00fcssel w\u00e4hrend der gesamten Sitzung im Arbeitsspeicher. Friert man ihn ein, w\u00e4hrend er l\u00e4uft, kann man den Schl\u00fcssel extrahieren. Verpasst man dieses Fenster, bleibt nur der Blob mit dem \u00f6ffentlichen Schl\u00fcssel, der als unknackbar konzipiert ist.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">Die Geschichte eines Opfers: 50 TB und keine Snapshots<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein detaillierter Bericht, der am 29. Oktober 2026 vom Benutzer \u67ef\u57fa\u7231\u597d\u8005 auf Xiaohongshu ver\u00f6ffentlicht wurde, begleitet ein Mitglied seiner NAS-Gruppe durch die Nacht. Er bemerkte die Erpressernachricht der C3RB3R Ransomware, best\u00e4tigte die Kopfzeile C3RB3R INSTRUCTIONS und stand kurz davor, Bitcoins zu kaufen, bevor die Gruppe ihn auf die GitHub-F\u00e4lle aufmerksam machte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Daraufhin nutzte er einen KI-Programmierassistenten \u00fcber SSH zur Untersuchung. Dieser fand und fror den Verschl\u00fcsseler ein, sodass ab diesem Zeitpunkt nichts Neues mehr verschl\u00fcsselt wurde. Er fand auch heraus, dass sich vermutlich seit 37 Tagen eine Backdoor-Shell auf der NAS befand und Telnet als Root aktiviert hatte, was bedeutet, dass der erste Einbruch und die Verschl\u00fcsselung mehr als einen Monat auseinanderlagen. Er schrieb ein Skript zur Beweissicherung und wartete korrekterweise auf seine Best\u00e4tigung, bevor er etwas als Root ausf\u00fchrte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sein Gl\u00fcck war, dass C3RB3R Ransomware langsam ist. Bei mehr als 50 TB Daten, die verarbeitet werden mussten, hatte der Verschl\u00fcsseler erst seine Fotos von 2024 erreicht, und f\u00fcr diese gab es ein Cold Backup auf einem Cloud-Laufwerk. Er verschob Arbeitsdaten auf ein kleineres NAS und parkte das verschl\u00fcsselte Volume f\u00fcr sp\u00e4ter. Seine eigene Zusammenfassung war gewohnt direkt: Er hatte keine Snapshots, und mit Snapshots w\u00e4re dies leicht zu beheben gewesen. Ein zweites Opfer auf X fasste dieselbe Lektion von der anderen Seite zusammen: RAID 6 plus drei Backup-S\u00e4tze, alle auf demselben Ger\u00e4t, alle zusammen verschl\u00fcsselt.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Wie wir C3RB3R Ransomware von unseren Backups fernhalten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Jede oben genannte Geschichte \u00fcber Datenverlust hat das gleiche Muster: Die Backups waren von dem kompromittierten Ger\u00e4t aus erreichbar. C3RB3R Ransomware verschl\u00fcsselt alles, worauf das kompromittierte DSM schreiben kann. Die L\u00f6sung besteht also darin, mindestens eine Kopie an einem Ort aufzubewahren, auf den DSM \u00fcberhaupt nicht schreiben kann. So machen wir es f\u00fcr die von uns gehosteten Websites, und das entspricht der 3-2-1-1-0-Regel.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regel<\/th><th>Bedeutung<\/th><th>Wie wir es machen<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Drei Kopien der Daten<\/td><td>Die Live-VM, eine Replik auf einem zweiten NAS und ein geplanter Export<\/td><\/tr><tr><td>2<\/td><td>Zwei Arten von Medien<\/td><td>NAS-Volumes plus ein USB-Laufwerk und ein Cloud-Laufwerk<\/td><\/tr><tr><td>1<\/td><td>Eine Kopie an einem externen Standort<\/td><td>Exporte, die mit Cloud Sync mit Google Drive synchronisiert werden<\/td><\/tr><tr><td>1<\/td><td>Eine Kopie offline oder unver\u00e4nderlich<\/td><td>Hostseitige VM-Snapshots, die der Guest nicht ver\u00e4ndern kann, plus der getrennte USB-Export<\/td><\/tr><tr><td>0<\/td><td>Null Fehler bei der Wiederherstellung<\/td><td>Wir stellen tats\u00e4chlich