{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/it\/synology-c3rb3r-ransomware\/","title":{"rendered":"Ransomware C3RB3R su Synology: origini, ripristino e come rimanere al sicuro"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>Ransomware C3RB3R<\/strong> ha iniziato a comparire sulle unit\u00e0 NAS Synology intorno al 28 ottobre 2026 e nel giro di un giorno \u00e8 diventato l'unico argomento su r\/synology. I file vengono rinominati con una <code>L0CK3D<\/code> estensione (uno zero, non la lettera O), ogni cartella riceve un <code>read-me3.txt<\/code> riscatto in un file di nota, e un portale Tor richiede Bitcoin. Le informazioni pi\u00f9 rapide e utili non sono arrivate da siti di notizie in inglese. Sono giunte da forum di lingua cinese, dove Synology ha un'ampia base di utenti, e da tre repository GitHub scritti da vittime che sono riuscite a recuperare i propri dati, o che hanno dimostrato di non poterlo fare. Questa guida raccoglie ci\u00f2 che \u00e8 confermato finora sul ransomware C3RB3R: da dove proviene, come riesce a penetrare, l'unico percorso di ripristino che ha funzionato e la struttura di backup che utilizziamo affinch\u00e9 un attacco del genere ci costi solo un ripristino anzich\u00e9 un riscatto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aggiornamento, 31 ottobre 2026:<\/strong> Synology ha ora chiarito il punto di ingresso. In un'e-mail inviata ai clienti il 30 ottobre, ha confermato che il ransomware C3RB3R sfrutta solo la vulnerabilit\u00e0 corretta in Synology-SA-24:20, risolta a dicembre 2024, e che la campagna non \u00e8 correlata alla vulnerabilit\u00e0 PHP2Shell corretta nello stesso mese. Abbiamo aggiunto la checklist in quattro punti di Synology, la nostra interpretazione del perch\u00e9 gli attacchi siano scattati quando si sono verificati e un livello aggiuntivo che utilizziamo e che la maggior parte dei proprietari paga gi\u00e0: la protezione ransomware di Active Insight.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Punto SynoPower Club:<\/strong>Una vittima in un gruppo NAS cinese aveva pi\u00f9 di 50 TB su un singolo dispositivo e nessuna snapshot. Il malware di crittografia era abbastanza lento che solo le sue foto del 2024 sono state colpite, e quelle per caso avevano una copia a freddo su un drive cloud. Un altro ha perso cinque anni di repository GitLab privati, perch\u00e9 il RAID 6 pi\u00f9 tre backup risiedevano tutti sulla stessa macchina. Il ransomware C3RB3R non ha sconfitto il loro storage, ha sconfitto la loro struttura di backup. Eseguiamo i nostri siti pubblici come Docker all'interno di Virtual DSM, creiamo una snapshot dell'intero guest dall'host, la replichiamo su un secondo NAS e la esportiamo programmata su USB e sul cloud. Se un guest viene crittografato stasera, lo ripristiniamo all'ultima snapshot e l'aggressore non ottiene nulla.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Cos'\u00e8 il ransomware C3RB3R?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il ransomware C3RB3R \u00e8 una build Linux della famiglia Cerber, una linea di ransomware presente dal 2016 che da anni prende di mira a intermittenza i dispositivi NAS. 360 le attribuisce l'ondata di ottobre 2026 su Synology. Su un sistema DSM infetto, l'eseguibile di crittografia del ransomware C3RB3R viene eseguito come un binario x86-64 collegato staticamente e compresso con UPX, chiamato <code>libgld<\/code>Elimina il proprio file dopo l'avvio, quindi il processo in esecuzione mostra <code>(eliminato)<\/code> accanto al percorso del suo eseguibile.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ci\u00f2 che si vede come proprietario di un dispositivo colpito dal ransomware C3RB3R \u00e8 coerente in tutti i report:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>File rinominati in <code>name.ext.L0CK3D<\/code>Alcune segnalazioni indicano <code>LOCK3D<\/code>, ma le analisi su GitHub citano lo zero.<\/li>\n\n\n\n<li>Una nota di riscatto denominata <code>read-me3.txt<\/code> in ogni cartella crittografata, con l'intestazione C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Una pagina Tor intitolata C3rb3r Decryptor. Lo screenshot di una vittima mostrava 0,03696 BTC (circa 2.952 USD) se pagati entro cinque giorni, che raddoppiavano a 0,07392 BTC (circa 5.904 USD) dopo tale termine, con un timer a conto alla rovescia.<\/li>\n\n\n\n<li>Persistenza tramite voci cron corrispondenti a <code>\/etc\/cron.d\/synot*<\/code>, che si ricreano automaticamente e che in almeno un caso sono sopravvissute a un aggiornamento di DSM.<\/li>\n\n\n\n<li>File di backup sullo stesso volume crittografati insieme a tutto il resto, comprese le destinazioni di Hyper Backup e i dump dei database.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Dove \u00e8 iniziato: r\/synology e i forum cinesi<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il ransomware C3RB3R \u00e8 emerso per la prima volta in inglese su r\/synology, dove le vittime hanno pubblicato post nel giro di un giorno l'una dall'altra intorno al 28 e 29 ottobre 2026. Nel giro di poche ore gli utenti riferivano che compariva un nuovo thread ogni volta che aggiornavano il subreddit. Tre di questi thread meritano di essere letti integralmente, poich\u00e9 ognuno aggiunge un elemento diverso:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>L'analisi forense.<\/strong> Un proprietario di DS918+ con DSM 7.2.1-69057 Update 5, con l'interfaccia web raggiungibile da Internet, ha spento il dispositivo e ha esaminato i dischi in modalit\u00e0 di sola lettura su un host Proxmox. Il log di autenticazione di DSM conteneva una richiesta di accesso il cui campo account riportava righe iniettate di <code>LD_PRELOAD<\/code> e <code>LD_DEBUG_OUTPUT<\/code> oltre a un comando shell codificato e un file sotto <code>\/etc\/cron.d<\/code>Questo corrisponde alla tecnica pubblicata nella CVE-2024-10441. Un backup 3-2-1 ha fatto s\u00ec che l'attacco sia costato un ripristino, non un riscatto. Leggilo qui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Beh, alla fine \u00e8 successo. Il mio primo vero incidente da ransomware<\/a>.