{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/pl\/synology-c3rb3r-ransomware\/","title":{"rendered":"Ransomware C3RB3R na Synology: Pochodzenie, odzyskiwanie danych i jak zadba\u0107 o bezpiecze\u0144stwo"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>Ransomware C3RB3R<\/strong> zacz\u0105\u0142 pojawia\u0107 si\u0119 na urz\u0105dzeniach Synology NAS oko\u0142o 28 pa\u017adziernika 2026 r., a w ci\u0105gu jednego dnia sta\u0142 si\u0119 jedynym tematem na r\/synology. Pliki zostaj\u0105 zmienione i otrzymuj\u0105 <code>L0CK3D<\/code> rozszerzenie (zero, nie litera O), a ka\u017cdy folder otrzymuje <code>read-me3.txt<\/code> \u017c\u0105danie okupu w pliku tekstowym, a portal w sieci Tor \u017c\u0105da op\u0142aty w Bitcoinach. Najszybsze i najbardziej przydatne informacje nie pochodzi\u0142y z angloj\u0119zycznych serwis\u00f3w informacyjnych. Pochodzi\u0142y z chi\u0144skoj\u0119zycznych for\u00f3w, gdzie Synology ma ogromn\u0105 baz\u0119 u\u017cytkownik\u00f3w, oraz z trzech repozytori\u00f3w GitHub stworzonych przez ofiary, kt\u00f3re faktycznie odzyska\u0142y swoje dane lub udowodni\u0142y, \u017ce nie jest to mo\u017cliwe. Ten przewodnik zbiera to, co do tej pory potwierdzono na temat ransomware C3RB3R: sk\u0105d si\u0119 wzi\u0105\u0142, jak si\u0119 przedostaje, jedyn\u0105 \u015bcie\u017ck\u0119 odzyskiwania danych, kt\u00f3ra zadzia\u0142a\u0142a, oraz koncepcj\u0119 kopii zapasowych, kt\u00f3r\u0105 stosujemy, aby taki atak kosztowa\u0142 nas jedynie przywr\u00f3cenie danych, a nie okup.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aktualizacja, 31 pa\u017adziernika 2026 r.:<\/strong> Firma Synology ustali\u0142a ju\u017c punkt wej\u015bcia. W wiadomo\u015bci e-mail do klient\u00f3w z 30 pa\u017adziernika potwierdzi\u0142a, \u017ce ransomware C3RB3R wykorzystuje wy\u0142\u0105cznie luk\u0119 naprawion\u0105 w Synology-SA-24:20, za\u0142atan\u0105 w grudniu 2024 roku, a kampania ta nie jest powi\u0105zana z luk\u0105 PHP2Shell za\u0142atan\u0105 w tym samym miesi\u0105cu. Dodali\u015bmy w\u0142asn\u0105 czteroetapow\u0105 list\u0119 kontroln\u0105 Synology, nasz\u0105 interpretacj\u0119, dlaczego ataki nast\u0105pi\u0142y w tym konkretnym momencie, oraz jedn\u0105 dodatkow\u0105 warstw\u0119, z kt\u00f3rej korzystamy, a za kt\u00f3r\u0105 wi\u0119kszo\u015b\u0107 w\u0142a\u015bcicieli ju\u017c p\u0142aci: ochron\u0119 przed ransomware w Active Insight.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Punkt SynoPower Club:<\/strong>Jedna z ofiar na chi\u0144skiej grupie NAS mia\u0142a ponad 50 TB na jednym urz\u0105dzeniu i brak migawek. Proces szyfrowania by\u0142 na tyle wolny, \u017ce dotkn\u0105\u0142 tylko jej zdj\u0119cia z 2024 roku, a te akurat mia\u0142y zimn\u0105 kopi\u0119 w chmurze. Inna osoba straci\u0142a pi\u0119\u0107 lat prywatnych repozytori\u00f3w GitLab, poniewa\u017c RAID 6 i trzy kopie zapasowe znajdowa\u0142y si\u0119 na tej samej maszynie. Ransomware C3RB3R nie pokona\u0142 ich pami\u0119ci masowej, pokona\u0142 ich architektur\u0119 kopii zapasowych. Nasze publiczne witryny uruchamiamy jako Docker wewn\u0105trz Virtual DSM, robimy migawk\u0119 ca\u0142ego systemu go\u015bcia z poziomu hosta, replikujemy j\u0105 na drugi NAS i harmonogramowo eksportujemy na USB oraz do chmury. Je\u015bli system go\u015bcia zostanie dzi\u015b w nocy zaszyfrowany, przywracamy go do ostatniej migawki, a atakuj\u0105cy nic nie zyskuje.