{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/es\/synology-c3rb3r-ransomware\/","title":{"rendered":"Ransomware C3RB3R en Synology: Or\u00edgenes, recuperaci\u00f3n y c\u00f3mo mantenerse a salvo"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>Ransomware C3RB3R<\/strong> comenz\u00f3 a aparecer en unidades Synology NAS alrededor del 28 de octubre de 2026 y, en cuesti\u00f3n de un d\u00eda, era el \u00fanico tema en r\/synology. Los archivos se renombran con una <code>L0CK3D<\/code> extensi\u00f3n (un cero, no la letra O), cada carpeta recibe una <code>read-me3.txt<\/code> nota de rescate y un portal Tor exige Bitcoin. La informaci\u00f3n m\u00e1s r\u00e1pida y \u00fatil no provino de sitios de noticias en ingl\u00e9s. Provino de foros de habla china, donde Synology tiene una gran base de usuarios, y de tres repositorios de GitHub escritos por v\u00edctimas que realmente recuperaron sus datos o demostraron que no pod\u00edan hacerlo. Esta gu\u00eda recopila lo que se ha confirmado sobre el ransomware C3RB3R hasta ahora: de d\u00f3nde vino, c\u00f3mo entra, la \u00fanica v\u00eda de recuperaci\u00f3n que ha funcionado y el dise\u00f1o de copia de seguridad que ejecutamos para que un ataque como este nos cueste una restauraci\u00f3n en lugar de un rescate.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Actualizaci\u00f3n, 31 de octubre de 2026:<\/strong> Synology ya ha determinado el punto de entrada. En un correo electr\u00f3nico enviado a los clientes el 30 de octubre, confirm\u00f3 que el ransomware C3RB3R explota \u00fanicamente la vulnerabilidad corregida en Synology-SA-24:20, parcheada en diciembre de 2024, y que la campa\u00f1a no est\u00e1 relacionada con la vulnerabilidad PHP2Shell parcheada el mismo mes. Hemos a\u00f1adido la propia lista de comprobaci\u00f3n de cuatro pasos de Synology, nuestra lectura de por qu\u00e9 se produjeron los ataques cuando lo hicieron y una capa adicional que ejecutamos y por la que la mayor\u00eda de los propietarios ya pagan: la protecci\u00f3n contra ransomware de Active Insight.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Punto SynoPower Club:<\/strong>Una v\u00edctima en un grupo chino de NAS ten\u00eda m\u00e1s de 50 TB en un solo equipo y ninguna instant\u00e1nea. El cifrador fue lo suficientemente lento como para que solo sus fotos de 2024 se vieran afectadas, y dio la casualidad de que ten\u00edan una copia fr\u00eda en una unidad en la nube. Otro perdi\u00f3 cinco a\u00f1os de repositorios privados de GitLab porque el RAID 6 m\u00e1s tres copias de seguridad resid\u00edan en la misma m\u00e1quina. El ransomware C3RB3R no venci\u00f3 a su almacenamiento, venci\u00f3 a su dise\u00f1o de copias de seguridad. Ejecutamos nuestros sitios p\u00fablicos como Docker dentro de Virtual DSM, creamos una instant\u00e1nea de todo el sistema invitado desde el host, la replicamos en un segundo NAS y la exportamos a USB y a la nube de forma programada. Si un sistema invitado resulta cifrado esta noche, lo revertimos a la \u00faltima instant\u00e1nea y el atacante no obtiene nada.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">\u00bfQu\u00e9 es el ransomware C3RB3R?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El ransomware C3RB3R es una versi\u00f3n para Linux de la familia Cerber, una l\u00ednea de ransomware que ha existido desde 2016 y que ha atacado dispositivos NAS intermitentemente durante a\u00f1os. 360 le atribuye la ola de octubre de 2026 en Synology. En un equipo DSM infectado, el cifrador del ransomware C3RB3R se ejecuta como un binario x86-64 enlazado est\u00e1ticamente y empaquetado con UPX llamado <code>libgld<\/code>Elimina su propio archivo tras iniciarse, por lo que el proceso en ejecuci\u00f3n muestra <code>(eliminado)<\/code> junto a su ruta ejecutable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que usted ve como propietario de un equipo afectado por el ransomware C3RB3R es coherente en todos los informes:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Archivos renombrados a <code>name.ext.L0CK3D<\/code>Algunos informes lo escriben como <code>LOCK3D<\/code>, pero los an\u00e1lisis de GitHub citan el cero.<\/li>\n\n\n\n<li>Una nota de rescate llamada <code>read-me3.txt<\/code> en cada carpeta cifrada, con el encabezado C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Una p\u00e1gina de Tor titulada C3rb3r Decryptor. La captura de pantalla de una v\u00edctima mostraba 0,03696 BTC (unos 2952 USD) si se pagaba en un plazo de cinco d\u00edas, duplic\u00e1ndose a 0,07392 BTC (unos 5904 USD) despu\u00e9s de eso, con un temporizador de cuenta regresiva.<\/li>\n\n\n\n<li>Persistencia a trav\u00e9s de entradas cron que coinciden con <code>\/etc\/cron.d\/synot*<\/code>, las cuales se vuelven a crear por s\u00ed solas y sobrevivieron a una actualizaci\u00f3n de DSM en al menos un caso.<\/li>\n\n\n\n<li>Archivos de copia de seguridad en el mismo volumen cifrados junto con todo lo dem\u00e1s, incluidos los destinos de Hyper Backup y los volcados de bases de datos.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">D\u00f3nde comenz\u00f3: r\/synology y los foros chinos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El ransomware C3RB3R apareci\u00f3 por primera vez en ingl\u00e9s en r\/synology, donde las v\u00edctimas publicaron con aproximadamente un d\u00eda de diferencia alrededor del 28 y 29 de octubre de 2026. En cuesti\u00f3n de horas, los lectores dec\u00edan que aparec\u00eda un nuevo hilo cada vez que recargaban el subreddit. Vale la pena leer tres de esos hilos completos, porque cada uno aporta una pieza diferente:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>El informe forense.