<\/li>\n\n\n\n<li><strong>L'utente solo Synology Photos.<\/strong> Questo proprietario credeva che DSM fosse aggiornato e utilizzava solo Synology Photos, ma UPnP sul router era attivo. Dopo un reset di modalit\u00e0 2, le cartelle protette da Snapshot Replication sono state recuperate. Le cartelle senza snapshot no, e l'unit\u00e0 USB locale di Hyper Backup \u00e8 stata crittografata insieme al NAS. Leggilo qui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Colpito dal ransomware c3rb3r questa mattina<\/a>.<\/li>\n\n\n\n<li><strong>La discussione su QuickConnect.<\/strong> L'autore del post originale se ne \u00e8 accorto solo dopo che DSM \u00e8 andato in stato degradato e una reinstallazione ha rivelato i file crittografati. Nelle risposte, un altro lettore con una password robusta, 2FA e QuickConnect abilitato ha dichiarato di essere stato colpito a sua volta, e altri hanno evidenziato che gli utenti che usano solo specifiche app possono disattivare completamente l'accesso a DSM in QuickConnect. Leggilo qui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Colpito dal ransomware C3RB3R<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Letti insieme, il modello \u00e8 chiaro. Al ransomware C3RB3R bastava una pagina di login di DSM raggiungibile, niente di pi\u00f9. Password e 2FA non hanno aiutato, perch\u00e9 l'exploit viene eseguito prima dell'autenticazione. L'analisi forense lo ha spiegato chiaramente: la richiesta ha raggiunto un'applicazione vulnerabile e una richiesta di password aggiuntiva non avrebbe risolto il problema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il lavoro tecnico pi\u00f9 approfondito \u00e8 avvenuto in cinese. Le vittime nei gruppi WeChat e Xiaohongshu hanno pubblicato note di riscatto, confrontato le tempistiche e si sono segnalate a vicenda i repository GitHub trattati di seguito. Una community Synology taiwanese su Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">ha raccolto gli stessi link di ripristino<\/a> per gli utenti locali. Ha senso: Synology \u00e8 un'azienda taiwanese e le sue principali community di utenti sono di lingua cinese, ed \u00e8 da l\u00ec che proviene il maggior volume di casi di ransomware C3RB3R e, di conseguenza, l'individuazione pi\u00f9 rapida degli schemi di attacco.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La stessa Synology ha pubblicato <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">un avviso di sicurezza<\/a> il 29 ottobre 2026, affermando di aver identificato attori di minaccia che sfruttavano una vulnerabilit\u00e0 corretta a dicembre 2024 contro versioni di DSM obsolete, e sollecitando tutti ad aggiornare immediatamente.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Come penetra il ransomware C3RB3R<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Per i primi due giorni ci sono stati due candidati come punti di ingresso. Da allora Synology ha confermato quello pi\u00f9 datato. La sua e-mail del 30 ottobre afferma che gli attacchi sfruttano solo la vulnerabilit\u00e0 affrontata in Synology-SA-24:20 e che il ransomware C3RB3R non ha nulla a che fare con PHP2Shell. La tabella seguente mostra entrambi i candidati cos\u00ec come sono stati discussi, poich\u00e9 vale comunque la pena applicare la patch alla coppia 360.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology afferma<\/th><th>360 afferma<\/th><\/tr><\/thead><tbody><tr><td>Consultivo<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, esecuzione di codice remoto non autenticata nel demone dei plugin di sistema<\/td><td>CVE-2026-13639 (logica di login) e CVE-2026-13684 (SCGI), entrambi CVSS 9.8<\/td><\/tr><tr><td>Corretto<\/td><td>Da novembre a dicembre 2024<\/td><td>18 settembre 2026<\/td><\/tr><tr><td>Build corrette<\/td><td>DSM 7.2.2-72806 Aggiornamento 1, 7.2.1-69057 Aggiornamento 6, 7.2-64570 Aggiornamento 4, 7.1.1-42962 Aggiornamento 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Aggiornamento 4, 7.2.2-72806 Aggiornamento 9, 7.2.1-69057 Aggiornamento 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Le prove forensi pendono a favore del bug pi\u00f9 vecchio per almeno alcune vittime. Il report pi\u00f9 dettagliato su Reddit ha fatto corrispondere i propri log superstiti all'exploit pubblicato per la CVE-2024-10441, pur notando che Synology non lo aveva confermato e che lo stesso dispositivo si trovava anche al di sotto del livello di correzione per la SA-26:13. La relazione di soimy afferma che i log di memoria del guest infetto indicano un'iniezione di variabili d'ambiente tramite il plugin di login di DSM, coerentemente con la CVE-2024-10441, e una proof of concept pubblica che sfrutta il campo nome utente di login \u00e8 apparsa su GitHub giorni prima dell'attacco. Due dei tre casi di ripristino documentati venivano eseguiti su hardware non originale con bootloader per DS918+, uno dei quali su DSM 7.2-64570 Update 3, che si trova esattamente a un aggiornamento di distanza dalla correzione per la CVE-2024-10441. L'hardware clone non pu\u00f2 ricevere facilmente gli aggiornamenti ufficiali, il che lo rende il bersaglio pi\u00f9 vulnerabile dell'intera popolazione.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La conclusione pratica non \u00e8 cambiata: aggiornare a una build che copra entrambi gli avvisi di sicurezza e smettere di esporre DSM a Internet. Ma rimaneva una domanda: se la falla \u00e8 stata corretta a dicembre 2024, perch\u00e9 cos\u00ec tanti dispositivi sono stati colpiti dal ransomware C3RB3R entro gli stessi due giorni di ottobre 2026, compresi alcuni i cui proprietari credevano di essere aggiornati?