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Czym jest ransomware C3RB3R?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ransomware C3RB3R to wersja dla systemu Linux z rodziny Cerber \u2013 linii oprogramowania ransomware istniej\u0105cej od 2016 roku, kt\u00f3ra od lat z przerwami atakuje urz\u0105dzenia NAS. Firma 360 przypisuje mu fal\u0119 atak\u00f3w na Synology z pa\u017adziernika 2026 roku. Na zainfekowanym urz\u0105dzeniu DSM proces szyfruj\u0105cy ransomware C3RB3R dzia\u0142a jako statycznie zlinkowany, spakowany programem UPX plik binarny x86-64 o nazwie <code>libgld<\/code>. Po uruchomieniu usuwa w\u0142asny plik, wi\u0119c uruchomiony proces wy\u015bwietla <code>(usuni\u0119to)<\/code> obok \u015bcie\u017cki pliku wykonywalnego.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">To, co widzisz jako w\u0142a\u015bciciel serwera zaatakowanego przez ransomware C3RB3R, jest sp\u00f3jne we wszystkich zg\u0142oszeniach:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Pliki ze zmienion\u0105 nazw\u0105 na <code>name.ext.L0CK3D<\/code>. Niekt\u00f3re raporty podaj\u0105 pisowni\u0119 <code>LOCK3D<\/code>, ale analizy na GitHubie cytuj\u0105 wersj\u0119 z zerem.<\/li>\n\n\n\n<li>Plik z \u017c\u0105daniem okupu o nazwie <code>read-me3.txt<\/code> w ka\u017cdym zaszyfrowanym folderze, z nag\u0142\u00f3wkiem C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Strona w sieci Tor zatytu\u0142owana C3rb3r Decryptor. Zrzut ekranu jednej z ofiar pokazywa\u0142 kwot\u0119 0,03696 BTC (oko\u0142o 2952 USD) w przypadku wp\u0142aty w ci\u0105gu pi\u0119ciu dni, wzrastaj\u0105c\u0105 dwukrotnie do 0,07392 BTC (oko\u0142o 5904 USD) po tym czasie, wraz z odliczaj\u0105cym zegarem.<\/li>\n\n\n\n<li>Utrzymywanie si\u0119 w systemie poprzez wpisy cron pasuj\u0105ce do <code>\/etc\/cron.d\/synot*<\/code>, kt\u00f3re odtwarzaj\u0105 si\u0119 same i w co najmniej jednym przypadku przetrwa\u0142y aktualizacj\u0119 DSM.<\/li>\n\n\n\n<li>Pliki kopii zapasowych na tym samym wolumenie zaszyfrowane wraz ze wszystkim innym, w tym miejsca docelowe Hyper Backup i zrzuty baz danych.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Gdzie to si\u0119 zacz\u0119\u0142o: r\/synology i chi\u0144skie fora<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ransomware C3RB3R po raz pierwszy pojawi\u0142 si\u0119 w j\u0119zyku angielskim na r\/synology, gdzie ofiary publikowa\u0142y wpisy w odst\u0119pie oko\u0142o jednego dnia, w dniach 28 i 29 pa\u017adziernika 2026 r. W ci\u0105gu kilku godzin czytelnicy zg\u0142aszali, \u017ce nowy w\u0105tek pojawia\u0142 si\u0119 przy ka\u017cdym od\u015bwie\u017ceniu subreddita. Trzy z tych w\u0105tk\u00f3w warto przeczyta\u0107 w ca\u0142o\u015bci, poniewa\u017c ka\u017cdy z nich wnosi inny element:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Analiza \u015bledcza.