<\/strong> Un propietario de una DS918+ en DSM 7.2.1-69057 Update 5, con la interfaz web accesible desde Internet, apag\u00f3 el equipo y examin\u00f3 los discos en modo de solo lectura en un host Proxmox. El registro de autenticaci\u00f3n de DSM conten\u00eda una solicitud de inicio de sesi\u00f3n cuyo campo de cuenta inclu\u00eda l\u00edneas inyectadas de <code>LD_PRELOAD<\/code> y <code>LD_DEBUG_OUTPUT<\/code> adem\u00e1s de un comando de shell codificado, y un archivo debajo de <code>\/etc\/cron.d<\/code>Eso coincide con la t\u00e9cnica publicada de CVE-2024-10441. Una copia de seguridad 3-2-1 signific\u00f3 que el ataque cost\u00f3 una restauraci\u00f3n, no un rescate. L\u00e9alo aqu\u00ed: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Bueno, finalmente sucedi\u00f3. Mi primer incidente real de ransomware<\/a>.<\/li>\n\n\n\n<li><strong>El usuario exclusivo de Photos.<\/strong> Este propietario cre\u00eda que DSM estaba actualizado y solo usaba Synology Photos, pero el UPnP del enrutador estaba activado. Despu\u00e9s de un restablecimiento de modo 2, las carpetas cubiertas por Snapshot Replication se recuperaron. Las carpetas sin instant\u00e1neas no lo hicieron, y la unidad USB local de Hyper Backup se cifr\u00f3 junto con el NAS. L\u00e9alo aqu\u00ed: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Impactado por el ransomware c3rb3r esta ma\u00f1ana<\/a>.<\/li>\n\n\n\n<li><strong>La discusi\u00f3n sobre QuickConnect.<\/strong> El autor original solo se dio cuenta despu\u00e9s de que DSM se degrad\u00f3 y una reinstalaci\u00f3n revel\u00f3 los archivos cifrados. En las respuestas, otro lector con una contrase\u00f1a segura, 2FA y QuickConnect habilitado dijo que tambi\u00e9n hab\u00eda sido afectado, y otros se\u00f1alaron que los usuarios que solo usan aplicaciones pueden desactivar por completo el acceso a DSM en QuickConnect. L\u00e9alo aqu\u00ed: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Impactado por el ransomware C3RB3R<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ley\u00e9ndolo todo junto, el patr\u00f3n es claro. El ransomware C3RB3R solo necesitaba una p\u00e1gina de inicio de sesi\u00f3n de DSM a la que pudiera acceder, nada m\u00e1s. Las contrase\u00f1as y el 2FA no sirvieron de nada, porque el exploit se ejecuta antes de la autenticaci\u00f3n. El informe forense lo dej\u00f3 claro: la solicitud lleg\u00f3 a una aplicaci\u00f3n vulnerable, y otra pantalla de contrase\u00f1a no habr\u00eda solucionado eso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El trabajo t\u00e9cnico m\u00e1s profundo se desarroll\u00f3 en chino. Las v\u00edctimas en grupos de WeChat y Xiaohongshu publicaron notas de rescate, compararon cronolog\u00edas y se remitieron mutuamente a los repositorios de GitHub explicados a continuaci\u00f3n. Una comunidad taiwanesa de Synology en Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">recopil\u00f3 los mismos enlaces de recuperaci\u00f3n<\/a> para los usuarios locales. Tiene sentido: Synology es una empresa taiwanesa y sus mayores comunidades de usuarios son de habla china, por lo que de all\u00ed provino el mayor volumen de casos de ransomware C3RB3R y, por lo tanto, la identificaci\u00f3n de patrones m\u00e1s r\u00e1pida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La propia Synology public\u00f3 <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">un aviso de seguridad<\/a> el 29 de octubre de 2026, indicando que hab\u00eda identificado a actores de amenazas explotando una vulnerabilidad parcheada en diciembre de 2024 contra versiones desactualizadas de DSM, e instando a todos a actualizar de inmediato.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">C\u00f3mo se introduce el ransomware C3RB3R<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Durante los dos primeros d\u00edas hubo dos posibles puntos de entrada. Desde entonces, Synology ha confirmado el m\u00e1s antiguo. Su correo electr\u00f3nico del 30 de octubre indica que los ataques explotan \u00fanicamente la vulnerabilidad abordada en Synology-SA-24:20 y que el ransomware C3RB3R no tiene nada que ver con PHP2Shell. La siguiente tabla muestra ambos candidatos tal y como se debatieron, porque a\u00fan merece la pena parchear el par 360.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology dice<\/th><th>360 dice<\/th><\/tr><\/thead><tbody><tr><td>Consultivo<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n en el demonio del complemento del sistema<\/td><td>CVE-2026-13639 (l\u00f3gica de inicio de sesi\u00f3n) y CVE-2026-13684 (SCGI), ambos CVSS 9.8<\/td><\/tr><tr><td>Parcheado<\/td><td>De noviembre a diciembre de 2024<\/td><td>18 de septiembre de 2026<\/td><\/tr><tr><td>Compilaciones corregidas<\/td><td>DSM 7.2.2-72806 Actualizaci\u00f3n 1, 7.2.1-69057 Actualizaci\u00f3n 6, 7.2-64570 Actualizaci\u00f3n 4, 7.1.1-42962 Actualizaci\u00f3n 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Actualizaci\u00f3n 4, 7.2.2-72806 Actualizaci\u00f3n 9, 7.2.1-69057 Actualizaci\u00f3n 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Las pruebas forenses se inclinan hacia el fallo m\u00e1s antiguo en al menos algunas v\u00edctimas. El informe detallado de Reddit hizo coincidir sus propios registros supervivientes con el exploit publicado de CVE-2024-10441, al tiempo que se\u00f1alaba que Synology no lo hab\u00eda confirmado y que ese mismo equipo tambi\u00e9n estaba por debajo del nivel de correcci\u00f3n de SA-26:13. El informe de soimy indica que los registros de memoria del hu\u00e9sped infectado apuntan a una inyecci\u00f3n de variables de entorno a trav\u00e9s del complemento de inicio de sesi\u00f3n de DSM, lo que concuerda con CVE-2024-10441, y d\u00edas antes del brote apareci\u00f3 en GitHub una prueba de concepto p\u00fablica que abusa del campo de nombre de usuario del inicio de sesi\u00f3n. Dos de los tres casos de rescate documentados se ejecutaban en hardware no original con un gestor de arranque DS918+, uno de ellos en DSM 7.2-64570 Update 3, que est\u00e1 exactamente a una actualizaci\u00f3n de la soluci\u00f3n para CVE-2024-10441. El hardware clonado no puede recibir actualizaciones oficiales f\u00e1cilmente, lo que lo convierte en el objetivo m\u00e1s vulnerable del conjunto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La conclusi\u00f3n pr\u00e1ctica no ha cambiado: actualice a una versi\u00f3n que cubra ambos avisos y deje de exponer DSM a Internet. Pero quedaba una pregunta. Si la brecha se parche\u00f3 en diciembre de 2024, \u00bfpor qu\u00e9 saltaron tantos equipos con el ransomware C3RB3R en los mismos dos d\u00edas de octubre de 2026, incluidos algunos cuyos propietarios cre\u00edan que estaban al d\u00eda?