von den Repliken wieder her und starten von ihnen, wenn wir VMs zwischen Hosts verschieben<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">F\u00fchren Sie Docker innerhalb von Virtual DSM aus, nicht auf dem Host<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Unsere WordPress-Container laufen nicht auf dem physischen NAS. Sie laufen innerhalb eines Virtual DSM-Guests, und der Guest wird durch den Virtual Machine Manager auf dem Host gesch\u00fctzt. Wenn C3RB3R Ransomware Root-Rechte innerhalb des Guests erlangt, \u00fcbernimmt sie nur diesen Guest und sonst nichts. Die Snapshots des Guests befinden sich auf dem Host-Speicher, au\u00dferhalb des Guest-Dateisystems, sodass die Ransomware innerhalb der VM sie weder sehen noch verschl\u00fcsseln oder l\u00f6schen kann. Die Wiederherstellung ist ein Snapshot-Rollback, das nur wenige Minuten dauert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro f\u00fcgt die Komponenten hinzu, die daraus ein echtes Backup machen: einen Schutzplan, der Snapshots der VM erstellt und sie auf ein zweites NAS im Cluster repliziert, sodass auch ein ausgefallener Host abgedeckt ist. Unser Cluster besteht aus einer DS1621xs+ und einer DS1525+, die gegenseitig replizieren. Wir haben den Teil mit dem <a href=\"https:\/\/synopower.club\/de\/docs\/vmm-backup-google-drive-cloud-sync\/\">geplanten Export und Cloud Sync zu Google Drive<\/a> separat beschrieben, und der <a href=\"https:\/\/synopower.club\/de\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">Vergleich zwischen dem kostenlosen VMM und VMM Pro<\/a> erkl\u00e4rt, welche Teile die Lizenz ben\u00f6tigen.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"VMM Pro-Schutzplan zur Replikation eines Virtual DSM-Guests auf ein zweites NAS als Abwehr gegen C3RB3R-Ransomware\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Unser Virtual DSM-Guest spc_4C8G: Snapshots alle 12 Stunden, repliziert von der DS1621xs+ auf die DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Wenn Sie Docker direkt auf DSM ausf\u00fchren, verwenden Sie unver\u00e4nderliche Snapshots<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nicht jeder m\u00f6chte eine VM-Ebene. Wenn Ihre Container auf dem Host laufen, sind unver\u00e4nderliche Snapshots der Schutz gegen C3RB3R-Ransomware. Aktivieren Sie diese in Snapshot Replication f\u00fcr den gemeinsamen Ordner, der Ihre Containerdaten enth\u00e4lt. Sie ben\u00f6tigen DSM 7.2 oder neuer sowie ein Btrfs-Volume, und w\u00e4hrend des Sperrzeitraums kann sie niemand l\u00f6schen, auch kein von einem Angreifer \u00fcbernommenes Administratorkonto. Zwei Details sind hierbei entscheidend:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Verwenden Sie Bind-Mounts in einen gemeinsamen Ordner<\/strong> wie zum Beispiel <code>\/volume1\/docker\/app<\/code>. Benannte Docker-Volumes befinden sich unter <code>\/volume1\/@docker<\/code>, was kein gemeinsamer Ordner ist und \u00fcberhaupt nicht per Snapshot gesichert werden kann.<\/li>\n\n\n\n<li><strong>Exportieren Sie Datenbanken vor dem Snapshot in eine Datei.<\/strong> Ein Snapshot einer laufenden MariaDB entspricht einer Kopie nach einem Stromausfall. Ein geplanter <code>mysqldump<\/code> in denselben gemeinsamen Ordner liefert Ihnen einen sauberen Wiederherstellungspunkt, den der Snapshot anschlie\u00dfend sperrt.<\/li>\n\n\n\n<li><strong>W\u00e4hlen Sie einen Sperrzeitraum, der l\u00e4nger ist, als ein Angreifer unbemerkt verweilen kann.<\/strong> Das oben genannte Opfer hatte 37 Tage lang eine Hintert\u00fcr im System, bevor die Verschl\u00fcsselung begann. Sieben Tage unver\u00e4nderlicher Snapshots h\u00e4tten nicht ausgereicht, um zu einem sauberen Zustand zur\u00fcckzukehren.