<\/strong> W\u0142a\u015bciciel DS918+ z systemem DSM 7.2.1-69057 Update 5, z interfejsem sieciowym dost\u0119pnym z Internetu, wy\u0142\u0105czy\u0142 serwer i zbada\u0142 dyski w trybie tylko do odczytu na ho\u015bcie Proxmox. Dziennik uwierzytelniania DSM zawiera\u0142 \u017c\u0105danie logowania, kt\u00f3rego pole konta zawiera\u0142o wstrzykni\u0119te linie <code>LD_PRELOAD<\/code> i <code>LD_DEBUG_OUTPUT<\/code> oraz zakodowane polecenie pow\u0142oki, a tak\u017ce plik w <code>\/etc\/cron.d<\/code>. Odpowiada to opublikowanej technice CVE-2024-10441. Kopia zapasowa 3-2-1 sprawi\u0142a, \u017ce atak kosztowa\u0142 jedynie przywr\u00f3cenie danych, a nie okup. Przeczytaj o tym tutaj: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">C\u00f3\u017c, w ko\u0144cu to si\u0119 sta\u0142o. M\u00f3j pierwszy prawdziwy incydent z ransomware<\/a>.<\/li>\n\n\n\n<li><strong>U\u017cytkownik korzystaj\u0105cy tylko z Photos.<\/strong> Ten w\u0142a\u015bciciel wierzy\u0142, \u017ce DSM jest aktualny i u\u017cywa\u0142 tylko Synology Photos, ale funkcja UPnP w routerze by\u0142a w\u0142\u0105czona. Po zresetowaniu w trybie 2 foldery obj\u0119te funkcj\u0105 Snapshot Replication powr\u00f3ci\u0142y. Foldery bez migawek \u2013 nie, a lokalny dysk USB z Hyper Backup zosta\u0142 zaszyfrowany razem z NAS. Przeczytaj o tym tutaj: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Zaatakowany przez ransomware c3rb3r dzi\u015b rano<\/a>.<\/li>\n\n\n\n<li><strong>Dyskusja na temat QuickConnect.<\/strong> Autor wpisu zauwa\u017cy\u0142 problem dopiero po awarii DSM, gdy ponowna instalacja ujawni\u0142a zaszyfrowane pliki. W odpowiedziach inny czytelnik ze silnym has\u0142em, 2FA i w\u0142\u0105czonym QuickConnect napisa\u0142, \u017ce r\u00f3wnie\u017c zosta\u0142 zaatakowany, a inni zwr\u00f3cili uwag\u0119, \u017ce u\u017cytkownicy korzystaj\u0105cy tylko z aplikacji mog\u0105 ca\u0142kowicie wy\u0142\u0105czy\u0107 dost\u0119p do DSM w QuickConnect. Przeczytaj o tym tutaj: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Zaatakowany przez ransomware C3RB3R<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Analizuj\u0105c te przypadki razem, schemat jest jasny. Ransomware C3RB3R potrzebowa\u0142 jedynie dost\u0119pnej dla niego strony logowania DSM, niczego wi\u0119cej. Has\u0142a i 2FA nie pomog\u0142y, poniewa\u017c exploit uruchamia si\u0119 przed uwierzytelnieniem. W analizie \u015bledczej uj\u0119to to wprost: \u017c\u0105danie dotar\u0142o do podatnej aplikacji i kolejne zapytanie o has\u0142o niczego by nie zmieni\u0142o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">G\u0142\u0119bsze prace techniczne odbywa\u0142y si\u0119 w j\u0119zyku chi\u0144skim. Ofiary w grupach na WeChat i Xiaohongshu publikowa\u0142y \u017c\u0105dania okupu, por\u00f3wnywa\u0142y linie czasowe i odsy\u0142a\u0142y si\u0119 nawzajem do repozytori\u00f3w na GitHubie opisanych poni\u017cej. Tajwa\u0144ska