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Implantado con antelaci\u00f3n, detonado a tiempo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nuestra lectura, y es nuestra interpretaci\u00f3n m\u00e1s que algo que Synology haya dicho, es que la intrusi\u00f3n del ransomware C3RB3R y el cifrado son dos eventos independientes. La evidencia apunta en esa direcci\u00f3n:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>La puerta trasera lleg\u00f3 primero.<\/strong> En el caso de Xiaohongshu a continuaci\u00f3n, una shell de puerta trasera hab\u00eda estado presente en el NAS durante 37 d\u00edas y hab\u00eda activado telnet como root antes de que se cifrara un solo archivo.<\/li>\n\n\n\n<li><strong>Sobrevive a las actualizaciones.<\/strong> Las entradas de cron bajo <code>\/etc\/cron.d\/synot*<\/code> se recrean a s\u00ed mismas, y al menos una v\u00edctima descubri\u00f3 que todav\u00eda estaban presentes tras actualizar a la versi\u00f3n m\u00e1s reciente de DSM. La actualizaci\u00f3n cerr\u00f3 la brecha, pero dej\u00f3 al intruso dentro.<\/li>\n\n\n\n<li><strong>Las detonaciones fueron sincronizadas.<\/strong> Los equipos con ransomware C3RB3R que hab\u00edan sido comprometidos en momentos diferentes, en distintas versiones, comenzaron el cifrado con unas 48 horas de diferencia entre s\u00ed.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ese patr\u00f3n encaja con un operador que implant\u00f3 C3RB3R en equipos no parcheados a lo largo de meses y luego eligi\u00f3 cu\u00e1ndo apretar el gatillo de forma remota. El momento que eligieron fue la semana de PHP2Shell, cuando todos los administradores de Synology estaban ocupados parcheando, muchos equipos acababan de ser actualizados y los propietarios se sent\u00edan seguros por haberlo hecho. Synology aclara que PHP2Shell no fue la v\u00eda de entrada. Fue la cobertura. La lecci\u00f3n es que un equipo expuesto sin parchear debe tratarse como comprometido hasta que se revise, que es exactamente lo que le pide hacer el paso uno de la lista de comprobaci\u00f3n de Synology.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Primera respuesta al ransomware C3RB3R en 4 pasos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Si encuentra <code>L0CK3D<\/code> archivos ahora mismo, el orden de las acciones en los pr\u00f3ximos diez minutos decidir\u00e1 si la recuperaci\u00f3n es posible. La clave que desbloquea sus archivos existe \u00fanicamente dentro del proceso en ejecuci\u00f3n del ransomware C3RB3R. Un reinicio, un <code>kill -9<\/code> o una reinstalaci\u00f3n de DSM la destruir\u00e1.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Desconecte la red, no la alimentaci\u00f3n<\/h3>\n<div class=\"rank-math-step-content\"><p>Desconecte el lado WAN o elimine los reenv\u00edos de puertos y asignaciones UPnP del enrutador. No apague el NAS ni lo reinicie. Cierre cualquier acceso SSH o telnet que no haya abierto usted mismo.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Localice y congele el cifrador<\/h3>\n<div class=\"rank-math-step-content\"><p>A trav\u00e9s de SSH como root, liste los procesos cuyo ejecutable haya sido eliminado y, a continuaci\u00f3n, env\u00ede SIGSTOP con kill -STOP y el PID. Un proceso congelado conserva su memoria y su memoria contiene la clave de sesi\u00f3n.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Vuelque la memoria del proceso congelado<\/h3>\n<div class=\"rank-math-step-content\"><p>Siga las instrucciones del repositorio de Benjamin-zlt para leer la memoria de escritura de ese PID desde el sistema de archivos proc hacia un disco independiente. En una m\u00e1quina virtual, una instant\u00e1nea completa de la memoria del hu\u00e9sped desde el hipervisor tambi\u00e9n funciona.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Conserve las pruebas y luego limpie el sistema<\/h3>\n<div class=\"rank-math-step-content\"><p>Mantenga intactos todos los archivos L0CK3D y las notas de rescate. Copie los datos que a\u00fan sean legibles. Solo despu\u00e9s de haber puesto a salvo la memoria, elimine las entradas cron de synot, cambie todas las contrase\u00f1as y actualice DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Los comandos para los pasos 2 y 3 tienen este aspecto. Lea los repositorios antes de ejecutar cualquier comando, ya que los detalles dependen del binario que tenga.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Paso 2: busque el cifrador (su ejecutable aparece como eliminado)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Cong\u00e9lelo. Nunca use kill -9 aqu\u00ed.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # deber\u00eda mostrar T (stopped)<\/th><th># Busque la persistencia que lo vuelve a ejecutar<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">\u00bfSe pueden descifrar los datos? Los tres casos de rescate en GitHub<\/a><\/td><td>No existe un descifrador universal para el ransomware C3RB3R, y cualquiera que venda uno est\u00e1 especulando. Lo que existen son tres estudios de caso detallados que explican exactamente cu\u00e1ndo funciona la recuperaci\u00f3n.<\/td><td>Repositorio<\/td><td>Equipo<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resultado<\/a><\/td><td>Motivo<\/td><td>Repositorio<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM en una m\u00e1quina virtual de Proxmox VE ejecutando GitLab<\/a><\/td><td>Recuperado<\/td><td>Una copia de 16 GiB de la RAM del hu\u00e9sped conten\u00eda la clave de sesi\u00f3n de 48 bytes. GitLab se restaur\u00f3 con 80 proyectos y 9253 objetos LFS.<\/td><td>El cifrador ya hab\u00eda salido unas 30 horas antes. Los escaneos completos de RAM y swap no encontraron ninguna clave.