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Einstellungen f\u00fcr Snapshot Replication mit aktivierten unver\u00e4nderlichen Snapshots zum Schutz eines freigegebenen Ordners vor C3RB3R-Ransomware\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Einstellungen f\u00fcr einen gemeinsamen Ordner: Ein t\u00e4glicher Zeitplan mit unver\u00e4nderlichen Snapshots, die f\u00fcr 30 Tage gesperrt sind.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Unsere zus\u00e4tzliche Schutzschicht: Active Insight erstellt einen Snapshot, wenn die Verschl\u00fcsselung beginnt<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hier ist die Schutzschicht, die die meisten Anleitungen \u00fcbersehen. Active Insight, der Cloud-\u00dcberwachungsdienst von Synology, kann die Dateiaktivit\u00e4t in Ihren freigegebenen Ordnern \u00fcberwachen und reagiert selbstst\u00e4ndig, sobald festgestellt wird, dass es sich um Ransomware handelt. Synology dokumentiert dies in seinem <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">NAS-Sicherheitsleitfaden<\/a>: Wenn ein Ransomware-Ereignis erkannt wird, sendet Active Insight eine Ereignisbenachrichtigung und erstellt automatisch einen Snapshot des freigegebenen Ordners. Auf Modellen, die dies unterst\u00fctzen, ist dieser Snapshot unver\u00e4nderlich (immutable).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Warum dies insbesondere f\u00fcr C3RB3R-Ransomware wichtig ist: Die Verschl\u00fcsselungskomponente der C3RB3R-Ransomware arbeitet langsam. Das Opfer mit mehr als 50 TB Daten war erst bei seinen Fotos aus dem Jahr 2024, als er es bemerkte. Ein Snapshot, der bei den ersten Anzeichen eines Verschl\u00fcsselungsmusters erstellt wird, friert alles ein, was noch nicht angetastet wurde \u2013 was der Gro\u00dfteil des Volumes sein kann. Es spielt auch keine Rolle, wie die C3RB3R-Ransomware eingedrungen ist, da der Dienst \u00fcberwacht, was mit den Dateien geschieht, und nicht die Anmeldeseite. Auf unserer DS1621xs+ zeigt die Seite \u201eDateiaktivit\u00e4t\u201c den Ransomware-Schutz als \u201eGesch\u00fctzt\u201c an.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Active Insight File Activity-Seite, die den Ransomware-Schutz auf einer DS1621xs+ als \u201eProtected\u201c anzeigt, ein Sicherheitsnetz gegen C3RB3R-Ransomware\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Active Insight-Dateiaktivit\u00e4t auf unserer DS1621xs+: Der Ransomware-Schutz ist aktiviert, sodass ein erkanntes C3RB3R-Ransomware-Ereignis einen automatischen Snapshot ausl\u00f6st.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Lesen Sie die Einschr\u00e4nkungen, bevor Sie sich darauf verlassen. Diese stammen aus Synology&#8217;s <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">Dateiaktivit\u00e4ts-Dokumentation<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Die \u00dcberwachung der Dateiaktivit\u00e4t ist standardm\u00e4\u00dfig deaktiviert.<\/strong> Registrieren Sie das NAS in der Systemsteuerung f\u00fcr Active Insight und aktivieren Sie anschlie\u00dfend die \u00dcberwachung f\u00fcr jeden Host im Active Insight-Portal.<\/li>\n\n\n\n<li><strong>Es erfordert Snapshot Replication,<\/strong> DSM 7.2 oder h\u00f6her, Active Insight 3.0.2 oder h\u00f6her, mindestens 1 GB Arbeitsspeicher und eine diesem NAS zugewiesene Active Insight-Lizenz.<\/li>\n\n\n\n<li><strong>Maximal ein automatischer Snapshot pro freigegebenem Ordner und Tag.<\/strong> Es ist ein Sicherheitsnetz, das nach der Erkennung greift, und kein Ersatz f\u00fcr geplante unver\u00e4nderliche Snapshots.