spo\u0142eczno\u015b\u0107 Synology na Facebooku <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">zebra\u0142a te same linki do odzyskiwania danych<\/a> dla lokalnych u\u017cytkownik\u00f3w. Ma to sens: Synology to tajwa\u0144ska firma, a jej najwi\u0119ksze spo\u0142eczno\u015bci u\u017cytkownik\u00f3w s\u0105 chi\u0144skoj\u0119zyczne, st\u0105d te\u017c wzi\u0119\u0142a si\u0119 tam najwi\u0119ksza liczba przypadk\u00f3w ransomware C3RB3R, a co za tym idzie \u2013 najszybsze rozpoznawanie wzorc\u00f3w.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sama firma Synology opublikowa\u0142a <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">komunikat bezpiecze\u0144stwa<\/a> 29 pa\u017adziernika 2026 r., informuj\u0105c o zidentyfikowaniu podmiot\u00f3w zagra\u017caj\u0105cych wykorzystuj\u0105cych luk\u0119 za\u0142atan\u0105 w grudniu 2024 r. w nieaktualnych wersjach DSM, i wzywaj\u0105c wszystkich do natychmiastowej aktualizacji.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Jak ransomware C3RB3R przedostaje si\u0119 do systemu<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Przez pierwsze dwa dni istnia\u0142y dwa potencjalne punkty wej\u015bcia. Synology od tego czasu potwierdzi\u0142o ten starszy. E-mail z 30 pa\u017adziernika wyja\u015bnia, \u017ce ataki wykorzystuj\u0105 tylko luk\u0119 za\u0142atan\u0105 w Synology-SA-24:20, a ransomware C3RB3R nie ma nic wsp\u00f3lnego z PHP2Shell. Poni\u017csza tabela przedstawia oba warianty tak, jak by\u0142y omawiane, poniewa\u017c par\u0119 360 nadal warto za\u0142ata\u0107.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology twierdzi<\/th><th>360 twierdzi<\/th><\/tr><\/thead><tbody><tr><td>Doradczy<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, zdalne wykonanie kodu bez uwierzytelnienia w demonie wtyczki systemowej<\/td><td>CVE-2026-13639 (logika logowania) i CVE-2026-13684 (SCGI), oba CVSS 9.8<\/td><\/tr><tr><td>Za\u0142atane<\/td><td>Listopad do grudnia 2024 r.<\/td><td>18 wrze\u015bnia 2026 r.<\/td><\/tr><tr><td>Poprawione kompilacje<\/td><td>DSM 7.2.2-72806 Aktualizacja 1, 7.2.1-69057 Aktualizacja 6, 7.2-64570 Aktualizacja 4, 7.1.1-42962 Aktualizacja 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Aktualizacja 4, 7.2.2-72806 Aktualizacja 9, 7.2.1-69057 Aktualizacja 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Dowody \u015bledcze wskazuj\u0105 na starszy b\u0142\u0105d u przynajmniej cz\u0119\u015bci ofiar. Najbardziej szczeg\u00f3\u0142owy opis na Reddicie dopasowa\u0142 w\u0142asne zachowane logi do opublikowanego exploita CVE-2024-10441, zauwa\u017caj\u0105c jednocze\u015bnie, \u017ce Synology tego nie potwierdzi\u0142o, a ten sam serwer by\u0142 r\u00f3wnie\u017c poni\u017cej poziomu poprawki SA-26:13. W opisie u\u017cytkownika soimy podano, \u017ce logi pami\u0119ci zainfekowanej maszyny wirtualnej wskazuj\u0105 na wstrzykni\u0119cie zmiennych \u015brodowiskowych przez wtyczk\u0119 logowania DSM, co jest zgodne z CVE-2024-10441, a publiczny dow\u00f3d koncepcji (PoC) wykorzystuj\u0105cy pole nazwy u\u017cytkownika pojawi\u0142 si\u0119 na GitHubie na kilka dni przed atakiem. Dwa z trzech udokumentowanych przypadk\u00f3w ratunkowych dzia\u0142a\u0142y na nieoryginalnym sprz\u0119cie z bootloaderem DS918+, z czego jeden na DSM 7.2-64570 Update 3, czyli dok\u0142adnie o jedn\u0105 aktualizacj\u0119 przed poprawk\u0105 CVE-2024-10441. Sprz\u0119t typu klon nie mo\u017ce \u0142atwo przyjmowa\u0107 oficjalnych aktualizacji, co czyni go naj\u0142atwiejszym celem.