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Piazzato in anticipo, fatto esplodere a comando<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La nostra lettura, ed \u00e8 una nostra interpretazione piuttosto che una dichiarazione ufficiale di Synology, \u00e8 che l'intrusione del ransomware C3RB3R e la crittografia siano due eventi distinti. Le prove indicano questo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>La backdoor \u00e8 arrivata per prima.<\/strong> Nel caso Xiaohongshu descritto di seguito, una shell backdoor era presente sul NAS da 37 giorni e aveva attivato telnet come root prima che venisse crittografato anche un solo file.<\/li>\n\n\n\n<li><strong>Sopravvive agli aggiornamenti.<\/strong> Le voci cron sotto <code>\/etc\/cron.d\/synot*<\/code> si ricreano da sole e almeno una vittima le ha trovate ancora presenti dopo l'aggiornamento all'ultima versione di DSM. L'aggiornamento ha chiuso la falla, ma ha lasciato l'intruso all'interno.<\/li>\n\n\n\n<li><strong>Le attivazioni sono state sincronizzate.<\/strong> I dispositivi colpiti dal ransomware C3RB3R compromessi in momenti diversi, su build diverse, hanno iniziato la crittografia entro circa 48 ore l'uno dall'altro.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Questo modello corrisponde a quello di un malintenzionato che ha piazzato gli impianti del ransomware C3RB3R su dispositivi non aggiornati per mesi, per poi scegliere quando premere il grilletto da remoto. Il momento scelto \u00e8 stato la settimana di PHP2Shell, quando ogni amministratore Synology era occupato ad applicare le patch, molti dispositivi erano stati appena aggiornati e i proprietari si sentivano al sicuro per questo motivo. Synology ha chiarito che PHP2Shell non \u00e8 stato la via d'accesso: \u00e8 stata la copertura. La lezione \u00e8 che un dispositivo esposto mentre non \u00e8 aggiornato deve essere considerato compromesso fino a quando non viene controllato, che \u00e8 esattamente ci\u00f2 che il primo punto della checklist di Synology vi chiede di fare.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Prima risposta al ransomware C3RB3R in 4 passaggi<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se trovi <code>L0CK3D<\/code> file in questo momento, l'ordine delle azioni nei prossimi dieci minuti determina se il recupero sia del tutto possibile. La chiave che sblocca i tuoi file esiste solo all'interno del processo del ransomware C3RB3R in esecuzione. Un riavvio, un <code>kill -9<\/code> o una reinstallazione di DSM la distrugger\u00e0.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Stacca la rete, non l'alimentazione<\/h3>\n<div class=\"rank-math-step-content\"><p>Scollega il lato WAN o rimuovi l'inoltro delle porte del router e le mappature UPnP. Non spegnere il NAS e non riavviarlo. Chiudi qualsiasi accesso SSH o telnet che non hai aperto tu stesso.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Individua e congela il processo di crittografia<\/h3>\n<div class=\"rank-math-step-content\"><p>Via SSH come root, elenca i processi il cui eseguibile \u00e8 stato eliminato, quindi invia SIGSTOP con kill -STOP e il PID. Un processo congelato conserva la propria memoria, e la sua memoria contiene la chiave di sessione.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Esegui il dump della memoria del processo congelato<\/h3>\n<div class=\"rank-math-step-content\"><p>Segui il repository di Benjamin-zlt per leggere la memoria Scrivibile di quel PID dal filesystem proc su un disco separato. Su una macchina virtuale, funziona anche uno snapshot completo della memoria del guest effettuato dall'hypervisor.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Conserva le prove, poi effettua la pulizia<\/h3>\n<div class=\"rank-math-step-content\"><p>Mantieni intatto ogni file L0CK3D e la nota di riscatto. Copia i dati ancora leggibili. Solo dopo aver messo al sicuro la memoria, rimuovi le voci cron di synot, cambia tutte le password e aggiorna DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">I comandi relativi ai passaggi 2 e 3 si presentano cos\u00ec. Leggi i repository prima di eseguire qualsiasi cosa, poich\u00e9 i dettagli dipendono dal binario in tuo possesso.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Passaggio 2: trova il processo di crittografia (il suo eseguibile risulta eliminato)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Congelalo. Non usare mai kill -9 qui.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # dovrebbe mostrare T (stopped)<\/th><th># Cerca la persistenza che lo riattiva<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Puoi decrittografarlo? I tre casi di recupero su GitHub<\/a><\/td><td>Non esiste un decrittore universale per il ransomware C3RB3R, e chiunque ne venda uno sta solo tirando a indovinare. Ci\u00f2 che esiste sono tre accurati casi di studio che ti mostrano esattamente quando il recupero funziona.<\/td><td>Repository<\/td><td>Macchina<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Risultato<\/a><\/td><td>Motivo<\/td><td>Repository<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM in una macchina virtuale Proxmox VE con GitLab<\/a><\/td><td>Recuperato<\/td><td>Una copia da 16 GiB di RAM del guest conteneva la chiave di sessione da 48 byte. GitLab ripristinato con 80 progetti e 9.253 oggetti LFS.<\/td><td>Il programma di crittografia era gi\u00e0 uscito circa 30 ore prima. La scansione completa della RAM e dello swap non ha trovato alcuna chiave.