<\/li>\n\n\n\n<li><strong>Nicht abgedeckt:<\/strong> Aufnahmeordner von Surveillance Station und freigegebene Ordner auf externen USB-Laufwerken.<\/li>\n\n\n\n<li><strong>Die Unver\u00e4nderlichkeit h\u00e4ngt vom Modell ab.<\/strong> Auf einem Modell ohne unver\u00e4nderliche Snapshots kann ein Angreifer mit root-Rechten den automatischen Snapshot dennoch l\u00f6schen; kombinieren Sie ihn daher mit dem oben beschriebenen Zeitplan f\u00fcr unver\u00e4nderliche Snapshots.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>M\u00f6chten Sie dasselbe Setup?<\/strong> SynoPower Club verkauft originale Lizenzen f\u00fcr beide Bausteine: eine <a href=\"https:\/\/synopower.club\/de\/virtual-dsm-vdsm-license-pack\/\">Virtual DSM (VDSM)-Lizenz<\/a> um Ihre Docker-Dienste in einem isolierten Guest auszuf\u00fchren, und eine <a href=\"https:\/\/synopower.club\/de\/synology-vmm-pro-license\/\">VMM Pro-Lizenz<\/a> f\u00fcr Schutzpl\u00e4ne, NAS-\u00fcbergreifende Replikation und Live-Migration. Lizenzschl\u00fcssel werden per E-Mail geliefert.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/de\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Erwerben Sie eine Virtual DSM-Lizenz<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/de\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Erwerben Sie eine VMM Pro-Lizenz<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Wo finde ich weitere offizielle Ressourcen?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die C3RB3R-Ransomware auf Synology ist zum Zeitpunkt der Erstellung dieses Textes seit zwei Tagen \u00f6ffentlich bekannt, und es gibt noch keine offizielle Videoberichterstattung. Daher f\u00fchrt dieser Abschnitt Prim\u00e4rquellen anstelle von Anleitungen auf.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Der Synology-Sicherheitshinweis<\/a> vom 29. Oktober 2026, der Benutzern veralteter DSM-Versionen r\u00e4t, sofort zu aktualisieren und automatische Updates zu aktivieren, gefolgt von einer Kunden-E-Mail am 30. Oktober, die SA-24:20 als die einzige betroffene Schwachstelle best\u00e4tigt.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> und <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> sind die Versionstabellen. \u00dcberpr\u00fcfen Sie Ihre Build-Nummer in der Systemsteuerung unter \u201eAktualisieren &amp; Wiederherst.\u201c mit beiden.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM in einer virtuellen Maschine unter Proxmox VE mit GitLab<\/a> ist der beste Index aller bekannten F\u00e4lle, einschlie\u00dflich derer, die hier nicht behandelt werden, und die klarste Erkl\u00e4rung daf\u00fcr, wann Speicherforensik zwecklos ist.<\/li>\n\n\n\n<li>Die drei oben verlinkten r\/synology-Threads, insbesondere der forensische Bericht, der die Befehle zur Festplattenuntersuchung im schreibgesch\u00fctzten Modus Schritt f\u00fcr Schritt enth\u00e4lt: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Nun, es ist schlie\u00dflich passiert<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Synology&#8217;s eigene Checkliste (30. Oktober 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die E-Mail von Synology an Kunden endet mit vier Schritten. Sie sind kurz, und jeder einzelne von ihnen ist wichtig gegen C3RB3R-Ransomware:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Auf Eindringlinge pr\u00fcfen.<\/strong> C3RB3R-Ransomware hinterl\u00e4sst geplante Persistenz. F\u00fchren Sie daher einen Scan mit dem Security Advisor aus und suchen Sie anschlie\u00dfend im Aufgabenplaner nach Skripten, die Sie nicht erstellt haben, sowie unter Benutzer und Gruppe nach Administratorkonten, die Sie nicht hinzugef\u00fcgt haben. Wenn etwas verd\u00e4chtig aussieht, wenden Sie sich an den Synology Support.