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Praktyczny wniosek si\u0119 nie zmieni\u0142: zaktualizuj system do kompilacji obejmuj\u0105cej oba ostrze\u017cenia i przesta\u0144 wystawia\u0107 DSM na dzia\u0142anie Internetu. Ale jedno pytanie pozosta\u0142o. Je\u015bli luka zosta\u0142a za\u0142atana w grudniu 2024 roku, dlaczego tak wiele urz\u0105dze\u0144 zosta\u0142o zainfekowanych ransomware C3RB3R w ci\u0105gu tych samych dw\u00f3ch dni w pa\u017adzierniku 2026 roku, w tym niekt\u00f3re, kt\u00f3rych w\u0142a\u015bciciele byli przekonani, \u017ce maj\u0105 aktualny system?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Umieszczony wcze\u015bniej, zdetonowany na zawo\u0142anie<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nasza interpretacja \u2013 b\u0119d\u0105ca naszym w\u0142asnym wnioskiem, a nie oficjalnym o\u015bwiadczeniem Synology \u2013 wskazuje, \u017ce w\u0142amanie ransomware C3RB3R i samo szyfrowanie to dwa osobne zdarzenia. Dowody na to wskazuj\u0105:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Backdoor pojawi\u0142 si\u0119 jako pierwszy.<\/strong> W opisanym poni\u017cej przypadku z Xiaohongshu pow\u0142oka backdoor znajdowa\u0142a si\u0119 na serwerze NAS przez 37 dni i w\u0142\u0105czy\u0142a telnet jako root, zanim chocia\u017c jeden plik zosta\u0142 zaszyfrowany.<\/li>\n\n\n\n<li><strong>Przetrwa aktualizacje.<\/strong> Wpisy cron w <code>\/etc\/cron.d\/synot*<\/code> odtwarzaj\u0105 si\u0119 same, a przynajmniej jedna poszkodowana osoba znalaz\u0142a je wci\u0105\u017c aktywne po aktualizacji do najnowszej wersji DSM. Aktualizacja zamkn\u0119\u0142a luk\u0119, ale pozostawi\u0142a intruza wewn\u0105trz.<\/li>\n\n\n\n<li><strong>Detonacje by\u0142y zsynchronizowane.<\/strong> Urz\u0105dzenia z zainstalowanym ransomware C3RB3R, kt\u00f3re zosta\u0142y zainfekowane w r\u00f3\u017cnym czasie i na r\u00f3\u017cnych kompilacjach, rozpocz\u0119\u0142y szyfrowanie w odst\u0119pie oko\u0142o 48 godzin od siebie.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ten wzorzec pasuje do atakuj\u0105cego, kt\u00f3ry miesi\u0105cami umieszcza\u0142 infekcje ransomware C3RB3R na nieza\u0142atanych urz\u0105dzeniach, a nast\u0119pnie zdalnie ustali\u0142 moment ataku. Wybranym momentem by\u0142 tydzie\u0144 PHP2Shell, kiedy ka\u017cdy administrator Synology by\u0142 zaj\u0119ty \u0142ataniem, wiele urz\u0105dze\u0144 zosta\u0142o w\u0142a\u015bnie zaktualizowanych, a w\u0142a\u015bciciele czuli si\u0119 bezpiecznie. Synology jednoznacznie twierdzi, \u017ce PHP2Shell nie by\u0142 drog\u0105 wej\u015bcia. S\u0142u\u017cy\u0142 jako przykrywka. Wniosek jest taki, \u017ce urz\u0105dzenie, kt\u00f3re by\u0142o wystawione na atak przed instalacj\u0105 poprawek, nale\u017cy traktowa\u0107 jako zainfekowane do czasu przeprowadzenia weryfikacji \u2013 czyli dok\u0142adnie tego, do czego zach\u0119ca pierwszy krok listy kontrolnej Synology.