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Il terzo repository \u00e8 il pi\u00f9 importante da leggere, perch\u00e9 il suo titolo \u00e8 la sua lezione: non essere mai riavviato non significa che sia recuperabile. Ci\u00f2 che conta \u00e8 se il processo del ransomware C3RB3R \u00e8 ancora attivo. Una volta terminato, azzera il proprio buffer della chiave e la chiave scompare. Una chiave recuperata su una vittima \u00e8 inoltre inutile su un'altra, poich\u00e9 ogni esecuzione genera una nuova chiave di sessione.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Perch\u00e9 la chiave risiede solo in memoria<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">L'analisi di Benjamin-zlt spiega nel dettaglio il formato di file del ransomware C3RB3R e illustra sia perch\u00e9 questo metodo funziona sia perch\u00e9 di solito non funziona.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Ogni file riceve la propria chiave ChaCha8 casuale.<\/strong> Tale chiave viene incapsulata con una chiave master di sessione utilizzando AES-256-CBC e memorizzata in un trailer di 588 byte alla fine del file.<\/li>\n\n\n\n<li><strong>La chiave master di sessione \u00e8 di 48 byte:<\/strong> un IV da 16 byte pi\u00f9 una chiave AES da 32 byte. Non viene mai scritta su disco. Un puntatore globale all'interno del processo in esecuzione punta ad essa.<\/li>\n\n\n\n<li><strong>Il trailer contiene anche un blob incapsulato con la chiave pubblica dell'attaccante<\/strong> (RSA-2048), quindi senza il processo in esecuzione, solo l'attaccante pu\u00f2 recuperare la chiave di sessione.<\/li>\n\n\n\n<li><strong>Non tutti i file sono completamente crittografati.<\/strong> In un campione di 400 file, circa il 56% utilizzava la modalit\u00e0 segmentata, il 31% aveva solo il primo 1 MiB crittografato e il 13% era crittografato da un'estremit\u00e0 all'altra. I file parzialmente crittografati non sono comunque leggibili, ma l'analisi del pi\u00e8 di pagina (footer) mostra ci\u00f2 che rimane.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Quindi la vulnerabilit\u00e0 del ransomware C3RB3R \u00e8 limitata e circoscritta nel tempo: il programma di crittografia mantiene la chiave master in memoria per l'intera sessione. Congelandolo mentre \u00e8 in esecuzione, \u00e8 possibile estrarre la chiave. Persa quella finestra temporale, rimane solo il blob con la chiave pubblica, progettato per essere inviolabile.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">La storia di una vittima: 50 TB e nessuno snapshot<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un resoconto dettagliato pubblicato su Xiaohongshu il 29 ottobre 2026 dall'utente \u67ef\u57fa\u7231\u597d\u8005 segue un membro del loro gruppo NAS durante la notte. Ha notato la nota del ransomware C3RB3R, ha confermato l'intestazione C3RB3R INSTRUCTIONS ed era vicino all'acquisto di Bitcoin prima che il gruppo gli segnalasse i casi su GitHub.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ha quindi utilizzato un assistente di codifica AI tramite SSH per indagare. Questo ha individuato e congelato il programma di crittografia, impedendo l'ulteriore crittografia di altri file da quel momento in poi. Ha inoltre scoperto che una probabile backdoor shell era presente sul NAS da 37 giorni e aveva abilitato il telnet come root, il che significa che l'intrusione iniziale e la crittografia sono avvenute a oltre un mese di distanza. Ha scritto uno script per la raccolta delle prove e, correttamente, ha atteso la sua conferma prima di eseguire qualsiasi cosa come root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La sua fortuna \u00e8 stata che il ransomware C3RB3R \u00e8 lento. Con oltre 50 TB da elaborare, il programma di crittografia aveva raggiunto solo le sue foto del 2024, delle quali esisteva una copia fredda su un drive cloud. Ha spostato i dati di lavoro su un NAS pi\u00f9 piccolo e ha messo da parte il volume crittografato per dopo. La sua conclusione \u00e8 stata schietta: non aveva snapshot, e con gli snapshot la situazione sarebbe stata facile da risolvere. Una seconda vittima su X ha riassunto la stessa lezione dall'altro punto di vista: RAID 6 pi\u00f9 tre set di backup, tutti sullo stesso dispositivo, tutti crittografati insieme.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Come teniamo il ransomware C3RB3R lontano dai nostri backup<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ogni storia di perdita dati sopra descritta ha lo stesso schema: i backup erano raggiungibili dalla macchina compromessa. Il ransomware C3RB3R crittografa qualsiasi elemento su cui il DSM compromesso pu\u00f2 scrivere, quindi la soluzione consiste nel conservare almeno una copia in un luogo in cui il DSM non possa scrivere affatto. \u00c8 cos\u00ec che facciamo per i siti che ospitiamo, adattandoci alla regola 3-2-1-1-0.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regola<\/th><th>Significato<\/th><th>Come lo facciamo<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tre copie dei dati<\/td><td>La VM attiva, una replica su un secondo NAS e un'esportazione pianificata<\/td><\/tr><tr><td>2<\/td><td>Due tipi di supporto<\/td><td>Volumi NAS pi\u00f9 un'unit\u00e0 USB e un'unit\u00e0 cloud<\/td><\/tr><tr><td>1<\/td><td>Una copia fuori sede<\/td><td>Esportazioni sincronizzate su Google Drive tramite Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>Una copia offline o immutabile<\/td><td>Snapshot della VM lato host che il guest non pu\u00f2 toccare, pi\u00f9 l'esportazione USB scollegata<\/td><\/tr><tr><td>0<\/td><td>Zero errori durante il ripristino<\/td><td>Eseguiamo effettivamente il ripristino e l'avvio dalle repliche quando spostiamo le VM tra gli host<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Eseguire Docker all'interno di Virtual DSM, non sull'host<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">I nostri container WordPress non vengono eseguiti sul NAS fisico. Vengono eseguiti all'interno di un guest Virtual DSM e il guest \u00e8 protetto da Virtual Machine Manager sull'host. Se il ransomware C3RB3R ottiene i privilegi di root all'interno del guest, compromette solo quel guest e niente altro. Gli snapshot del guest risiedono nello storage dell'host, all'esterno del file system del guest, quindi il ransomware all'interno della VM non pu\u00f2 vederli, tanto meno crittografarli o eliminarli. Il ripristino \u00e8 un rollback dello snapshot che richiede solo pochi minuti.