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">El tercer repositorio es el m\u00e1s importante de leer, porque su t\u00edtulo es su lecci\u00f3n: que nunca se haya reiniciado no significa que sea recuperable. Lo que importa es si el proceso del ransomware C3RB3R sigue activo. Una vez que se cierra, pone a cero su b\u00fafer de claves y la clave desaparece. Una clave recuperada en una v\u00edctima tampoco sirve en otra, porque cada ejecuci\u00f3n genera una nueva clave de sesi\u00f3n.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Por qu\u00e9 la clave solo reside en la memoria<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis de Benjamin-zlt detalla el formato de archivo del ransomware C3RB3R y explica tanto por qu\u00e9 esto funciona como por qu\u00e9 normalmente no lo hace.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Cada archivo obtiene su propia clave ChaCha8 aleatoria.<\/strong> Esa clave se envuelve con una clave maestra de sesi\u00f3n mediante AES-256-CBC y se almacena en un tr\u00e1iler de 588 bytes al final del archivo.<\/li>\n\n\n\n<li><strong>La clave maestra de sesi\u00f3n es de 48 bytes:<\/strong> un IV de 16 bytes m\u00e1s una clave AES de 32 bytes. Nunca se escribe en el disco. Un puntero global dentro del proceso en ejecuci\u00f3n apunta a ella.<\/li>\n\n\n\n<li><strong>El tr\u00e1iler tambi\u00e9n incluye un blob envuelto con la clave p\u00fablica del atacante<\/strong> (RSA-2048), por lo que sin el proceso en ejecuci\u00f3n, solo el atacante puede recuperar la clave de sesi\u00f3n.<\/li>\n\n\n\n<li><strong>No todos los archivos est\u00e1n completamente cifrados.<\/strong> En una muestra de 400 archivos, alrededor del 56 % utiliz\u00f3 el modo segmentado, el 31 % solo ten\u00eda cifrado el primer 1 MiB y el 13 % estaba cifrado de extremo a extremo. Los archivos parcialmente cifrados siguen sin ser legibles, pero el an\u00e1lisis del pie de p\u00e1gina le indica lo que queda.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, la debilidad del ransomware C3RB3R es limitada y con un tiempo restringido: el cifrador mantiene la clave maestra en la memoria durante toda la sesi\u00f3n. Cong\u00e9lelo mientras est\u00e9 en ejecuci\u00f3n y podr\u00e1 extraer la clave. Si pierde esa ventana, solo le quedar\u00e1 el blob de clave p\u00fablica, dise\u00f1ado para ser infranqueable.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">La historia de una v\u00edctima: 50 TB y sin snapshots<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un relato detallado publicado en Xiaohongshu el 29 de octubre de 2026 por el usuario \u67ef\u57fa\u7231\u597d\u8005 narra la noche de un miembro de su grupo de NAS. Not\u00f3 la nota del ransomware C3RB3R, confirm\u00f3 el encabezado C3RB3R INSTRUCTIONS y estuvo a punto de comprar Bitcoin antes de que el grupo lo dirigiera a los casos de GitHub.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A continuaci\u00f3n, utiliz\u00f3 un asistente de c\u00f3digo de IA a trav\u00e9s de SSH para investigar. Este encontr\u00f3 y congel\u00f3 el cifrador, por lo que nada nuevo fue cifrado despu\u00e9s de ese momento. Tambi\u00e9n descubri\u00f3 que una probable shell de puerta trasera hab\u00eda estado alojada en el NAS durante 37 d\u00edas y hab\u00eda habilitado telnet como root, lo que significa que la intrusi\u00f3n inicial y el cifrado estuvieron separados por m\u00e1s de un mes. Escribi\u00f3 un script de recolecci\u00f3n de pruebas y, correctamente, esper\u00f3 a que \u00e9l confirmara antes de ejecutar cualquier cosa como root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su suerte fue que el ransomware C3RB3R es lento. Con m\u00e1s de 50 TB por procesar, el cifrador solo hab\u00eda llegado a sus fotos de 2024, y estas ten\u00edan una copia fr\u00eda en la nube. Traslad\u00f3 los datos de trabajo a un NAS m\u00e1s peque\u00f1o y dej\u00f3 en espera el volumen cifrado para m\u00e1s adelante. Su propio resumen fue contundente: no ten\u00eda snapshots, y con snapshots esto habr\u00eda sido f\u00e1cil de solucionar. Una segunda v\u00edctima en X resumi\u00f3 la misma lecci\u00f3n desde el otro extremo: RAID 6 m\u00e1s tres conjuntos de copias de seguridad, todos en el mismo equipo y todos cifrados a la vez.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">C\u00f3mo mantenemos el ransomware C3RB3R alejado de nuestras copias de seguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cada historia de p\u00e9rdida de datos descrita anteriormente tiene el mismo patr\u00f3n: las copias de seguridad eran accesibles desde el equipo comprometido. El ransomware C3RB3R cifra todo aquello en lo que el DSM comprometido pueda escribir, por lo que la soluci\u00f3n es mantener al menos una copia en alg\u00fan lugar donde DSM no pueda escribir en absoluto. As\u00ed es como lo hacemos para los sitios que alojamos, lo cual se ajusta a la regla 3-2-1-1-0.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regla<\/th><th>Significado<\/th><th>C\u00f3mo lo hacemos<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tres copias de los datos<\/td><td>La VM en vivo, una r\u00e9plica en un segundo NAS y una exportaci\u00f3n programada<\/td><\/tr><tr><td>2<\/td><td>Dos tipos de soporte<\/td><td>Vol\u00famenes NAS m\u00e1s una unidad USB y una unidad en la nube<\/td><\/tr><tr><td>1<\/td><td>Una copia fuera de las instalaciones<\/td><td>Exportaciones sincronizadas con Google Drive mediante Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>Una copia fuera de l\u00ednea o inmutable<\/td><td>Snapshots de la VM desde el host que el invitado no puede tocar, adem\u00e1s de la exportaci\u00f3n en USB desconectado<\/td><\/tr><tr><td>0<\/td><td>Cero errores en la restauraci\u00f3n<\/td><td>De hecho, restauramos e iniciamos desde las r\u00e9plicas cuando movemos VM entre hosts<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Ejecute Docker dentro de Virtual DSM, no en el host<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nuestros contenedores de WordPress no se ejecutan en el NAS f\u00edsico. Se ejecutan dentro de un invitado de Virtual DSM, y este invitado est\u00e1 protegido por Virtual Machine Manager en el host. Si el ransomware C3RB3R obtiene acceso root dentro del invitado, solo tendr\u00e1 el control de ese invitado y de nada m\u00e1s. Las