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Pierwsza reakcja na ransomware C3RB3R w 4 krokach<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Je\u015bli znajdziesz <code>L0CK3D<\/code> pliki w tej chwili, kolejno\u015b\u0107 dzia\u0142a\u0144 w ci\u0105gu najbli\u017cszych dziesi\u0119ciu minut decyduje o tym, czy odzyskanie jest w og\u00f3le mo\u017cliwe. Klucz odblokowuj\u0105cy Twoje pliki istnieje tylko wewn\u0105trz uruchomionego procesu ransomware C3RB3R. Ponowne uruchomienie, <code>kill -9<\/code> lub ponowna instalacja DSM go zniszczy.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Od\u0142\u0105cz sie\u0107, a nie zasilanie<\/h3>\n<div class=\"rank-math-step-content\"><p>Od\u0142\u0105cz po\u0142\u0105czenie WAN lub usu\u0144 przekierowania port\u00f3w i mapowania UPnP w routerze. Nie wy\u0142\u0105czaj serwera NAS ani go nie uruchamiaj ponownie. Zamknij wszelki dost\u0119p SSH lub telnet, kt\u00f3rego sam nie otworzy\u0142e\u015b.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Znajd\u017a i zamro\u017a proces szyfruj\u0105cy<\/h3>\n<div class=\"rank-math-step-content\"><p>Przez SSH jako root wy\u015bwietl list\u0119 proces\u00f3w, kt\u00f3rych plik wykonywalny zosta\u0142 usuni\u0119ty, a nast\u0119pnie wy\u015blij sygna\u0142 SIGSTOP za pomoc\u0105 kill -STOP i PID. Zamro\u017cony proces zachowuje swoj\u0105 pami\u0119\u0107, a jego pami\u0119\u0107 zawiera klucz sesyjny.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Zrzu\u0107 pami\u0119\u0107 zamro\u017conego procesu<\/h3>\n<div class=\"rank-math-step-content\"><p>Post\u0119puj zgodnie z instrukcjami z repozytorium Benjamin-zlt, aby odczyta\u0107 zapisywaln\u0105 pami\u0119\u0107 tego PID z systemu plik\u00f3w proc na osobny dysk. W przypadku maszyny wirtualnej sprawdzi si\u0119 r\u00f3wnie\u017c pe\u0142na migawka pami\u0119ci go\u015bcia wykonana z poziomu hiperwizora.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Zabezpiecz dowody, a nast\u0119pnie przeprowad\u017a czyszczenie<\/h3>\n<div class=\"rank-math-step-content\"><p>Pozostaw ka\u017cdy plik L0CK3D oraz \u017c\u0105danie okupu bez zmian. Skopiuj dane, kt\u00f3re nadal s\u0105 czytelne. Dopiero po zabezpieczeniu pami\u0119ci usu\u0144 wpisy synot z crona, zmie\u0144 wszystkie has\u0142a i zaktualizuj DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Polecenia dla krok\u00f3w 2 i 3 wygl\u0105daj\u0105 nast\u0119puj\u0105co. Przeczytaj instrukcje w repozytoriach przed uruchomieniem czegokolwiek, poniewa\u017c szczeg\u00f3\u0142y zale\u017c\u0105 od posiadanego pliku binarnego.