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro aggiunge le parti che lo trasformano in un vero e proprio backup: un piano di protezione che esegue lo snapshot della VM e la replica su un secondo NAS nel cluster, coprendo cos\u00ec anche l'eventuale guasto di un host. Il nostro cluster \u00e8 composto da un DS1621xs+ e un DS1525+ che si replicano a vicenda. Abbiamo descritto la parte relativa all' <a href=\"https:\/\/synopower.club\/it\/docs\/vmm-backup-google-drive-cloud-sync\/\">esportazione pianificata e Cloud Sync su Google Drive<\/a> separatamente, e il <a href=\"https:\/\/synopower.club\/it\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">confronto tra VMM gratuito e VMM Pro<\/a> spiega quali componenti richiedono la licenza.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Piano di protezione VMM Pro che replica un guest Virtual DSM su un secondo NAS come difesa dal ransomware C3RB3R\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Il nostro guest Virtual DSM spc_4C8G: snapshot ogni 12 ore, replicati dal DS1621xs+ al DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Se si esegue Docker direttamente su DSM, utilizzare snapshot immutabili<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Non tutti vogliono un livello VM. Se i tuoi container vengono eseguiti sull'host, la difesa contro il ransomware C3RB3R sono gli snapshot immutabili. Attivali in Snapshot Replication per la cartella condivisa che contiene i dati dei container. Richiedono DSM 7.2 o successivo e un volume Btrfs e, durante il periodo di blocco, nessuno pu\u00f2 eliminarli, incluso un account amministratore di cui l'attaccante si \u00e8 impossessato. Due dettagli determinano il successo di questa soluzione:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Usa i bind mount in una cartella condivisa<\/strong> come ad esempio <code>\/volume1\/docker\/app<\/code>. I volumi con nome Docker risiedono sotto <code>\/volume1\/@docker<\/code>, che non \u00e8 una cartella condivisa e non pu\u00f2 essere sottoposta ad alcun snapshot.<\/li>\n\n\n\n<li><strong>Esegui il dump dei database su un file prima dello snapshot.<\/strong> Uno snapshot di un MariaDB in esecuzione equivale a una copia da interruzione di corrente. Un'operazione pianificata <code>mysqldump<\/code> nella stessa cartella condivisa offre un punto di ripristino pulito che la snapshot provveder\u00e0 poi a bloccare.<\/li>\n\n\n\n<li><strong>Scegli un periodo di blocco pi\u00f9 lungo del tempo in cui un utente malintenzionato pu\u00f2 rimanere inattivo.<\/strong> La vittima citata sopra ha avuto una backdoor per 37 giorni prima che iniziasse la crittografia. Sette giorni di snapshot immutabili non sarebbero bastati per risalire a uno stato pulito.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Impostazioni di Snapshot Replication con snapshot immutabili abilitate per proteggere una cartella condivisa dal ransomware C3RB3R\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Impostazioni per una cartella condivisa: una pianificazione giornaliera con snapshot immutabili bloccate per 30 giorni.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Il nostro livello aggiuntivo: Active Insight scatta una snapshot all'avvio della crittografia<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ecco il livello che la maggior parte delle guide trascura. Active Insight, il servizio di monitoraggio cloud di Synology, pu\u00f2 monitorare l'attivit\u00e0 dei file nelle cartelle condivise e, una volta rilevata la presenza di un ransomware, reagisce autonomamente. Synology lo documenta nella sua <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">guida alla sicurezza del NAS<\/a>: quando viene rilevato un evento ransomware, Active Insight invia una notifica di evento e scatta automaticamente una snapshot della cartella condivisa; sui modelli supportati, tale snapshot \u00e8 immutabile.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Perch\u00e9 questo \u00e8 importante in particolare per il ransomware C3RB3R: l'algoritmo di crittografia del ransomware C3RB3R \u00e8 lento. La vittima con pi\u00f9 di 50 TB si \u00e8 accorta dell'attacco quando il ransomware era arrivato solo alle sue foto del 2024. Una snapshot scattata alla prima comparsa del pattern di crittografia blocca tutto ci\u00f2 che non \u00e8 stato ancora toccato, che pu\u00f2 rappresentare la maggior parte del volume. Inoltre, non importa come il ransomware C3RB3R sia entrato, perch\u00e9 monitora ci\u00f2 che accade ai file, non la pagina di login. Sul nostro DS1621xs+, la pagina File Activity mostra la protezione ransomware come Protected.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Pagina Attivit\u00e0 file di Active Insight che mostra la protezione da ransomware come Protetto su un DS1621xs+, una rete di sicurezza contro il ransomware C3RB3R\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Attivit\u00e0 file di Active Insight sul nostro DS1621xs+: la protezione ransomware \u00e8 attiva, quindi un evento ransomware C3RB3R rilevato attiva una snapshot automatica.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Leggete i limiti prima di fare affidamento su di essa. Provengono dalla <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">documentazione sull'Attivit\u00e0 file<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Il monitoraggio dell'attivit\u00e0 file \u00e8 disattivato per impostazione predefinita.