snapshots del invitado residen en el almacenamiento del host, fuera del sistema de archivos del invitado, por lo que el ransomware dentro de la VM no puede verlas y mucho menos cifrarlas o eliminarlas. La recuperaci\u00f3n consiste en una restauraci\u00f3n de snapshot que tarda solo unos minutos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro a\u00f1ade las partes que convierten esto en una copia de seguridad real: un plan de protecci\u00f3n que toma snapshots de la VM y la replica en un segundo NAS del cl\u00faster, cubriendo tambi\u00e9n el fallo de un host. Nuestro cl\u00faster consta de un DS1621xs+ y un DS1525+ que se replican mutuamente. Escribimos sobre la <a href=\"https:\/\/synopower.club\/es\/documentos\/vmm-backup-google-drive-cloud-sync\/\">exportaci\u00f3n programada y Cloud Sync a Google Drive<\/a> parte por separado, y la <a href=\"https:\/\/synopower.club\/es\/documentos\/synology-virtual-machine-manager-vs-vmm-pro\/\">comparaci\u00f3n de VMM gratuito frente a VMM Pro<\/a> explica qu\u00e9 componentes necesitan la licencia.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Plan de protecci\u00f3n de VMM Pro que replica un sistema invitado de Virtual DSM a un segundo NAS como defensa contra el ransomware C3RB3R\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Nuestro invitado de Virtual DSM spc_4C8G: snapshots cada 12 horas, replicadas desde el DS1621xs+ al DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Si ejecuta Docker directamente en DSM, utilice snapshots inmutables<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No todo el mundo quiere una capa de m\u00e1quina virtual. Si sus contenedores se ejecutan en el host, la defensa contra el ransomware C3RB3R son las instant\u00e1neas inmutables. Act\u00edvelas en Snapshot Replication para la carpeta compartida que contiene los datos de sus contenedores. Necesitan DSM 7.2 o posterior y un volumen Btrfs, y durante el per\u00edodo de bloqueo nadie puede eliminarlas, incluida una cuenta de administrador de la que se haya apoderado el atacante. Dos detalles marcan la diferencia:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Use montajes bind en una carpeta compartida<\/strong> como por ejemplo <code>\/volume1\/docker\/app<\/code>. Los vol\u00famenes con nombre de Docker residen bajo <code>\/volume1\/@docker<\/code>, que no es una carpeta compartida y no se puede incluir en instant\u00e1neas en absoluto.<\/li>\n\n\n\n<li><strong>Volquee las bases de datos a un archivo antes de la instant\u00e1nea.<\/strong> Una instant\u00e1nea de un MariaDB en ejecuci\u00f3n es una copia tras un corte de energ\u00eda. Una programaci\u00f3n de <code>mysqldump<\/code> en la misma carpeta compartida le proporciona un punto de restauraci\u00f3n limpio que la instant\u00e1nea luego bloquea.<\/li>\n\n\n\n<li><strong>Elija un periodo de bloqueo m\u00e1s largo del que un atacante pueda permanecer en silencio.<\/strong> La v\u00edctima anterior tuvo una puerta trasera durante 37 d\u00edas antes de que comenzara el cifrado. Siete d\u00edas de instant\u00e1neas inmutables no habr\u00edan permitido regresar a un estado limpio.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Configuraci\u00f3n de Snapshot Replication con instant\u00e1neas inmutables activadas para proteger una carpeta compartida contra el ransomware C3RB3R\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Configuraci\u00f3n para una carpeta compartida: una programaci\u00f3n diaria con instant\u00e1neas inmutables bloqueadas durante 30 d\u00edas.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Nuestra capa adicional: Active Insight toma una instant\u00e1nea cuando comienza el cifrado<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Esta es la capa que la mayor\u00eda de las gu\u00edas pasan por alto. Active Insight, el servicio de monitorizaci\u00f3n en la nube de Synology, puede vigilar la actividad de los archivos en sus carpetas compartidas y, una vez que determina que se trata de un ransomware, reacciona por s\u00ed mismo. Synology lo documenta en su <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">gu\u00eda de seguridad de NAS<\/a>: cuando se detecta un evento de ransomware, Active Insight env\u00eda una notificaci\u00f3n del evento y toma autom\u00e1ticamente una instant\u00e1nea de la carpeta compartida; en los modelos compatibles, dicha instant\u00e1nea es inmutable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por qu\u00e9 esto es especialmente importante para el ransomware C3RB3R: el cifrador del ransomware C3RB3R es lento. La v\u00edctima con m\u00e1s de 50 TB apenas iba por sus fotos de 2024 cuando se dio cuenta. Una instant\u00e1nea tomada cuando aparece por primera vez el patr\u00f3n de cifrado congela todo lo que a\u00fan no se ha tocado, lo que puede ser la mayor parte del volumen. Tampoco le importa c\u00f3mo entr\u00f3 el ransomware C3RB3R, porque supervisa lo que sucede con los archivos, no la p\u00e1gina de inicio de sesi\u00f3n. En nuestro DS1621xs+, la p\u00e1gina de Actividad de archivos muestra la protecci\u00f3n contra ransomware como Protegido.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"P\u00e1gina File Activity de Active Insight que muestra la protecci\u00f3n contra ransomware como Protegido en un DS1621xs+, una red de seguridad contra el ransomware C3RB3R\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Actividad de archivos de Active Insight en nuestro DS1621xs+: la protecci\u00f3n contra ransomware est\u00e1 activada, por lo que un evento detectado del ransomware C3RB3R activa una instant\u00e1nea autom\u00e1tica.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Lea las limitaciones antes de confiar en esta funci\u00f3n. Proceden de la <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">documentaci\u00f3n de Actividad de archivos<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>La monitorizaci\u00f3n de la actividad de archivos est\u00e1 desactivada por defecto.<\/strong> Registre el NAS para Active Insight en el Panel de control y, a continuaci\u00f3n, habilite la monitorizaci\u00f3n para cada host en el portal de Active Insight.