{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/nb\/synology-c3rb3r-ransomware\/","title":{"rendered":"C3RB3R-l\u00f8sepengevirus p\u00e5 Synology: Opprinnelse, gjenoppretting og hvordan holde seg trygg"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>C3RB3R-l\u00f8sepengevirus<\/strong> begynte \u00e5 dukke opp p\u00e5 Synology NAS-enheter rundt 28. oktober 2026, og innen \u00e9n dag var det det eneste temaet p\u00e5 r\/synology. Filer blir omd\u00f8pt med en <code>L0CK3D<\/code> -filendelse (et null, ikke bokstaven O), og hver mappe f\u00e5r en <code>read-me3.txt<\/code> l\u00f8sepengefil, og en Tor-portal ber om Bitcoin. Den raskeste og mest nyttige informasjonen kom ikke fra engelske nyhetssider. Den kom fra kinesiskspr\u00e5klige forumer, hvor Synology har en enorm brukerbase, og fra tre GitHub-repositorier skrevet av ofre som faktisk fikk dataene sine tilbake, eller beviste at de ikke kunne det. Denne guiden samler det som er bekreftet om C3RB3R ransomware s\u00e5 langt: hvor det kom fra, hvordan det kommer seg inn, den ene gjenopprettingsveien som har fungert, og sikkerhetskopieringsdesignet vi kj\u00f8rer slik at et slikt angrep koster oss en gjenoppretting i stedet for l\u00f8sepenger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Oppdatering, 31. oktober 2026:<\/strong> Synology har n\u00e5 fastsl\u00e5tt inngangspunktet. I en e-post til kunder 30. oktober bekreftet de at C3RB3R-l\u00f8sepengevirus kun utnytter s\u00e5rbarheten som ble utbedret i Synology-SA-24:20, som ble feilrettet i desember 2024, og at kampanjen ikke har noen sammenheng med PHP2Shell-s\u00e5rbarheten som ble feilrettet samme m\u00e5ned. Vi har lagt til Synologys egen firetrinns sjekkliste, v\u00e5r tolking av hvorfor angrepene skjedde da de gjorde det, og et ekstra lag vi kj\u00f8rer som de fleste eiere allerede betaler for: Active Insight-beskyttelse mot l\u00f8sepengevirus.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club-punkt:<\/strong>Et offer i en kinesisk NAS-gruppe hadde mer enn 50 TB p\u00e5 en enkelt enhet og ingen \u00f8yeblikksbilder. Krypteringsprogrammet var tregt nok til at bare bildene hans fra 2024 ble rammet, og disse hadde tilfeldigvis en kald kopi p\u00e5 en skytjeneste. En annen mistet fem \u00e5r med private GitLab-repositorier fordi RAID 6 pluss tre sikkerhetskopier alle l\u00e5 p\u00e5 samme maskin. C3RB3R ransomware slo ikke lagringen deres, det slo sikkerhetskopieringsdesignet deres. Vi kj\u00f8rer de offentlige nettstedene v\u00e5re som Docker i Virtual DSM, tar \u00f8yeblikksbilde av hele gjesten fra verten, replikerer det til en NAS nummer to, og eksporterer det til USB og skyen etter en tidsplan. Hvis en gjest blir kryptert i kveld, ruller vi den tilbake til det siste \u00f8yeblikksbildet, og angriperen f\u00e5r ingenting.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Hva er C3RB3R ransomware?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware er en Linux-versjon av Cerber-familien, en ransomware-linje som har eksistert siden 2016 og fra tid til annen har m\u00e5lrettet NAS-enheter i \u00e5revis. 360 tilskriver Synology-b\u00f8lgen i oktober 2026 til den. P\u00e5 en infisert DSM-enhet kj\u00f8rer C3RB3R ransomware-krypteringen som en statisk lenket, UPX-pakket x86-64-bin\u00e6rfil ved navn <code>libgld<\/code>Den sletter sin egen fil etter start, s\u00e5 den kj\u00f8rende prosessen viser <code>(slettet)<\/code> ved siden av stien til den kj\u00f8rbare filen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Det du ser som eier av en enhet rammet av C3RB3R ransomware er konsistent i alle rapporter:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Filer omd\u00f8pt til <code>name.ext.L0CK3D<\/code>Enkelte rapporter staver det <code>LOCK3D<\/code>, men GitHub-analysene siterer tallet null.<\/li>\n\n\n\n<li>En l\u00f8sepengefil kalt <code>read-me3.txt<\/code> i hver kryptert mappe, med overskriften C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>En Tor-side med tittelen C3rb3r Decryptor. Et skjermbilde fra et offer viste 0,03696 BTC (omtrent 2 952 USD) hvis det ble betalt innen fem dager, noe som doblet seg til 0,07392 BTC (omtrent 5 904 USD) etter det, med en nedtellingsfunksjon.<\/li>\n\n\n\n<li>Vedvarende tilgang gjennom cron-oppf\u00f8ringer som matcher <code>\/etc\/cron.d\/synot*<\/code>, som gjenoppretter seg selv og overlevde en DSM-oppgradering i hvert fall i ett tilfelle.<\/li>\n\n\n\n<li>Sikkerhetskopifiler p\u00e5 samme volum kryptert sammen med alt annet, inkludert Hyper Backup-m\u00e5l og databasedumper.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Hvor det startet: r\/synology og de kinesiske forumene<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware dukket f\u00f8rst opp p\u00e5 engelsk p\u00e5 r\/synology, der ofre publiserte innlegg innen omtrent et d\u00f8gn fra hverandre rundt 28. og 29. oktober 2026. Innen f\u00e5 timer sa leserne at det dukket opp en ny tr\u00e5d hver gang de oppdaterte subredditen. Tre av disse tr\u00e5dene er verdt \u00e5 lese i sin helhet, fordi hver av dem bidrar med en ny brikke:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Den tekniske etterforskningsrapporten.<\/strong> En DS918+-eier p\u00e5 DSM 7.2.1-69057 Update 5, med webgrensesnittet tilgjengelig fra internett, slo av enheten og unders\u00f8kte diskene skrivebeskyttet p\u00e5 en Proxmox-vert. DSM-autentiseringsloggen inneholdt en innloggingsforesp\u00f8rsel der kontofeltet hadde injiserte <code>LD_PRELOAD<\/code> og <code>LD_DEBUG_OUTPUT<\/code> -linjer pluss en kodet kommandolinjekommando, og en fil under <code>\/etc\/cron.d<\/code>Det samsvarer med den publiserte CVE-2024-10441-teknikken. En 3-2-1-sikkerhetskopi betydde at angrepet kostet en gjenoppretting, ikke l\u00f8sepenger. Les det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Vel, da skjedde det endelig. Min f\u00f8rste ekte l\u00f8sepengevirus-hendelse<\/a>.