<\/li>\n\n\n\n<li><strong>Alles aktualisieren.<\/strong> Installieren Sie das neueste DSM in der Systemsteuerung unter \u201eAktualisieren und Wiederherstellen\u201c und aktualisieren Sie anschlie\u00dfend jedes Paket im Paket-Zentrum.<\/li>\n\n\n\n<li><strong>Automatische Updates aktivieren<\/strong> unter \u201eAktualisieren und Wiederherstellen\u201c, damit zuk\u00fcnftige Sicherheitskorrekturen sofort nach ihrer Ver\u00f6ffentlichung angewendet werden.<\/li>\n\n\n\n<li><strong>Ein externes Backup aufbewahren.<\/strong> Verwenden Sie Hyper Backup und Snapshot Replication, um eine Kopie an einem separaten Ort aufzubewahren, und \u00fcberpr\u00fcfen Sie regelm\u00e4\u00dfig, ob die Sicherungsaufgaben tats\u00e4chlich abgeschlossen werden.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Schritt eins ist derjenige, den die Leute \u00fcberspringen. Wenn Ihr Ger\u00e4t vor der Behebung im Dezember 2024 aus dem Internet erreichbar war, hat sich die C3RB3R-Ransomware m\u00f6glicherweise bereits eingenistet, und ein heutiges Update verr\u00e4t Ihnen nicht, ob bereits jemand im System ist.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Ein kostenloses Tool, das die \u00dcberpr\u00fcfung f\u00fcr Sie durchf\u00fchrt<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie sich im Terminal auskennen, kann Schritt eins jetzt ein einzelner Befehl sein. synology-nas-cli ist ein Open-Source-Befehlszeilentool unter der MIT-Lizenz, das am 30. Oktober 2026 vom unabh\u00e4ngigen Entwickler Akari Sora ver\u00f6ffentlicht wurde. Es meldet sich \u00fcber seine Web-API bei DSM an und pr\u00fcft das Ger\u00e4t hinsichtlich dieser Kampagne. Das Projekt befindet sich auf GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wir haben den Code durchgesehen, bevor wir ihn verlinkt haben. Es nutzt ausschlie\u00dflich die Python-Standardbibliothek und kommuniziert mit nichts au\u00dfer Ihrem NAS, dem Synology-Download-Server, PyPI und dem soimy-Rettungs-Toolkit. Es sendet keine Telemetriedaten, und das grundlegende Audit liest nur. Folgendes wird \u00fcberpr\u00fcft:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Patch-Stand.<\/strong> Ihr DSM-Build im Vergleich zu Synology-SA-26:13, was auch den \u00e4lteren SA-24:20-Fix abdeckt, sowie Ihre installierten Pakete im Vergleich zu SA-26:14.<\/li>\n\n\n\n<li><strong>Angriffsfl\u00e4che.<\/strong> QuickConnect, UPnP-Portweiterleitung auf dem Router, die DSM-Firewall, Automatische Blockierung, SMB1 und das integrierte Admin-Konto.<\/li>\n\n\n\n<li><strong>Spuren von C3RB3R-Ransomware.<\/strong> Die injizierten Anmeldezeichenfolgen im Verbindungsprotokoll, <code>\/etc\/cron.d\/synot*<\/code> -Eintr\u00e4ge, die <code>libgld<\/code> und <code>qnetd<\/code> -Bin\u00e4rdateien, zus\u00e4tzliche Root-Konten, SSH-Schl\u00fcssel und L\u00f6segeldschreiben auf Ihren Freigaben.<\/li>\n\n\n\n<li><strong>Schnappsch\u00fcsse.<\/strong> Freigegebene Ordner, die keinen funktionierenden Snapshot-Zeitplan haben.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Es kann auch das meiste von dem beheben, was es findet. Wenn Dateien gerade verschl\u00fcsselt werden, friert sein contain-Befehl den Verschl\u00fcsseler mit SIGSTOP ein \u2013 derselbe Schritt wie Schritt zwei unserer Erstreaktionsliste. Sein rescue-Befehl steuert dann das soimy-Toolkit an, um den Arbeitsspeicher zu erfassen und nach dem Schl\u00fcssel zu suchen.