<\/strong> Registrare il NAS per Active Insight nel Pannello di controllo, quindi abilitare il monitoraggio per ciascun host nel portale Active Insight.<\/li>\n\n\n\n<li><strong>Richiede Snapshot Replication,<\/strong> DSM 7.2 o successivo, Active Insight 3.0.2 o successivo, almeno 1 GB di memoria e una licenza Active Insight assegnata a quel NAS.<\/li>\n\n\n\n<li><strong>Al massimo una snapshot automatica per cartella condivisa al giorno.<\/strong> Si tratta di una rete di sicurezza creata dopo il rilevamento, non di un sostituto per le snapshot immutabili pianificate.<\/li>\n\n\n\n<li><strong>Non coperto:<\/strong> Cartelle di registrazione di Surveillance Station e cartelle condivise su unit\u00e0 USB esterne.<\/li>\n\n\n\n<li><strong>L'immutabilit\u00e0 dipende dal modello.<\/strong> Su un modello senza snapshot immutabili, un utente malintenzionato con accesso root pu\u00f2 comunque eliminare la snapshot automatica, quindi abbinatela alla pianificazione di snapshot immutabili menzionata sopra.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Vuoi la stessa configurazione?<\/strong> SynoPower Club vende licenze autentiche per entrambi i componenti fondamentali: una <a href=\"https:\/\/synopower.club\/it\/virtual-dsm-vdsm-license-pack\/\">licenza per Virtual DSM (VDSM)<\/a> per eseguire i tuoi servizi Docker in un guest isolato e una <a href=\"https:\/\/synopower.club\/it\/synology-vmm-pro-license\/\">Licenza VMM Pro<\/a> per piani di protezione, replicazione tra NAS e migrazione live. Le chiavi vengono consegnate via e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/it\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Ottieni una licenza Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/it\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Ottieni una licenza VMM Pro<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Dove trovare ulteriori risorse ufficiali<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il ransomware C3RB3R su Synology \u00e8 pubblico da soli due giorni al momento della stesura, e non ci sono ancora video esplicativi ufficiali, quindi questa sezione elenca fonti primarie invece di guide passo-passo.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">L'avviso di sicurezza Synology<\/a> del 29 ottobre 2026, che invita gli utenti con versioni DSM non aggiornate ad aggiornare immediatamente e ad abilitare gli aggiornamenti automatici, seguita il 30 ottobre da un'e-mail ai clienti che conferma SA-24:20 come l'unica vulnerabilit\u00e0 coinvolta.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> e <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> sono le tabelle delle versioni. Confronta la tua build in Pannello di controllo, quindi Aggiorna e Ripristina, con entrambe.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM in una macchina virtuale Proxmox VE con GitLab<\/a> \u00e8 il miglior indice di tutti i casi noti, compresi quelli non trattati qui, nonch\u00e9 la spiegazione pi\u00f9 chiara di quando l'analisi forense della memoria sia inutile.<\/li>\n\n\n\n<li>I tre thread di r\/synology collegati sopra, in particolare il report forense, che include passo dopo passo i comandi di indagine sui dischi in sola lettura: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Beh, alla fine \u00e8 successo<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Checklist di Synology (30 ottobre 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;email di Synology ai clienti si conclude con quattro passaggi. Sono brevi e ognuno di essi \u00e8 importante contro il ransomware C3RB3R:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Verifica la presenza di intrusi.<\/strong> Il ransomware C3RB3R lascia una persistenza pianificata, quindi esegui una scansione di Security Advisor, poi controlla in Utilit\u00e0 di pianificazione gli script che non hai creato e in Utente e Gruppo gli account amministratore che non hai aggiunto. Se qualcosa sembra anomalo, contatta il supporto Synology.<\/li>\n\n\n\n<li><strong>Aggiorna tutto.<\/strong> Installa l'ultimo DSM in Pannello di controllo, Aggiorna e Ripristina, quindi aggiorna ogni pacchetto nel Centro pacchetti.<\/li>\n\n\n\n<li><strong>Attiva gli aggiornamenti automatici<\/strong> in Aggiorna e Ripristina, in modo che le future correzioni di sicurezza vengano applicate non appena rilasciate.<\/li>\n\n\n\n<li><strong>Conserva un backup off-site.<\/strong> Usa Hyper Backup e Snapshot Replication per mantenere una copia in una posizione separata e verifica regolarmente che le attivit\u00e0 di backup vengano effettivamente completate.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Il primo passaggio \u00e8 quello che le persone saltano. Se il tuo dispositivo era raggiungibile da Internet prima della correzione di dicembre 2024, il ransomware C3RB3R potrebbe essersi gi\u00e0 insediato, e l'aggiornamento effettuato oggi non ti dice se qualcuno \u00e8 gi\u00e0 all'interno.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Uno strumento gratuito che esegue la verifica per te<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Se ti senti a tuo agio con il terminale, il primo passaggio ora pu\u00f2 essere un singolo comando. synology-nas-cli \u00e8 uno strumento a riga di comando open source con licenza MIT, rilasciato il 30 ottobre 2026 dallo sviluppatore indipendente Akari Sora. Effettua l'accesso a DSM tramite le sue API web ed effettua un audit del sistema rispetto a questa campagna. Il progetto si trova su GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Abbiamo letto il suo codice prima di inserire il link. Utilizza solo la libreria standard di Python e comunica esclusivamente con il tuo NAS, il server di download Synology, PyPI e il toolkit di soccorso soimy. Non invia alcuna telemetria e l'audit di base esegue solo letture. Ecco cosa controlla:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Livello di patch.