<\/li>\n\n\n\n<li><strong>Requiere Snapshot Replication,<\/strong> DSM 7.2 o posterior, Active Insight 3.0.2 o posterior, al menos 1 GB de memoria y una licencia de Active Insight asignada a ese NAS.<\/li>\n\n\n\n<li><strong>Como m\u00e1ximo una instant\u00e1nea autom\u00e1tica por carpeta compartida al d\u00eda.<\/strong> Es una red de seguridad que se toma tras la detecci\u00f3n, no un sustituto de las instant\u00e1neas inmutables programadas.<\/li>\n\n\n\n<li><strong>No cubierto:<\/strong> Carpetas de grabaci\u00f3n de Surveillance Station y carpetas compartidas en unidades USB externas.<\/li>\n\n\n\n<li><strong>La inmutabilidad depende del modelo.<\/strong> En un modelo sin instant\u00e1neas inmutables, un atacante con acceso root a\u00fan puede eliminar la instant\u00e1nea autom\u00e1tica, as\u00ed que compag\u00ednela con la programaci\u00f3n inmutable mencionada anteriormente.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfDesea la misma configuraci\u00f3n?<\/strong> SynoPower Club vende licencias originales para ambos componentes: una <a href=\"https:\/\/synopower.club\/es\/paquete-vdsm-2\/\">licencia de Virtual DSM (VDSM)<\/a> para ejecutar sus servicios de Docker en un invitado aislado, y una <a href=\"https:\/\/synopower.club\/es\/synology-vmm-pro-license\/\">Licencia VMM Pro<\/a> para planes de protecci\u00f3n, replicaci\u00f3n entre NAS y migraci\u00f3n en vivo. Las claves se env\u00edan por correo electr\u00f3nico.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/es\/paquete-vdsm-2\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obt\u00e9n una licencia Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/es\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obt\u00e9n una licencia VMM Pro<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">D\u00f3nde encontrar m\u00e1s recursos oficiales<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El ransomware C3RB3R en Synology lleva dos d\u00edas p\u00fablico en el momento de escribir esto, y a\u00fan no hay cobertura en v\u00eddeo oficial, por lo que esta secci\u00f3n enumera fuentes primarias en lugar de gu\u00edas paso a paso.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">El aviso de seguridad de Synology<\/a> del 29 de octubre de 2026, que indica a los usuarios con versiones desactualizadas de DSM que actualicen inmediatamente y activen las actualizaciones autom\u00e1ticas, seguido el 30 de octubre por un correo electr\u00f3nico a los clientes que confirma SA-24:20 como la \u00fanica vulnerabilidad involucrada.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> y <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> son las tablas de versiones. Verifique su compilaci\u00f3n en Panel de control, luego en Actualizar y restaurar, compar\u00e1ndola con ambas.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM en una m\u00e1quina virtual de Proxmox VE ejecutando GitLab<\/a> es el mejor \u00edndice de todos los casos conocidos, incluidos los no cubiertos aqu\u00ed, y la explicaci\u00f3n m\u00e1s clara de cu\u00e1ndo el an\u00e1lisis forense de memoria no tiene sentido.<\/li>\n\n\n\n<li>Los tres hilos de r\/synology enlazados arriba, especialmente el informe forense, que incluye los comandos de investigaci\u00f3n de disco de solo lectura paso a paso: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Bueno, finalmente sucedi\u00f3<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Lista de comprobaci\u00f3n de la propia Synology (30 de octubre de 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El correo electr\u00f3nico de Synology a los clientes termina con cuatro pasos. Son breves y cada uno de ellos es importante frente al ransomware C3RB3R:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Compruebe si hay intrusos.<\/strong> El ransomware C3RB3R deja una persistencia programada, por lo que debe ejecutar un an\u00e1lisis de Consejero de seguridad y, a continuaci\u00f3n, buscar en el Programador de tareas scripts que no haya creado y en Usuario y grupo cuentas de administrador que no haya a\u00f1adido. Si algo parece incorrecto, p\u00f3ngase en contacto con el soporte de Synology.<\/li>\n\n\n\n<li><strong>Actualice todo.<\/strong> Instale el DSM m\u00e1s reciente en Panel de control, Actualizaci\u00f3n y restauraci\u00f3n, y luego actualice todos los paquetes en el Centro de paquetes.<\/li>\n\n\n\n<li><strong>Active las actualizaciones autom\u00e1ticas<\/strong> en Actualizaci\u00f3n y restauraci\u00f3n, para que las futuras correcciones de seguridad se apliquen tan pronto como se publiquen.<\/li>\n\n\n\n<li><strong>Mantenga una copia de seguridad externa.<\/strong> Utilice Hyper Backup y Snapshot Replication para mantener una copia en una ubicaci\u00f3n diferente y compruebe peri\u00f3dicamente que las tareas de copia de seguridad se completan realmente.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">El primer paso es el que la gente suele omitir. Si su equipo era accesible desde Internet antes de la soluci\u00f3n de diciembre de 2024, es posible que el ransomware C3RB3R ya haya afianzado su presencia, y actualizar hoy no le dir\u00e1 si alguien ya est\u00e1 dentro.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Una herramienta gratuita que realiza la comprobaci\u00f3n por usted<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Si se siente c\u00f3modo con una terminal, el primer paso ahora puede ser un solo comando. synology-nas-cli es una herramienta de l\u00ednea de comandos de c\u00f3digo abierto bajo la licencia MIT, lanzada el 30 de octubre de 2026 por el desarrollador independiente Akari Sora. Inicia sesi\u00f3n en DSM a trav\u00e9s de su API web y audita el equipo frente a esta campa\u00f1a. El proyecto est\u00e1 en GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le\u00edmos su c\u00f3digo antes de enlazarlo. Utiliza \u00fanicamente la biblioteca est\u00e1ndar de Python y no se comunica con nada excepto con su NAS, el servidor de descargas de Synology, PyPI y el conjunto de herramientas de rescate soimy. No env\u00eda telemetr\u00eda y la auditor\u00eda b\u00e1sica es solo de lectura. Esto es lo que comprueba:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Nivel de parche.