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # Nur-Lese-Audit<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">nas incident --deep          # auch nach dem Implantat suchen (ein Nur-Lese-Root-Skript)<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>nas incident fix --dry-run   # alle \u00c4nderungen auflisten, die vorgenommen w\u00fcrden, nichts \u00e4ndern.<\/strong> Lesen Sie diese Hinweise, bevor Sie \u00c4nderungen zulassen:.<\/li>\n\n\n\n<li><strong>Es ist brandneu.<\/strong> Das Projekt ist erst wenige Tage alt, stammt von einem einzelnen Entwickler, steht in keiner Verbindung zu Synology und wurde bisher kaum extern \u00fcberpr\u00fcft. Beginnen Sie mit dem Nur-Lese-Audit und dem Testlauf.<\/li>\n\n\n\n<li><strong>Die Firewall-Korrektur kann Sie aussperren.<\/strong> Es stellt die DSM-Firewall so ein, dass alles verweigert wird, au\u00dfer den von Ihnen aufgelisteten Netzwerken. F\u00fchren Sie es von einem Computer im selben LAN aus und wissen Sie, wo sich die RESET-Taste befindet.<\/li>\n\n\n\n<li><strong>Es schaltet QuickConnect aus.<\/strong> Das ist die sicherere Einstellung. Wenn Ihre Familie jedoch \u00fcber QuickConnect auf Synology Photos oder Surveillance Station zugreift, richten Sie zuerst ein VPN oder Tailscale ein.<\/li>\n\n\n\n<li><strong>Der Deep Scan, contain und rescue werden als root ausgef\u00fchrt.<\/strong> Sie arbeiten \u00fcber eine tempor\u00e4re Aufgabe im Aufgabenplaner, da dies die einzige M\u00f6glichkeit ist, Protokolle mit Nur-Root-Zugriff zu lesen und Prozesse einzufrieren.<\/li>\n\n\n\n<li><strong>Die README schl\u00e4gt vor, die Ausf\u00fchrung an einen KI-Agenten zu \u00fcbergeben.<\/strong> Wenn Sie das tun, bewahren Sie das Passwort in einem Passwort-Manager auf statt im Chat und best\u00e4tigen Sie die Korrektur selbst.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr den Rest des H\u00e4rtungsschemas decken unsere Anleitungen zu <a href=\"https:\/\/synopower.club\/de\/docs\/synology-nas-security-public-website\/\">dem Betreiben einer \u00f6ffentlichen Website auf einem Synology NAS<\/a> und zu <a href=\"https:\/\/synopower.club\/de\/docs\/synology-threat-prevention-blind-spots\/\">dem, was Threat Prevention sehen kann und was nicht,<\/a> die Netzwerkseite ab, und die <a href=\"https:\/\/synopower.club\/de\/synology-php2shell-emergency-patch\/\">PHP2Shell-Patch-Anleitung<\/a> deckt das andere kritische Problem ab, das in derselben Woche auftauchte.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">C3RB3R-Ransomware: Einschr\u00e4nkungen und Sicherheitshinweise<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ein Update entfernt eine bestehende Infektion nicht.<\/strong> Mindestens ein Opfer stellte fest, dass die Cron-Persistenz nach dem Upgrade auf das neueste DSM immer noch vorhanden war. Wenn Sie ohne Patch gef\u00e4hrdet waren, \u00fcberpr\u00fcfen Sie <code>\/etc\/cron.d<\/code>, den Aufgabenplaner, Startskripte und aktivierte Dienste wie Telnet, und \u00e4ndern Sie anschlie\u00dfend alle Zugangsdaten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Auf dem neuesten Stand ist nicht dasselbe wie sauber.<\/strong> Ein Reddit-Opfer glaubte, DSM sei aktuell, und ein anderes wurde trotz 2FA und eines starken Passworts getroffen. Ein Ger\u00e4t, das vor dem Patchen kompromittiert wurde, kann das Implantat durch jedes sp\u00e4tere Update weitertragen. Betrachten Sie jede DSM-Anmeldeseite, die aus dem Internet erreichbar ist, als Ziel \u2013 einschlie\u00dflich derer, die \u00fcber UPnP ver\u00f6ffentlich wurden und die Sie nie bewusst eingerichtet haben. Verwenden Sie ein VPN oder Tailscale f\u00fcr den Fernzugriff und schalten Sie UPnP am Router aus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID und lokale Backups sind keine Backups gegen C3RB3R-Ransomware.