<\/strong> La tua build di DSM rispetto a Synology-SA-26:13, che copre anche la precedente correzione SA-24:20, e i pacchetti installati rispetto a SA-26:14.<\/li>\n\n\n\n<li><strong>Esposizione.<\/strong> QuickConnect, port forwarding UPnP sul router, il firewall di DSM, AutoBlock, SMB1 e l'account admin integrato.<\/li>\n\n\n\n<li><strong>Tracce del ransomware C3RB3R.<\/strong> Le stringhe di login iniettate nel log delle connessioni, <code>\/etc\/cron.d\/synot*<\/code> voci, i <code>libgld<\/code> e <code>qnetd<\/code> file binari, account root aggiuntivi, chiavi SSH e note di riscatto sulle tue condivisioni.<\/li>\n\n\n\n<li><strong>Snapshot.<\/strong> Cartelle condivise che non hanno una pianificazione di snapshot funzionante.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Pu\u00f2 anche correggere la maggior parte di ci\u00f2 che trova. Se i file vengono crittografati in questo momento, il suo comando contain blocca il processo di crittografia con SIGSTOP, la stessa mossa del secondo passaggio del nostro elenco di prima risposta. Il suo comando rescue aziona quindi il toolkit soimy per acquisire la memoria e cercare la chiave.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # audit in sola lettura<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">nas incident --deep          # cerca anche l'impianto (uno script root in sola lettura)<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>nas incident fix --dry-run   # elenca ogni modifica che apporterebbe, non modifica nulla.<\/strong> Leggi queste note prima di consentirgli di modificare qualsiasi cosa:.<\/li>\n\n\n\n<li><strong>\u00c8 nuovissimo.<\/strong> Il progetto ha solo pochi giorni, proviene da un unico sviluppatore, non \u00e8 affiliato con Synology e ha ricevuto poche revisioni esterne. Inizia con l'audit in sola lettura e la simulazione (dry run).<\/li>\n\n\n\n<li><strong>La correzione del firewall pu\u00f2 bloccarti fuori.<\/strong> Imposta il firewall di DSM in modo da rifiutare tutto tranne le reti elencate. Eseguilo da un computer sulla stessa LAN e accertati di sapere dove si trova il pulsante RESET.<\/li>\n\n\n\n<li><strong>Disattiva QuickConnect.<\/strong> Questa \u00e8 l'impostazione pi\u00f9 sicura, ma se la tua famiglia accede a Synology Photos o Surveillance Station tramite QuickConnect, configura prima una VPN o Tailscale.<\/li>\n\n\n\n<li><strong>La scansione approfondita, contain e rescue vengono eseguiti come root.<\/strong> Funzionano tramite un'attivit\u00e0 temporanea dell'Utilit\u00e0 di pianificazione, poich\u00e9 \u00e8 l'unico modo per leggere i log riservati a root e bloccare i processi.<\/li>\n\n\n\n<li><strong>Il file README suggerisce di affidarlo a un agente IA.<\/strong> Se lo fai, conserva la password in un password manager piuttosto che nella chat e conferma tu stesso la correzione.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Per il resto del quadro di protezione, le nostre guide su <a href=\"https:\/\/synopower.club\/it\/docs\/synology-nas-security-public-website\/\">eseguire un sito web pubblico su un NAS Synology<\/a> e su <a href=\"https:\/\/synopower.club\/it\/docs\/synology-threat-prevention-blind-spots\/\">cosa Threat Prevention pu\u00f2 e non pu\u00f2 vedere<\/a> coprono il lato rete, mentre la <a href=\"https:\/\/synopower.club\/it\/synology-php2shell-emergency-patch\/\">guida alla patch PHP2Shell<\/a> copre l'altro problema critico emerso nella stessa settimana.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Limiti del ransomware C3RB3R e note sulla sicurezza<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>L'aggiornamento non rimuove un'infezione esistente.<\/strong> Almeno una vittima ha riscontrato che la persistenza tramite cron era ancora presente dopo l'aggiornamento all'ultima versione di DSM. Se eri esposto prima di applicare la patch, controlla <code>\/etc\/cron.d<\/code>, Utilit\u00e0 di pianificazione, gli script di avvio e i servizi abilitati come telnet, quindi modifica tutte le credenziali.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aggiornato non significa pulito.<\/strong> Una vittima su Reddit credeva che DSM fosse aggiornato e un'altra \u00e8 stata colpita nonostante la 2FA e una password robusta attive. Un dispositivo violato prima di essere patchato pu\u00f2 mantenere l'impianto attraverso ogni successivo aggiornamento. Tratta qualsiasi pagina di login DSM raggiungibile da Internet come un bersaglio, comprese quelle pubblicate tramite UPnP che non hai mai configurato intenzionalmente. Usa una VPN o Tailscale per l'accesso remoto e disattiva l'UPnP sul router.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Il RAID e i backup locali non costituiscono una protezione contro il ransomware C3RB3R.<\/strong> Tutto ci\u00f2 su cui il sistema DSM compromesso pu\u00f2 scrivere verr\u00e0 crittografato, comprese le destinazioni di Hyper Backup sullo stesso dispositivo e le cartelle di rete montate.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Non pagare prima di aver letto i casi.<\/strong> Pagare gli operatori del ransomware C3RB3R finanzia la rondata successiva e non garantisce nulla. Se il programma di crittografia \u00e8 ancora in esecuzione, l'estrazione dalla memoria \u00e8 la tua migliore possibilit\u00e0. In caso contrario, le uniche opzioni realistiche sono le tue copie salvate all'esterno del dispositivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Presta attenzione a ci\u00f2 che incolli in un assistente IA.