<\/strong> Su compilaci\u00f3n de DSM frente a Synology-SA-26:13, que tambi\u00e9n cubre la soluci\u00f3n anterior SA-24:20, y sus paquetes instalados frente a SA-26:14.<\/li>\n\n\n\n<li><strong>Exposici\u00f3n.<\/strong> QuickConnect, reenv\u00edo de puertos UPnP en el enrutador, el cortafuegos de DSM, AutoBlock, SMB1 y la cuenta de administrador integrada.<\/li>\n\n\n\n<li><strong>Rastros del ransomware C3RB3R.<\/strong> Las cadenas de inicio de sesi\u00f3n inyectadas en el registro de conexiones, <code>\/etc\/cron.d\/synot*<\/code> entradas, los <code>libgld<\/code> y <code>qnetd<\/code> binarios, cuentas de root adicionales, claves SSH y notas de rescate en sus carpetas compartidas.<\/li>\n\n\n\n<li><strong>Instant\u00e1neas.<\/strong> Carpetas compartidas que no tienen una programaci\u00f3n de instant\u00e1neas activa.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede solucionar la mayor parte de lo que encuentre. Si los archivos se est\u00e1n cifrando en este momento, su comando contain congela el cifrador con SIGSTOP, el mismo paso que la segunda fase de nuestra lista de primera respuesta. Luego, su comando rescue ejecuta el conjunto de herramientas soimy para capturar la memoria y buscar la clave.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # auditor\u00eda de solo lectura<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">nas incident --deep          # buscar tambi\u00e9n el implante (un script root de solo lectura)<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>nas incident fix --dry-run   # listar cada cambio que har\u00eda, sin cambiar nada.<\/strong> Lea estas notas antes de permitir que cambie nada:.<\/li>\n\n\n\n<li><strong>Es completamente nuevo.<\/strong> El proyecto tiene pocos d\u00edas, proviene de un solo desarrollador, no est\u00e1 afiliado a Synology y ha tenido poca revisi\u00f3n externa. Comience con la auditor\u00eda de solo lectura y la prueba simulada (dry run).<\/li>\n\n\n\n<li><strong>La correcci\u00f3n del cortafuegos puede dejarle sin acceso.<\/strong> Cambia el cortafuegos de DSM para denegar todo excepto las redes que liste. Ejec\u00fatelo desde un ordenador en la misma LAN y sepa d\u00f3nde est\u00e1 el bot\u00f3n RESET.<\/li>\n\n\n\n<li><strong>Desactiva QuickConnect.<\/strong> Esa es la configuraci\u00f3n m\u00e1s segura, pero si su familia accede a Synology Photos o a Surveillance Station a trav\u00e9s de QuickConnect, configure primero una VPN o Tailscale.<\/li>\n\n\n\n<li><strong>El escaneo profundo, contain y rescue se ejecutan como root.<\/strong> Funcionan a trav\u00e9s de una tarea temporal del Programador de tareas, porque es la \u00fanica forma de leer registros exclusivos de root y congelar procesos.<\/li>\n\n\n\n<li><strong>El README sugiere delegarlo a un agente de IA.<\/strong> Si lo hace, mantenga la contrase\u00f1a en un gestor de contrase\u00f1as en lugar de en el chat y confirme la correcci\u00f3n usted mismo.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Para completar el panorama de fortalecimiento de la seguridad, nuestras gu\u00edas sobre <a href=\"https:\/\/synopower.club\/es\/documentos\/synology-nas-security-public-website\/\">c\u00f3mo ejecutar un sitio web p\u00fablico en un NAS Synology<\/a> y sobre <a href=\"https:\/\/synopower.club\/es\/documentos\/synology-threat-prevention-blind-spots\/\">lo que Threat Prevention puede y no puede ver<\/a> cubren la parte de la red, y la <a href=\"https:\/\/synopower.club\/es\/synology-php2shell-emergency-patch\/\">gu\u00eda de parches de PHP2Shell<\/a> cubre el otro problema cr\u00edtico que surgi\u00f3 la misma semana.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">L\u00edmites y notas de seguridad del ransomware C3RB3R<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Actualizar no elimina una infecci\u00f3n existente.<\/strong> Al menos una v\u00edctima descubri\u00f3 que la persistencia en cron segu\u00eda activa tras actualizar al \u00faltimo DSM. Si estuvo expuesto mientras no ten\u00eda el parche instalado, verifique <code>\/etc\/cron.d<\/code>, el Programador de tareas, los scripts de inicio y los servicios habilitados como telnet, y luego cambie todas las credenciales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Estar actualizado no es lo mismo que estar limpio.<\/strong> Una v\u00edctima en Reddit cre\u00eda que su DSM estaba actualizado y otra sufri\u00f3 el ataque a pesar de tener 2FA y una contrase\u00f1a segura activadas. Un equipo vulnerado antes de ser parcheado puede conservar la infecci\u00f3n a trav\u00e9s de todas las actualizaciones posteriores. Trate cualquier p\u00e1gina de inicio de sesi\u00f3n de DSM accesible desde Internet como un objetivo, incluidas las publicadas por UPnP que nunca configur\u00f3 deliberadamente. Utilice una VPN o Tailscale para el acceso remoto y desactive UPnP en el enrutador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID y las copias de seguridad locales no son copias de seguridad frente al ransomware C3RB3R.<\/strong> Cualquier elemento en el que el DSM comprometido pueda escribir ser\u00e1 cifrado, incluidos los destinos de Hyper Backup en el mismo equipo y las carpetas compartidas de red montadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>No pague antes de leer los casos.<\/strong> Pagar a los operadores del ransomware C3RB3R financia la siguiente ola y no garantiza nada. Si el cifrador a\u00fan se est\u00e1 ejecutando, la v\u00eda de la memoria libre es su mejor oportunidad. Si no es as\u00ed, la \u00fanica alternativa real son sus propias copias externas fuera del equipo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Tenga cuidado con lo que pega en un asistente de IA.<\/strong> Las herramientas de IA ayudaron a varias v\u00edctimas aqu\u00ed, pero no les facilite contrase\u00f1as, claves recuperadas, volcados de memoria completos ni datos de la empresa. Deje que sugieran comandos y ejecute usted mismo cualquier cosa que requiera permisos de root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>El hardware no oficial o clonado conlleva un riesgo adicional.