<\/li>\n\n\n\n<li><strong>Brukeren som bare brukte Photos.<\/strong> Denne eieren trodde DSM var oppdatert og brukte bare Synology Photos, men UPnP p\u00e5 ruteren var p\u00e5. Etter en modus 2-tilbakestilling kom mapper som var dekket av Snapshot Replication tilbake. Mapper uten \u00f8yeblikksbilder gjorde det ikke, og den lokale Hyper Backup USB-stasjonen ble kryptert sammen med NAS-en. Les det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Rammet av c3rb3r-l\u00f8sepengevirus i morges<\/a>.<\/li>\n\n\n\n<li><strong>QuickConnect-diskusjonen.<\/strong> Den opprinnelige innsenderen merket det f\u00f8rst etter at DSM ble degradert, og en reinstallasjon avsl\u00f8rte de krypterte filene. I svarene sa en annen leser med et sterkt passord, 2FA og QuickConnect aktivert at de ogs\u00e5 hadde blitt rammet, og andre p\u00e5pekte at brukere som bare bruker apper kan sl\u00e5 av DSM-tilgang i QuickConnect helt. Les det her: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Rammet av C3RB3R-l\u00f8sepengevirus<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Lest i sammenheng er m\u00f8nsteret tydelig. C3RB3R ransomware trengte bare en DSM-innloggingsside den kunne n\u00e5, ingenting mer. Passord og 2FA hjalp ikke, fordi utnyttelsen kj\u00f8rer f\u00f8r autentisering. Den tekniske rapporten uttrykte det klart: foresp\u00f8rselen n\u00e5dde et s\u00e5rbart program, og enn\u00e5 en passordforesp\u00f8rsel ville ikke ha l\u00f8st det.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Det dypere tekniske arbeidet skjedde p\u00e5 kinesisk. Ofre i WeChat- og Xiaohongshu-grupper la ut l\u00f8sepengenotater, sammenlignet tidslinjer og henviste hverandre til GitHub-repositoriene som dekkes nedenfor. Et taiwansk Synology-fellesskap p\u00e5 Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">samlet de samme gjenopprettingslenkene<\/a> for lokale brukere. Det gir mening: Synology er et taiwansk selskap, og de st\u00f8rste brukerfellesskapene deres er kinesisktalende, s\u00e5 det var der omfanget av C3RB3R ransomware-tilfeller, og dermed den raskeste m\u00f8nstergjenkjenningen, kom fra.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Synology selv publiserte <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">et sikkerhetsvarsel<\/a> den 29. oktober 2026, og oppga at de hadde identifisert trusselakt\u00f8rer som utnyttet en s\u00e5rbarhet som ble feilrettet i desember 2024 mot utdaterte DSM-versjoner, og oppfordret alle til \u00e5 oppdatere umiddelbart.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Slik tar C3RB3R-utpressingsvare seg inn<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">De to f\u00f8rste dagene var det to mulige inngangspunkter. Synology har siden bekreftet det eldste. E-posten fra 30. oktober sier at angrepene kun utnytter s\u00e5rbarheten som ble h\u00e5ndtert i Synology-SA-24:20, og at C3RB3R-l\u00f8sepengevirus ikke har noe med PHP2Shell \u00e5 gj\u00f8re. Tabellen nedenfor viser begge kandidatene slik de ble diskutert, fordi 360-paret fortsatt er verdt \u00e5 sikkerhetsoppdatere.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology sier<\/th><th>360 sier<\/th><\/tr><\/thead><tbody><tr><td>R\u00e5dgivende<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, uautentisert ekstern kj\u00f8ring av kode i systemets plugin-daemon<\/td><td>CVE-2026-13639 (innloggingslogikk) og CVE-2026-13684 (SCGI), begge CVSS 9.8<\/td><\/tr><tr><td>Rettet<\/td><td>November til desember 2024<\/td><td>september 2026<\/td><\/tr><tr><td>Rettede versjoner<\/td><td>DSM 7.2.2-72806 oppdatering 1, 7.2.1-69057 oppdatering 6, 7.2-64570 oppdatering 4, 7.1.1-42962 oppdatering 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 oppdatering 4, 7.2.2-72806 oppdatering 9, 7.2.1-69057 oppdatering 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">De digitale bevisene peker mot den eldre feilen for i det minste enkelte ofre. Den mest detaljerte Reddit-analysen samsvarte med sine egne overlevende logger med den publiserte CVE-2024-10441-utnyttelsen, samtidig som det ble bemerket at Synology ikke hadde bekreftet det, og at samme enhet ogs\u00e5 var under SA-26:13-rettelsesniv\u00e5et. Soimy sin analyse sier at minnelogger fra den infiserte gjesten peker mot milj\u00f8variabel-injeksjon via innloggings-pluggen i DSM, noe som stemmer overens med CVE-2024-10441, og et offentlig \u00abproof of concept\u00bb som misbruker brukernavn-feltet ved innlogging dukket opp p\u00e5 GitHub dager f\u00f8r utbruddet. To av de tre dokumenterte redningssakene kj\u00f8rte p\u00e5 ikke-original maskinvare med en DS918+-oppstartslaster, \u00e9n av dem p\u00e5 DSM 7.2-64570 Update 3, noe som er n\u00f8yaktig \u00e9n oppdatering unna rettelsen for CVE-2024-10441. Klonet maskinvare kan ikke enkelt ta i mot offisielle oppdateringer, noe som gj\u00f8r den til det enkleste m\u00e5let i gruppen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Den praktiske konklusjonen har ikke endret seg: oppdater til en versjon som dekker begge sikkerhetsadvarslene, og slutt \u00e5 eksponere DSM for internett. Men ett sp\u00f8rsm\u00e5l gjensto. Hvis hullet ble tettet i desember 2024, hvorfor utl\u00f8ste s\u00e5 mange enheter C3RB3R-l\u00f8sepengevirus i l\u00f8pet av de samme to dagene i oktober 2026, inkludert noen der eierne trodde de var oppdaterte?