<\/strong> Gli strumenti IA hanno aiutato diverse vittime in questo caso, ma non fornire loro password, chiavi recuperate, dump di memoria completi o dati aziendali. Lascia che propongano i comandi ed esegui personalmente qualsiasi operazione che richieda i permessi di root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>L'hardware clone comporta rischi aggiuntivi.<\/strong> Diverse vittime documentate eseguivano DSM su hardware non originale, dove gli aggiornamenti ufficiali sono difficili o impossibili da applicare. Se questa \u00e8 la tua configurazione, presupponi di non avere le patch e scollegalo completamente da Internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Riferimenti<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Avviso di sicurezza Synology sugli attacchi ransomware a DSM<\/a>, 29 ottobre 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 e le build di DSM corrette.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 e CVE-2026-13684, pubblicato il 18 settembre 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Salvataggio bare-metal dal ransomware C3RB3R di Benjamin-zlt<\/a>, il formato dei file, il layout delle chiavi e il flusso di lavoro con SIGSTOP.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Il recupero dalla memoria funziona solo finch\u00e9 il processo di crittografia \u00e8 attivo.<\/a>, Vale la stessa regola dei tre casi su GitHub.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect sulla campagna C3RB3R<\/a>, riassumendo l'attribuzione di 360 e la cronologia.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: migliorare la sicurezza del tuo NAS Synology<\/a>, incluso come Active Insight crea uno snapshot di una cartella condivisa quando rileva un ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Domande frequenti<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Cos'\u00e8 il ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Il ransomware C3RB3R \u00e8 una variante per Linux della famiglia Cerber che colpisce i dispositivi NAS Synology da fine ottobre 2026. Rinomina i file con l'estensione L0CK3D, lascia una nota di riscatto read-me3.txt in ogni cartella e richiede Bitcoin tramite una pagina Tor.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Come entra il ransomware C3RB3R in un NAS Synology?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Tramite DSM esposto a Internet. Il 30 ottobre 2026 Synology ha confermato che sfrutta solo CVE-2024-10441 da Synology-SA-24:20, patchata a dicembre 2024, e che non \u00e8 correlata a PHP2Shell. Aggiorna DSM, controlla la presenza di script e account amministratore non creati da te e smetti di esporre direttamente DSM.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00c8 possibile decrittografare gratuitamente i file colpiti dal ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Solo se il processo di crittografia \u00e8 ancora in esecuzione. Congelalo con SIGSTOP ed esegui il dump della sua memoria, poich\u00e9 la chiave di sessione esiste solo l\u00ec. Una volta che il processo termina o il NAS si riavvia, nessun strumento pubblico pu\u00f2 recuperare la chiave.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Devo riavviare o spegnere un NAS infetto?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Interrompi invece la connessione di rete. Un riavvio o un kill -9 distrugge l'unica copia della chiave. Congela prima il processo, salva la sua memoria su un altro disco e solo dopo procedi con la pulizia.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">L'aggiornamento di DSM rimuove il ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. L'aggiornamento chiude la falla ma non rimuove ci\u00f2 che \u00e8 gi\u00e0 presente. Le vittime hanno riscontrato la persistenza di cron sopravvissuta a un aggiornamento. Controlla la directory cron.d, le attivit\u00e0 pianificate e telnet, e cambia ogni password.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Le snapshot Synology proteggono dal ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Gli snapshot immutabili lo fanno, perch\u00e9 nessuno pu\u00f2 eliminarli durante il periodo di blocco, nemmeno un account amministratore compromesso. Active Insight aggiunge una rete di protezione creando automaticamente uno snapshot di una cartella condivisa quando rileva un ransomware, al massimo una volta al giorno per cartella.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Perch\u00e9 eseguire Docker all'interno di Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Perch\u00e9 le snapshot della VM risiedono sull'host, all'esterno del guest. Il ransomware che prende il controllo del guest non pu\u00f2 vederle n\u00e9 eliminarle, quindi il ripristino \u00e8 un semplice rollback. VMM Pro aggiunge la replicazione su un secondo NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Pagare il riscatto \u00e8 una buona idea?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Non lo consigliamo. Il pagamento non garantisce il funzionamento e finanzia l'attacco successivo. Controlla prima i casi di salvataggio su GitHub, poi ripristina da copie conservate all'esterno del NAS infetto.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Fai in modo che il prossimo attacco ransomware C3RB3R ti costi un ripristino, non un riscatto.<\/strong> Esegui i tuoi servizi Docker all'interno di Virtual DSM e proteggi l'intero guest con i piani di protezione VMM Pro, replicati su un secondo NAS. SynoPower Club vende licenze originali per entrambi, con chiavi consegnate via e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/it\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Ottieni una licenza Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/it\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Ottieni una licenza VMM Pro<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}