<\/strong> Varias v\u00edctimas documentadas ejecutaban DSM en hardware no oficial, donde las actualizaciones oficiales son dif\u00edciles o imposibles de aplicar. Si esta es su configuraci\u00f3n, asuma que no tiene los parches e impida por completo su acceso a Internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Referencias<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Aviso de seguridad de Synology sobre ataques de ransomware en DSM<\/a>, 29 de octubre de 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 y las compilaciones corregidas de DSM.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 y CVE-2026-13684, publicado el 18 de septiembre de 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Rescate de hardware f\u00edsico frente al ransomware C3RB3R de Benjamin-zlt<\/a>, el formato de archivo, la disposici\u00f3n de claves y el flujo de trabajo de SIGSTOP.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">El rescate de memoria solo funciona mientras el cifrador est\u00e9 activo.<\/a>, Se aplica la misma regla que en los tres casos de GitHub.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect sobre la campa\u00f1a de C3RB3R<\/a>, resumiendo la atribuci\u00f3n 360 y la cronolog\u00eda.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Centro de conocimiento de Synology: c\u00f3mo mejorar la seguridad de su Synology NAS<\/a>, incluido c\u00f3mo Active Insight toma una instant\u00e1nea de una carpeta compartida cuando detecta ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Preguntas frecuentes<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfQu\u00e9 es el ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>El ransomware C3RB3R es una variante de Linux de la familia Cerber que ha estado afectando a dispositivos NAS de Synology desde finales de octubre de 2026. Renombra los archivos con la extensi\u00f3n L0CK3D, deja una nota de rescate llamada read-me3.txt en cada carpeta y exige Bitcoin a trav\u00e9s de una p\u00e1gina de Tor.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfC\u00f3mo entra el ransomware C3RB3R en un Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>A trav\u00e9s de DSM expuesto a Internet. El 30 de octubre de 2026, Synology confirm\u00f3 que solo aprovecha el CVE-2024-10441 de Synology-SA-24:20, parcheado en diciembre de 2024, y que no est\u00e1 relacionado con PHP2Shell. Actualice DSM, busque scripts y cuentas de administrador que no haya creado y deje de exponer DSM directamente.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfSe pueden descifrar gratis los archivos infectados por el ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Solo si el proceso de cifrado a\u00fan se est\u00e1 ejecutando. Cong\u00e9lelo con SIGSTOP y realice un volcado de su memoria, ya que la clave de sesi\u00f3n solo existe all\u00ed. Una vez que el proceso finaliza o el NAS se reinicia, ninguna herramienta p\u00fablica puede recuperar la clave.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfDebo reiniciar o apagar un NAS infectado?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Desconecte la conexi\u00f3n de red en su lugar. Un reinicio o un comando kill -9 destruye la \u00fanica copia de la clave. Congele el proceso primero, guarde su memoria en otro disco y solo entonces limpie el sistema.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfActualizar DSM elimina el ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. La actualizaci\u00f3n cierra la vulnerabilidad, pero no elimina lo que ya est\u00e1 all\u00ed. Las v\u00edctimas encontraron persistencia en cron que sobrevivi\u00f3 a una actualizaci\u00f3n. Revise el directorio cron.d, las tareas programadas y telnet, y cambie todas las contrase\u00f1as.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfProtegen las instant\u00e1neas de Synology contra el ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Las instant\u00e1neas inmutables s\u00ed lo hacen, porque nadie puede eliminarlas durante el per\u00edodo de bloqueo, ni siquiera una cuenta de administrador secuestrada. Active Insight a\u00f1ade una red de seguridad al tomar autom\u00e1ticamente una instant\u00e1nea de una carpeta compartida cuando detecta ransomware, como m\u00e1ximo una vez al d\u00eda por carpeta.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfPor qu\u00e9 ejecutar Docker dentro de Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Porque las instant\u00e1neas de la m\u00e1quina virtual residen en el host, fuera del sistema invitado. El ransomware que toma el control del sistema invitado no puede verlas ni eliminarlas, por lo que la recuperaci\u00f3n es una reversi\u00f3n. VMM Pro a\u00f1ade replicaci\u00f3n a un segundo NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00bfEs una buena idea pagar el rescate?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No lo recomendamos. El pago no garantiza que funcione y financia el siguiente ataque. Consulte primero los casos de rescate en GitHub y luego restaure desde copias guardadas fuera del NAS infectado.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Haga que el pr\u00f3ximo ataque de ransomware C3RB3R solo le cueste una restauraci\u00f3n, no un rescate.<\/strong> Ejecute sus servicios Docker dentro de Virtual DSM y proteja todo el sistema invitado con planes de protecci\u00f3n de VMM Pro, replicados en un segundo NAS. SynoPower Club vende licencias originales para ambos, con claves entregadas por correo electr\u00f3nico.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/es\/paquete-vdsm-2\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obt\u00e9n una licencia Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/es\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obt\u00e9n una licencia VMM Pro<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/es\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"gracias","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}