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Plantet tidlig, detonert p\u00e5 tegn<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">V\u00e5r tolking, og det er v\u00e5r tolkning snarere enn noe Synology har uttalt, er at C3RB3R-l\u00f8sepengevirus-innbruddet og krypteringen er to separate hendelser. Bevisene peker i den retningen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Bakd\u00f8ren kom f\u00f8rst.<\/strong> I Xiaohongshu-saken nedenfor hadde et bakd\u00f8rsskall ligget p\u00e5 NAS-en i 37 dager og sl\u00e5tt p\u00e5 telnet som root f\u00f8r \u00e9n eneste fil ble kryptert.<\/li>\n\n\n\n<li><strong>Den overlever oppdateringer.<\/strong> Cron-oppf\u00f8ringene under <code>\/etc\/cron.d\/synot*<\/code> gjenskaper seg selv, og minst \u00e9n skadelidende fant dem fortsatt p\u00e5 plass etter oppgradering til nyeste DSM. Oppdateringen lukket hullet, men lot inntrengeren bli igjen p\u00e5 innsiden.<\/li>\n\n\n\n<li><strong>Detonasjonene var synkronisert.<\/strong> Enheter ber\u00f8rt av C3RB3R-l\u00f8sepengevirus som hadde blitt kompromittert til ulike tider og p\u00e5 ulike versjoner, startet krypteringen innen omtrent 48 timer fra hverandre.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">M\u00f8nsteret passer med en akt\u00f8r som plantet C3RB3R-l\u00f8sepengevirus-implantater p\u00e5 uoppdaterte enheter over flere m\u00e5neder, og deretter valgte n\u00e5r avtrekkeren skulle trykkes inn fra avstand. \u00d8yeblikket de valgte var PHP2Shell-uken, da alle Synology-administratorer var opptatt med oppdateringer, mange enheter nettopp var oppdatert, og eiere f\u00f8lte seg trygge fordi de hadde oppdatert. Synology er tydelige p\u00e5 at PHP2Shell ikke var inngangsporten. Det var dekket. L\u00e6rdommen er at en enhet som har v\u00e6rt eksponert mens den var uoppdatert b\u00f8r behandles som kompromittert inntil den er sjekket, noe som er n\u00f8yaktig hva trinn \u00e9n i Synologys sjekkliste ber deg om \u00e5 gj\u00f8re.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">F\u00f8rstehjelp ved C3RB3R-utpressingsvare i 4 trinn<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hvis du finner <code>L0CK3D<\/code> -filer akkurat n\u00e5, vil rekkef\u00f8lgen p\u00e5 de neste ti minuttene avgj\u00f8re om gjenoppretting i det hele tatt er mulig. N\u00f8kkelen som l\u00e5ser opp filene dine finnes bare inne i den kj\u00f8rende prosessen til C3RB3R-utpressingsvaren. En omstart, en <code>kill -9<\/code> eller en ny installasjon av DSM vil \u00f8delegge den.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Kutt nettverket, ikke str\u00f8mmen<\/h3>\n<div class=\"rank-math-step-content\"><p>Trekk ut kabelen p\u00e5 WAN-siden eller fjern ruterens videref\u00f8ring av porter og UPnP-kartlegginger. Ikke sl\u00e5 av NAS-en og ikke start den p\u00e5 nytt. Lukk eventuell SSH- eller telnet-tilgang du ikke har \u00e5pnet selv.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Finn og frys krypteringsprosessen<\/h3>\n<div class=\"rank-math-step-content\"><p>Via SSH som root, list opp prosesser hvor den kj\u00f8rebare filen er slettet, og send deretter SIGSTOP med kill -STOP og PID-en. En frossen prosess beholder minnet sitt, og minnet inneholder sesjonsn\u00f8kkelen.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Dump minnet til den frosne prosessen<\/h3>\n<div class=\"rank-math-step-content\"><p>F\u00f8lg instruksjonene i Benjamin-zlt-arkivet for \u00e5 lese det skrivbare minnet til den PID-en fra proc-filsystemet over til en separat disk. P\u00e5 en virtuell maskin fungerer det ogs\u00e5 med et fullstendig \u00f8yeblikksbilde av minnet til gjesten fra hypervisoren.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Bevar bevisene, og rydd deretter opp<\/h3>\n<div class=\"rank-math-step-content\"><p>La hver eneste L0CK3D-fil og l\u00f8sepengefil ligge ur\u00f8rt. Kopier ut data som fortsatt er lesbare. F\u00f8rst etter at minnet er sikret, fjerner du synot cron-oppf\u00f8ringene, endrer alle passord og oppdaterer DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Kommandoene bak trinn 2 og 3 ser slik ut. Les gjennom arkivene f\u00f8r du kj\u00f8rer noe, fordi detaljene avhenger av hvilken bin\u00e6rfil du har.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Trinn 2: finn krypteringsprosessen (den kj\u00f8rebare filen vises som slettet)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Frys den. Bruk aldri kill -9 her.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # skal vise T (stopped)<\/th><th># Se etter persistens som henter den tilbake<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Kan du dekryptere det? De tre redningssakene fra GitHub<\/a><\/td><td>Det finnes ingen universal dekrypteringsprogramvare for C3RB3R-utpressingsvare, og alle som selger en slik bare gjetter. Det som finnes er tre grundige casestudier som forteller deg n\u00f8yaktig n\u00e5r gjenoppretting fungerer.<\/td><td>Arkiv<\/td><td>Maskin<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resultat<\/a><\/td><td>\u00c5rsak<\/td><td>Arkiv<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en Proxmox VE virtuell maskin som kj\u00f8rer GitLab<\/a><\/td><td>Gjenopprettet<\/td><td>En kopi p\u00e5 16 GiB av gjestens RAM inneholdt den 48-byte lange sesjonsn\u00f8kkelen. GitLab ble gjenopprettet med 80 prosjekter og 9 253 LFS-objekter.<\/td><td>Krypteringsprogrammet hadde allerede avsluttet omtrent 30 timer tidligere. Fullstendige RAM- og swap-skann fant ingen n\u00f8kkel.