<\/strong> Alles, worauf das kompromittierte DSM zugreifen und schreiben kann, wird verschl\u00fcsselt, einschlie\u00dflich Hyper Backup-Zielen auf demselben Ger\u00e4t und eingebundener Netzwerkfreigaben.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Zahlen Sie nicht, bevor Sie die F\u00e4lle gelesen haben.<\/strong> Das Bezahlen von C3RB3R-Ransomware-Betreibern finanziert die n\u00e4chste Welle und garantiert nichts. Wenn der Verschl\u00fcsseler noch l\u00e4uft, ist die Methode \u00fcber den freien Arbeitsspeicher Ihre beste Chance. Falls nicht, sind eigene externe Kopien der einzige realistische Weg.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Seien Sie vorsichtig mit dem, was Sie in einen KI-Assistenten einf\u00fcgen.<\/strong> KI-Tools haben hier mehreren Opfern geholfen, aber geben Sie ihnen keine Passw\u00f6rter, wiederhergestellten Schl\u00fcssel, vollst\u00e4ndigen Speicherabbilder oder Gesch\u00e4ftsdaten. Lassen Sie sich Befehle vorschlagen und f\u00fchren Sie alles, was Root-Rechte erfordert, selbst aus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Klon-Hardware birgt ein zus\u00e4tzliches Risiko.<\/strong> Mehrere dokumentierte Opfer f\u00fchrten DSM auf inoffizieller Hardware aus, wo offizielle Updates nur schwer oder gar nicht angewendet werden k\u00f6nnen. Wenn das Ihr Setup ist, gehen Sie davon aus, dass kein Patch installiert ist, und trennen Sie das Ger\u00e4t vollst\u00e4ndig vom Internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Verweise<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-Sicherheitshinweis zu DSM-Ransomware-Angriffen<\/a>, 29. Oktober 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 und die behobenen DSM-Builds.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 und CVE-2026-13684, ver\u00f6ffentlicht am 18. September 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Benjamin-zlt C3RB3R Ransomware Bare-Metal-Rettung<\/a>, das Dateiformat, das Schl\u00fcssel-Layout und der SIGSTOP-Ablauf.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Die Speicherrettung funktioniert nur, solange der Verschl\u00fcsseler aktiv ist.<\/a>, Es gilt dieselbe Regel wie bei den drei GitHub-F\u00e4llen.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect \u00fcber die C3RB3R-Kampagne<\/a>, fasst die 360-Zuordnung und den Zeitverlauf zusammen.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: Erh\u00f6hung der Sicherheit Ihres Synology NAS<\/a>, einschlie\u00dflich der Information, wie Active Insight automatisch einen Snapshot eines gemeinsamen Ordners erstellt, wenn Ransomware erkannt wird.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">H\u00e4ufig gestellte Fragen<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Was ist die C3RB3R-Ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Die C3RB3R-Ransomware ist eine Linux-Variante der Cerber-Familie, die seit Ende Oktober 2026 Synology NAS-Ger\u00e4te angreift. Sie benennt Dateien mit der Endung L0CK3D um, hinterl\u00e4sst in jedem Ordner eine L\u00f6segeldnote namens read-me3.txt und fordert Bitcoin \u00fcber eine Tor-Seite.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Wie gelangt C3RB3R-Ransomware auf ein Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>\u00dcber ein aus dem Internet erreichbares DSM. Am 30. Oktober 2026 best\u00e4tigte Synology, dass nur CVE-2024-10441 aus Synology-SA-24:20 ausgenutzt wird (gepatcht im Dezember 2024), und dass kein Zusammenhang mit PHP2Shell besteht. Aktualisieren Sie DSM, suchen Sie nach Skripten und Admin-Konten, die Sie nicht erstellt haben, und beenden Sie die direkte Freigabe von DSM im Internet.