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Det tredje arkivet er det viktigste \u00e5 lese, for tittelen er l\u00e6rdommen i seg selv: \u00abaldri omstartet\u00bb betyr ikke gjenopprettelig. Det som betyr noe er om C3RB3R ransomware-prosessen fortsatt kj\u00f8rer. N\u00e5r den avslutter, nullstiller den n\u00f8kkelbufferen, og n\u00f8kkelen er borte. En n\u00f8kkel gjenopprettet fra et offer er ogs\u00e5 ubrukelig for et annet, fordi hver kj\u00f8ring genererer en ny \u00f8ktsn\u00f8kkel.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Hvorfor n\u00f8kkelen kun ligger i minnet<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Benjamin-zlt-analysen forklarer C3RB3R ransomware-filformatet i detalj, og forklarer b\u00e5de hvorfor dette fungerer og hvorfor det vanligvis ikke gj\u00f8r det.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Hver fil f\u00e5r sin egen tilfeldige ChaCha8-n\u00f8kkel.<\/strong> Den n\u00f8kkelen pakkes inn med en \u00f8ktshovedn\u00f8kkel ved hjelp av AES-256-CBC og lagres i en 588-byte trailer p\u00e5 slutten av filen.<\/li>\n\n\n\n<li><strong>\u00d8ktshovedn\u00f8kkelen er p\u00e5 48 byte:<\/strong> en 16-byte IV pluss en 32-byte AES-n\u00f8kkel. Den skrives aldri til disk. En global peker i den kj\u00f8rende prosessen peker p\u00e5 den.<\/li>\n\n\n\n<li><strong>Traileren inneholder ogs\u00e5 en blob som er pakket inn med angriperens offentlige n\u00f8kkel<\/strong> (RSA-2048), s\u00e5 uten den kj\u00f8rende prosessen er det bare angriperen som kan gjenopprette \u00f8ktsn\u00f8kkelen.<\/li>\n\n\n\n<li><strong>Ikke alle filer er fullstendig kryptert.<\/strong> I et utvalg p\u00e5 400 filer brukte omtrent 56 % segmentert modus, 31 % hadde bare de f\u00f8rste 1 MiB kryptert, og 13 % var kryptert fra ende til annen. Delvis krypterte filer er fortsatt ikke lesbare, men analysering av filslutt (footer) forteller deg hva som gjenst\u00e5r.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">S\u00e5 svakheten i C3RB3R ransomware er smal og tidsbegrenset: krypteringsprogrammet beholder hovedn\u00f8kkelen i minnet under hele \u00f8kten. Frys det mens det kj\u00f8rer, og du kan hente ut n\u00f8kkelen. Misser du det vinduet, sitter du igjen med den offentlige n\u00f8kkel-bloben, som er utformet for \u00e5 v\u00e6re umulig \u00e5 knekke.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">En offerhistorie: 50 TB og ingen \u00f8yeblikksbilder<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">En detaljert redegj\u00f8relse publisert p\u00e5 Xiaohongshu den 29. oktober 2026 av brukeren \u67ef\u57fa\u7231\u597d\u8005 f\u00f8lger et medlem av deres NAS-gruppe gjennom natten. Han la merke til C3RB3R ransomware-notatet, bekreftet C3RB3R INSTRUCTIONS-overskriften, og var n\u00e6re ved \u00e5 kj\u00f8pe Bitcoin f\u00f8r gruppen viste ham GitHub-sakene.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Han brukte deretter en AI-kodingsassistent over SSH for \u00e5 unders\u00f8ke. Den fant og fr\u00f8s krypteringsprogrammet, slik at ingenting nytt ble kryptert etter det tidspunktet. Den fant ogs\u00e5 ut at et sannsynlig bakd\u00f8rsskjell hadde ligget p\u00e5 NAS-en i 37 dager og hadde aktivert telnet som root, noe som betyr at det opprinnelige innbruddet og krypteringen skjedde med over en m\u00e5neds mellomrom. Den skrev et bevisinnsamlingsskript og ventet, helt korrekt, p\u00e5 hans bekreftelse f\u00f8r den kj\u00f8rte noe som root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hellet hans var at C3RB3R ransomware er tregt. Med mer enn 50 TB \u00e5 tygge seg gjennom, hadde krypteringsprogrammet bare n\u00e5dd bildene hans fra 2024, og de fantes det en kald kopi av p\u00e5 en skystasjon. Han flyttet arbeidsdata til en mindre NAS og parkerte det krypterte volumet til senere. Hans egen oppsummering var kontant: han hadde ingen \u00f8yeblikksbilder, og med \u00f8yeblikksbilder ville dette v\u00e6rt enkelt \u00e5 fikse. Et annet offer p\u00e5 X oppsummerte den samme l\u00e6rdommen fra den andre siden: RAID 6 pluss tre sikkerhetskopisett, alle p\u00e5 samme boks, alle kryptert sammen.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Hvordan vi holder C3RB3R ransomware unna sikkerhetskopiene v\u00e5re<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hver eneste historie om tapte data ovenfor har samme m\u00f8nster: sikkerhetskopiene var tilgjengelige fra maskinen som ble overtatt. C3RB3R ransomware krypterer alt den kompromitterte DSM kan skrive til, s\u00e5 l\u00f8sningen er \u00e5 oppbevare minst \u00e9n kopi et sted DSM overhodet ikke kan skrive til. Dette er hvordan vi gj\u00f8r det for nettstedene vi er vert for, og det f\u00f8lger 3-2-1-1-0-regelen.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regel<\/th><th>Betydning<\/th><th>Slik gj\u00f8r vi det<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tre kopier av dataene<\/td><td>Den aktive VM-en, en replika p\u00e5 en sekund\u00e6r NAS, og en planlagt eksport<\/td><\/tr><tr><td>2<\/td><td>To typer medier<\/td><td>NAS-volumer pluss en USB-stasjon og en skystasjon<\/td><\/tr><tr><td>1<\/td><td>\u00c9n kopi eksternt<\/td><td>Eksporter synkronisert til Google Drive med Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>\u00c9n kopi frakoblet eller uforanderlig<\/td><td>VM-\u00f8yeblikksbilder p\u00e5 vertssiden som gjesten ikke kan r\u00f8re, pluss den frakoblede USB-eksporten<\/td><\/tr><tr><td>0<\/td><td>Null feil ved gjenoppretting<\/td><td>Vi gjenoppretter og starter fra replikaene i praksis n\u00e5r vi flytter VM-er mellom verter<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Kj\u00f8r Docker i Virtual DSM, ikke p\u00e5 verten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">V\u00e5re WordPress-containere kj\u00f8rer ikke p\u00e5 den fysiske NAS-en. De kj\u00f8rer i en Virtual DSM-gjest, og gjesten beskyttes av Virtual Machine Manager p\u00e5 verten. Hvis C3RB3R ransomware f\u00e5r root-tilgang i gjesten, overtar de den gjesten og ingenting annet. \u00d8yeblikksbildene av gjesten ligger p\u00e5 vertslagringen, utenfor gjestens filsystem, s\u00e5 ransomware i VM-en kan ikke se dem, enn si kryptere eller slette dem. Gjenoppretting er en tilbakerulling til et \u00f8yeblikksbilde som m\u00e5les i minutter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro legger til delene som gj\u00f8r dette til en ekte sikkerhetskopi: en beskyttelsesplan som tar \u00f8yeblikksbilde av VM-en og replikerer den til en sekund\u00e6r NAS i klyngen, slik at en nede vert ogs\u00e5 er dekket. Klyngen v\u00e5r best\u00e5r av en DS1621xs+ og en DS1525+ som replikerer til hverandre. Vi har beskrevet <a href=\"https:\/\/synopower.club\/nb\/docs\/vmm-backup-google-drive-cloud-sync\/\">planlagt eksport og Cloud Sync til Google Drive<\/a> -delen separat, og <a href=\"https:\/\/synopower.club\/nb\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">sammenligningen av gratis VMM mot VMM Pro<\/a> forklarer hvilke deler som krever lisensen.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"VMM Pro-beskyttelsesplan som replikerer en Virtual DSM-gjest til en ekstra NAS som forsvar mot C3RB3R-ransomware\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">V\u00e5r Virtual DSM-gjest spc_4C8G: \u00f8yeblikksbilder hver 12. time, replikert fra DS1621xs+ til DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Hvis du kj\u00f8rer Docker direkte p\u00e5 DSM, b\u00f8r du bruke uforanderlige \u00f8yeblikksbilder<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ikke alle \u00f8nsker et VM-lag. Hvis containerne dine kj\u00f8rer p\u00e5 verten, er uforanderlige \u00f8yeblikksbilder forsvaret mot C3RB3R-l\u00f8sepengevirus. Sl\u00e5 dem p\u00e5 i Snapshot Replication for den delte mappen som inneholder containerdataene dine. De krever DSM 7.2 eller nyere og et Btrfs-volum, og i l\u00e5seperioden kan ingen slette dem, inkludert en administratorkonto angriperen har overtatt. To detaljer er helt avgj\u00f8rende:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Bruk bind-mounts til en delt mappe<\/strong> som for eksempel <code>\/volume1\/docker\/app<\/code>. Navngitte Docker-volumer ligger under <code>\/volume1\/@docker<\/code>, som ikke er en delt mappe og som overhodet ikke kan tas \u00f8yeblikksbilde av.<\/li>\n\n\n\n<li><strong>Dump databaser til en fil f\u00f8r \u00f8yeblikksbildet tas.<\/strong> Et \u00f8yeblikksbilde av en kj\u00f8rende MariaDB er som en kopi tatt ved str\u00f8mbrudd. Et planlagt <code>mysqldump<\/code> i den samme delte mappen gir deg et rent gjenopprettingspunkt som \u00f8yeblikksbildet deretter l\u00e5ser.<\/li>\n\n\n\n<li><strong>Velg en l\u00e5seperiode som er lengre enn en angriper kan sitte stille.<\/strong> Offeret ovenfor hadde en bakd\u00f8r i 37 dager f\u00f8r krypteringen startet. Syv dager med uforanderlige \u00f8yeblikksbilder ville ikke n\u00e5dd tilbake til en ren tilstand.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Snapshot Replication-innstillinger med uforanderlige \u00f8yeblikksbilder aktivert for \u00e5 beskytte en delt mappe mot C3RB3R-ransomware\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Innstillinger for en delt mappe: en daglig tidsplan med uforanderlige \u00f8yeblikksbilder l\u00e5st i 30 dager.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">V\u00e5rt ekstra lag: Active Insight tar et \u00f8yeblikksbilde n\u00e5r krypteringen starter<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Her er laget de fleste guider overser. Active Insight, Synologys skyoverv\u00e5kingstjeneste, kan overv\u00e5ke filaktivitet p\u00e5 de delte mappene dine, og s\u00e5 snart den vurderer at den ser p\u00e5 et l\u00f8sepengevirus, reagerer den p\u00e5 egen h\u00e5nd. Synology dokumenterer det i sin <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">NAS-sikkerhetsguide<\/a>: n\u00e5r en l\u00f8sepengevirushendelse oppdages, sender Active Insight et hendelsesvarsel og tar automatisk et \u00f8yeblikksbilde av den delte mappen, og p\u00e5 modeller som st\u00f8tter det, er dette \u00f8yeblikksbildet uforanderlig.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hvorfor dette betyr noe for spesielt C3RB3R-l\u00f8sepengevirus: krypteringsprogrammet til C3RB3R-l\u00f8sepengevirus er tregt. Offeret med mer enn 50 TB var bare kommet til 2024-bildene sine da han oppdaget det. Et \u00f8yeblikksbilde som tas n\u00e5r krypteringsm\u00f8nsteret f\u00f8rst vises, fryser alt som ikke har blitt r\u00f8rt enn\u00e5, noe som kan utgj\u00f8re det meste av volumet. Det bryr seg heller ikke om hvordan C3RB3R-l\u00f8sepengevirus kom seg inn, fordi det overv\u00e5ker hva som skjer med filene, ikke innloggingssiden. P\u00e5 v\u00e5r DS1621xs+ viser siden for filaktivitet at beskyttelse mot l\u00f8sepengevirus st\u00e5r som Beskyttet.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Active Insight File Activity-side som viser beskyttelse mot l\u00f8sepengevirus som Beskyttet p\u00e5 en DS1621xs+, et sikkerhetsnett mot C3RB3R-l\u00f8sepengevirus\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Active Insight Filaktivitet p\u00e5 v\u00e5r DS1621xs+: beskyttelse mot l\u00f8sepengevirus er p\u00e5, s\u00e5 en oppdaget C3RB3R-l\u00f8sepengevirushendelse utl\u00f8ser et automatisk \u00f8yeblikksbilde.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Les begrensningene f\u00f8r du stoler p\u00e5 funksjonen. De kommer fra Synologys <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">dokumentasjon for filaktivitet<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Overv\u00e5king av filaktivitet er sl\u00e5tt av som standard.