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">K\u00f6nnen von C3RB3R-Ransomware verschl\u00fcsselte Dateien kostenlos entschl\u00fcsselt werden?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nur wenn der Verschl\u00fcsselungsprozess noch l\u00e4uft. Frieren Sie ihn mit SIGSTOP ein und erstellen Sie einen Speicherabzug (Dump), da der Sitzungsschl\u00fcssel nur dort existiert. Sobald der Prozess beendet wird oder das NAS neu startet, kann kein \u00f6ffentliches Tool den Schl\u00fcssel wiederherstellen.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Sollte ich ein infiziertes NAS neu starten oder herunterfahren?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nein. Trennen Sie stattdessen die Netzwerkverbindung. Ein Neustart oder kill -9 zerst\u00f6rt die einzige Kopie des Schl\u00fcssels. Frieren Sie den Prozess zuerst ein, speichern Sie seinen Speicher auf einer anderen Festplatte und r\u00e4umen Sie erst danach auf.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Entfernt ein DSM-Update die C3RB3R-Ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nein. Das Update schlie\u00dft die L\u00fccke, entfernt jedoch nicht, was bereits vorhanden ist. Betroffene stellten fest, dass Cron-Persistenzen ein Upgrade \u00fcberstehen. \u00dcberpr\u00fcfen Sie das Verzeichnis cron.d, geplante Aufgaben und Telnet und \u00e4ndern Sie jedes Passwort.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Sch\u00fctzen Synology-Snapshots vor C3RB3R-Ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Unver\u00e4nderliche Snapshots tun dies, da sie w\u00e4hrend der Sperrfrist von niemandem gel\u00f6scht werden k\u00f6nnen, nicht einmal von einem \u00fcbernommenen Admin-Konto. Active Insight bietet ein zus\u00e4tzliches Sicherheitsnetz, indem es automatisch einen Snapshot eines gemeinsamen Ordners erstellt, wenn Ransomware erkannt wird \u2013 h\u00f6chstens einmal pro Tag und Ordner.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Warum Docker innerhalb von Virtual DSM ausf\u00fchren?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Weil sich die VM-Snapshots auf dem Host au\u00dferhalb des Guests befinden. Ransomware, die den Guest \u00fcbernimmt, kann sie weder sehen noch l\u00f6schen, sodass die Wiederherstellung ein einfacher Rollback ist. VMM Pro erg\u00e4nzt die Replikation auf ein zweites NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Ist es eine gute Idee, das L\u00f6segeld zu zahlen?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Wir empfehlen es nicht. Eine Zahlung garantiert keine erfolgreiche Wiederherstellung und finanziert den n\u00e4chsten Angriff. Pr\u00fcfen Sie zuerst die GitHub-Rettungsf\u00e4lle und stellen Sie dann aus Kopien wieder her, die au\u00dferhalb des infizierten NAS aufbewahrt werden.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Sorgen Sie daf\u00fcr, dass Sie der n\u00e4chste C3RB3R-Ransomware-Angriff nur eine Wiederherstellung kostet \u2013 und kein L\u00f6segeld.<\/strong> F\u00fchren Sie Ihre Docker-Dienste innerhalb von Virtual DSM aus und sch\u00fctzen Sie den gesamten Guest mit VMM Pro-Schutzpl\u00e4nen, die auf ein zweites NAS repliziert werden. SynoPower Club verkauft originale Lizenzen f\u00fcr beides, wobei die Lizenzschl\u00fcssel per E-Mail geliefert werden.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/de\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Erwerben Sie eine Virtual DSM-Lizenz<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/de\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Erwerben Sie eine VMM Pro-Lizenz<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}