<\/strong> Registrer NAS-en for Active Insight i Control Panel, og aktiver deretter overv\u00e5king for hver vert i Active Insight-portalen.<\/li>\n\n\n\n<li><strong>Den krever Snapshot Replication,<\/strong> DSM 7.2 eller nyere, Active Insight 3.0.2 eller nyere, minst 1 GB minne og en Active Insight-lisens tildelt den aktuelle NAS-en.<\/li>\n\n\n\n<li><strong>Maksimalt ett automatisk \u00f8yeblikksbilde per delt mappe per dag.<\/strong> Det er et sikkerhetsnett som tas etter oppdagelse, ikke en erstatning for planlagte uforanderlige \u00f8yeblikksbilder.<\/li>\n\n\n\n<li><strong>Ikke dekket:<\/strong> Opptaksmapper for Surveillance Station og delte mapper p\u00e5 eksterne USB-stasjoner.<\/li>\n\n\n\n<li><strong>Uforanderlighet avhenger av modellen.<\/strong> P\u00e5 en modell uten uforanderlige \u00f8yeblikksbilder kan en angriper med root-tilgang fortsatt slette det automatiske \u00f8yeblikksbildet, s\u00e5 kombiner det med den uforanderlige tidsplanen ovenfor.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Vil du ha det samme oppsettet?<\/strong> SynoPower Club selger ekte lisenser for begge byggesteinene: en <a href=\"https:\/\/synopower.club\/nb\/virtual-dsm-vdsm-license-pack\/\">Virtual DSM (VDSM)-lisens<\/a> for \u00e5 kj\u00f8re Docker-tjenestene dine i en isolert gjest, og en <a href=\"https:\/\/synopower.club\/nb\/synology-vmm-pro-license\/\">VMM Pro-lisens<\/a> for beskyttelsesplaner, replikering p\u00e5 tvers av NAS og live-migrering. N\u00f8kler leveres via e-post.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/nb\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en Virtual DSM-lisens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/nb\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en VMM Pro-lisens<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Hvor du finner flere offisielle ressurser<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R-utpressingsvare p\u00e5 Synology er to dager gammel offentlig i skrivende stund, og det finnes ingen offisiell videodekning enn\u00e5, s\u00e5 denne seksjonen lister opp prim\u00e6rkilder i stedet for veiledninger.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synology sin sikkerhetsadvarsel<\/a> fra 29. oktober 2026, som ber brukere med utdaterte DSM-versjoner om \u00e5 oppdatere umiddelbart og aktivere automatiske oppdateringer, fulgt opp 30. oktober av en kundee-post som bekrefter at SA-24:20 var den eneste s\u00e5rbarheten involvert.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> og <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> er versjonstabellene. Sjekk din byggversjon i Kontrollpanel, deretter Oppdater og gjenopprett, mot begge.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en Proxmox VE virtuell maskin som kj\u00f8rer GitLab<\/a> er den beste indeksen over alle kjente tilfeller, inkludert de som ikke dekkes her, og den klareste forklaringen p\u00e5 n\u00e5r minneetterforskning er hensiktsl\u00f8s.<\/li>\n\n\n\n<li>De tre r\/synology-tr\u00e5dene lenket til ovenfor, spesielt den forensiske rapporten, som inneholder trinnvise unders\u00f8kelseskommandoer for skrivebeskyttet disk: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Vel, det skjedde til slutt<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Synologys egen sjekkliste (30. oktober 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Synologys e-post til kunder avsluttes med fire trinn. De er korte, og hver eneste av dem er viktig mot C3RB3R-ransomware:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Sjekk for inntrengere.<\/strong> C3RB3R-ransomware etterlater seg planlagt persistens, s\u00e5 kj\u00f8r en skanning med Security Advisor, og se deretter i Task Scheduler etter skripter du ikke har opprettet, og i User and Group etter administratorkontoer du ikke har lagt til. Hvis noe ser feil ut, kontakt Synology Support.<\/li>\n\n\n\n<li><strong>Oppdater alt.<\/strong> Installer den nyeste DSM i Control Panel, Update and Restore, og oppdater deretter alle pakker i Package Center.<\/li>\n\n\n\n<li><strong>Sl\u00e5 p\u00e5 automatiske oppdateringer<\/strong> i Update and Restore, slik at fremtidige sikkerhetsoppdateringer mottas s\u00e5 snart de gis ut.<\/li>\n\n\n\n<li><strong>Ha en ekstern sikkerhetskopi.<\/strong> Bruk Hyper Backup og Snapshot Replication til \u00e5 oppbevare en kopi p\u00e5 et annet sted, og sjekk regelmessig at sikkerhetskopieringsoppgavene faktisk fullf\u00f8res.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Trinn \u00e9n er det folk hopper over. Hvis enheten din var tilgjengelig fra internett f\u00f8r feilrettingen i desember 2024, kan C3RB3R-ransomware allerede ha f\u00e5tt et fotfeste, og det \u00e5 oppdatere i dag forteller deg ikke om noen allerede er p\u00e5 innsiden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Et gratis verkt\u00f8y som kj\u00f8rer sjekken for deg<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hvis du er komfortabel med en terminal, kan trinn \u00e9n n\u00e5 v\u00e6re \u00e9n enkelt kommando. synology-nas-cli er et verkt\u00f8y for kommandolinjen med \u00e5pen kildekode under MIT-lisensen, utgitt 30. oktober 2026 av den uavhengige utvikleren Akari Sora. Det logger p\u00e5 DSM via web-API-et og gransker enheten mot denne kampanjen. Prosjektet ligger p\u00e5 GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vi leste gjennom koden f\u00f8r vi lenket til den. Det bruker bare Pythons standardbibliotek, og det kommuniserer ikke med noe annet enn din NAS, Synology-nedlastingsserveren, PyPI og soimy-redningsverkt\u00f8ysettet. Det sender ingen telemetri, og den grunnleggende granskingen er skrivebeskyttet. Dette er hva det sjekker:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Oppdateringsniv\u00e5.<\/strong> Din DSM-byggversjon mot Synology-SA-26:13, som ogs\u00e5 dekker den eldre SA-24:20-fixen, og dine installerte pakker mot SA-26:14.<\/li>\n\n\n\n<li><strong>Eksponering.<\/strong> QuickConnect, UPnP-portvideresending p\u00e5 ruteren, DSM-brannmuren, AutoBlock, SMB1 og den innebygde admin-kontoen.<\/li>\n\n\n\n<li><strong>Spor av C3RB3R-ransomware.<\/strong> De innsatte innloggingsstrengene i tilkoblingsloggen, <code>\/etc\/cron.d\/synot*<\/code> -oppf\u00f8ringer, <code>libgld<\/code> og <code>qnetd<\/code> -bin\u00e6rfiler, ekstra root-kontoer, SSH-n\u00f8kler og l\u00f8sepengenotater p\u00e5 delte mapper.<\/li>\n\n\n\n<li><strong>\u00d8yeblikksbilder.<\/strong> Delte mapper som ikke har noen fungerende tidsplan for \u00f8yeblikksbilder.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Det kan ogs\u00e5 rette opp i det meste av det det finner. Hvis filer blir kryptert akkurat n\u00e5, fryser contain-kommandoen kryptereren med SIGSTOP, det samme trekket som trinn to i v\u00e5r f\u00f8rstehjelpsliste. Rescue-kommandoen styrer deretter soimy-verkt\u00f8ysettet for \u00e5 fange opp minnet og s\u00f8ke etter n\u00f8kkelen.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # skrivebeskyttet gransking<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Les disse merknadene f\u00f8r du lar det endre noe:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Det er helt nytt.<\/strong> Prosjektet er noen dager gammelt, kommer fra \u00e9n enkelt utvikler, er ikke tilknyttet Synology og har hatt lite ekstern gjennomgang. Start med den skrivebeskyttede granskingen og pr\u00f8vekj\u00f8ringen (dry run).<\/li>\n\n\n\n<li><strong>Brannmur-fixen kan l\u00e5se deg ute.<\/strong> Det endrer DSM-brannmuren til \u00e5 avvise alt unntatt nettverkene du oppgir. Kj\u00f8r det fra en datamaskin p\u00e5 det samme lokalnettverket (LAN), og vit hvor RESET-knappen er.<\/li>\n\n\n\n<li><strong>Det sl\u00e5r av QuickConnect.<\/strong> Det er den sikreste innstillingen, men hvis familien din bruker Synology Photos eller Surveillance Station via QuickConnect, b\u00f8r du sette opp VPN eller Tailscale f\u00f8rst.<\/li>\n\n\n\n<li><strong>Dyp-skann (deep scan), contain og rescue kj\u00f8rer som root.<\/strong> De fungerer via en midlertidig oppgave i Oppgaveplanlegger (Task Scheduler), fordi det er den eneste m\u00e5ten \u00e5 lese logger som krever root-tilgang og fryse prosesser.<\/li>\n\n\n\n<li><strong>README foresl\u00e5r \u00e5 overlate det til en AI-agent.<\/strong> Hvis du gj\u00f8r det, b\u00f8r du beholde passordet i en passordbehandler i stedet for i chatten, og bekrefte korrigeringen selv.<\/li>\n\n\n\n<li><strong>Minneredning (memory rescue) fungerer bare mens kryptereren kj\u00f8rer.<\/strong> Samme regel gjelder som for de tre GitHub-sakene.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">For resten av sikringsbildet, v\u00e5re veiledninger om <a href=\"https:\/\/synopower.club\/nb\/docs\/synology-nas-security-public-website\/\">\u00e5 kj\u00f8re et offentlig nettsted p\u00e5 en Synology NAS<\/a> og om <a href=\"https:\/\/synopower.club\/nb\/docs\/synology-threat-prevention-blind-spots\/\">hva Threat Prevention kan og ikke kan se<\/a> dekker nettverkssiden, og <a href=\"https:\/\/synopower.club\/nb\/synology-php2shell-emergency-patch\/\">patch-veiledningen for PHP2Shell<\/a> dekker det andre kritiske problemet som dukket opp samme uke.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Begrensninger og sikkerhetsmerknader for C3RB3R-utpressingsvare<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Oppdatering fjerner ikke en eksisterende infeksjon.<\/strong> Minst ett offer fant ut at cron-perstistensen fortsatt var p\u00e5 plass etter oppgradering til nyeste DSM. Hvis du var utsatt mens du var uoppdatert, sjekk <code>\/etc\/cron.d<\/code>, Oppgaveplanlegger, oppstartsskripter og aktiverte tjenester som telnet, og roter deretter alle legitimasjoner.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Oppdatert er ikke det samme som ren.<\/strong> Et Reddit-offer trodde DSM var oppdatert, og et annet ble rammet selv med 2FA og et sterkt passord p\u00e5 plass. En enhet som ble kompromittert f\u00f8r den ble sikkerhetsoppdatert, kan ta med seg skadeprogrammet gjennom hver senere oppdatering. Behandle enhver DSM-innloggingsside som internett kan n\u00e5 som et m\u00e5l, inkludert de som er publisert via UPnP som du aldri har satt opp bevisst. Bruk VPN eller Tailscale for fjerntilgang, og sl\u00e5 av UPnP p\u00e5 ruteren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID og lokale sikkerhetskopier er ikke sikkerhetskopier mot C3RB3R-utpressingsvare.<\/strong> Alt den kompromitterte DSM-enheten kan skrive til vil bli kryptert, inkludert Hyper Backup-m\u00e5l p\u00e5 samme enhet og monterte nettverksdelinger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ikke betal f\u00f8r du har lest sakene.<\/strong> \u00c5 betale C3RB3R-bakmennene finansierer den neste b\u00f8lgen og garanterer ingenting. Hvis krypteringen fortsatt kj\u00f8rer, er fritt minne-metoden din beste sjanse. Hvis den ikke gj\u00f8r det, er de realistiske veiene dine egne eksterne kopier.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>V\u00e6r forsiktig med hva du limer inn i en AI-assistent.<\/strong> AI-verkt\u00f8y hjalp flere ofre her, men ikke gi dem passord, gjenopprettede n\u00f8kler, fullstendige minnedumper eller bedriftsdata. La dem foresl\u00e5 kommandoer, og kj\u00f8r alt som krever root selv.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Klonet maskinvare medf\u00f8rer ekstra risiko.<\/strong> Flere dokumenterte ofre kj\u00f8rte DSM p\u00e5 uekte maskinvare, hvor offisielle oppdateringer er vanskelige eller umulige \u00e5 installere. Hvis det er ditt oppsett, m\u00e5 du g\u00e5 ut fra at du ikke er oppdatert og holde den helt borte fra internett.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Referanser<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synologys sikkerhetsadvarsel om DSM-utpressingsvareangrep<\/a>, 29. oktober 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 og de rettede DSM-byggene.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 og CVE-2026-13684, publisert 18. september 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Benjamin-zlt C3RB3R-l\u00f8sepengevirus bare-metal-redning<\/a>, filformatet, n\u00f8kkeloppsettet og SIGSTOP-arbeidsflyten.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">synology-nas-cli av Akari Sora<\/a>, et verkt\u00f8y for gransking og hendelsesh\u00e5ndtering med \u00e5pen kildekode for denne kampanjen.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect om C3RB3R-kampanjen<\/a>, oppsummerer 360-attribusjonen og tidslinjen.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: forbedre sikkerheten til din Synology NAS<\/a>, inkludert hvordan Active Insight tar et \u00f8yeblikksbilde av en delt mappe n\u00e5r det oppdager ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Ofte stilte sp\u00f8rsm\u00e5l<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hva er C3RB3R-utpressingsvare?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>C3RB3R-utpressingsvare er en Linux-variant av Cerber-familien som har rammet Synology NAS-enheter siden slutten av oktober 2026. Den gir filer nytt navn med utvidelsen L0CK3D, legger igjen et l\u00f8sepengenotat kalt read-me3.txt i hver mappe, og krever Bitcoin via en Tor-side.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hvordan kommer C3RB3R-ransomware seg inn i en Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Gjennom DSM eksponert mot internett. Den 30. oktober 2026 bekreftet Synology at det kun utnytter CVE-2024-10441 fra Synology-SA-24:20, rettet i desember 2024, og at det ikke har noe med PHP2Shell \u00e5 gj\u00f8re. Oppdater DSM, sjekk for skripter og administratorkontoer du ikke har opprettet, og slutt \u00e5 eksponere DSM direkte.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Kan filer kryptert av C3RB3R-ransomware dekrypteres gratis?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Bare hvis krypteringsprosessen fortsatt kj\u00f8rer. Frys den med SIGSTOP og dump minnet, fordi sesjonsn\u00f8kkelen bare finnes der. N\u00e5r prosessen avsluttes eller NAS-en starter p\u00e5 nytt, kan ingen offentlige verkt\u00f8y gjenopprette n\u00f8kkelen.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">B\u00f8r jeg starte p\u00e5 nytt eller sl\u00e5 av en infisert NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nei. Kutt nettverkstilkoblingen i stedet. En omstart eller kill -9 \u00f8delegger den eneste kopien av n\u00f8kkelen. Frys prosessen f\u00f8rst, lagre minnet p\u00e5 en annen disk, og rydd opp f\u00f8rst etterp\u00e5.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Fjerner en oppdatering av DSM C3RB3R-ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nei. Oppdatering tetter hullet, men fjerner ikke det som allerede er der. Ofre oppdaget at cron-skript overlevde oppgraderingen. Sjekk cron.d-katalogen, planlagte oppgaver og telnet, og endre alle passord.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Beskytter Synology-\u00f8yeblikksbilder mot C3RB3R-ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Uforanderlige \u00f8yeblikksbilder gj\u00f8r det, fordi ingen kan slette dem i l\u00f8pet av l\u00e5seperioden, ikke en gang en kapret administratorkonto. Active Insight legger til et sikkerhetsnett ved \u00e5 ta et \u00f8yeblikksbilde av en delt mappe automatisk n\u00e5r det oppdager ransomware, maksimalt \u00e9n gang om dagen per mappe.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hvorfor kj\u00f8re Docker i Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Fordi VM-\u00f8yeblikksbildene ligger p\u00e5 verten, utenfor gjesten. Ransomware som tar over gjesten, kan ikke se eller slette dem, s\u00e5 gjenoppretting er bare en tilbakerulling. VMM Pro legger til replikering til en ekstra NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Er det en god id\u00e9 \u00e5 betale l\u00f8sepengene?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Vi anbefaler det ikke. Betaling er ikke garantert \u00e5 fungere, og det finansierer neste angrep. Sjekk redningssakene p\u00e5 GitHub f\u00f8rst, og gjenopprett deretter fra kopier som oppbevares utenfor den infiserte NAS-en.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Gj\u00f8r slik at det neste C3RB3R-ransomwareangrepet koster deg en gjenoppretting, ikke l\u00f8sepenger.<\/strong> Kj\u00f8r Docker-tjenestene dine i Virtual DSM og beskytt hele gjesten med VMM Pro-beskyttelsesplaner, replikert til en ekstra NAS. SynoPower Club selger ekte lisenser for begge, med n\u00f8kler levert p\u00e5 e-post.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/nb\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en Virtual DSM-lisens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/nb\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">F\u00e5 en VMM Pro-lisens<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/nb\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}