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Krok 2: znajd\u017a proces szyfruj\u0105cy (jego plik wykonywalny wy\u015bwietla si\u0119 jako usuni\u0119ty)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">Czy mo\u017cesz to odszyfrowa\u0107? Trzy przypadki ratunkowe z GitHuba<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nie istnieje uniwersalne narz\u0119dzie do odszyfrowywania C3RB3R ransomware, a ka\u017cdy, kto takie sprzedaje, zgaduje. Istniej\u0105 natomiast trzy szczeg\u00f3\u0142owe studia przypadk\u00f3w, kt\u00f3re dok\u0142adnie pokazuj\u0105, kiedy odzyskanie danych jest mo\u017cliwe.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Repozytorium<\/th><th>Maszyna<\/th><th>Wynik<\/th><th>Dlaczego<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">soimy\/c3rb3r-rescue<\/a><\/td><td>DSM w maszynie wirtualnej Proxmox VE uruchamiaj\u0105cej GitLab<\/td><td>Odzyskano<\/td><td>Kopia pami\u0119ci RAM go\u015bcia o rozmiarze 16 GiB zawiera\u0142a 48-bajtowy klucz sesyjny. GitLab zosta\u0142 przywr\u00f3cony wraz z 80 projektami i 9253 obiektami LFS.<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Benjamin-zlt\/c3rb3r-baremetal-rescue<\/a><\/td><td>Klon DS918+ na sprz\u0119cie fizycznym (bare-metal), DSM 7.2<\/td><td>Odzyskano<\/td><td>Zamro\u017cono dzia\u0142aj\u0105cy proces szyfruj\u0105cy za pomoc\u0105 SIGSTOP i zrzucono oko\u0142o 2 GB jego pami\u0119ci. Odszyfrowano 84 500 plik\u00f3w (ok. 940 GB) w 2,5 godziny.<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">lllong1377\/c3rb3r-never-rebooted-still-no-key<\/a><\/td><td>Klon DS918+, DSM 7.2-64570 Update 3, 149 dni czasu pracy (uptime)<\/td><td>Nie odzyskano<\/td><td>Program szyfruj\u0105cy zako\u0144czy\u0142 dzia\u0142anie oko\u0142o 30 godzin wcze\u015bniej. Pe\u0142ne skanowanie pami\u0119ci RAM i przestrzeni swap nie wykaza\u0142o \u017cadnego klucza.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Trzecie repozytorium jest najwa\u017cniejsze do przeczytania, poniewa\u017c jego tytu\u0142 zawiera lekcj\u0119: brak ponownego uruchomienia nie oznacza mo\u017cliwo\u015bci odzyskania danych. Liczy si\u0119 to, czy proces ransomware C3RB3R nadal dzia\u0142a. Gdy si\u0119 zako\u0144czy, zeruje bufor klucza i klucz przepada. Klucz odzyskany u jednej ofiary jest bezu\u017cyteczny u innej, poniewa\u017c ka\u017cde uruchomienie generuje nowy klucz sesji.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Dlaczego klucz istnieje tylko w pami\u0119ci<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Analiza zrobiona przez Benjamin-zlt szczeg\u00f3\u0142owo opisuje format plik\u00f3w ransomware C3RB3R i wyja\u015bnia zar\u00f3wno, dlaczego to dzia\u0142a, jak i dlaczego zazwyczaj nie przynosi efektu.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Ka\u017cdy plik otrzymuje w\u0142asny, losowy klucz ChaCha8.<\/strong> Klucz ten jest szyfrowany g\u0142\u00f3wnym kluczem sesji przy u\u017cyciu algorytmu AES-256-CBC i przechowywany w 588-bajtowej stopce na ko\u0144cu pliku.<\/li>\n\n\n\n<li><strong>G\u0142\u00f3wny klucz sesji ma 48 bajt\u00f3w:<\/strong> 16-bajtowy IV plus 32-bajtowy klucz AES. Nigdy nie jest zapisywany na dysku. Wskazuje na niego globalny wska\u017anik wewn\u0105trz dzia\u0142aj\u0105cego procesu.<\/li>\n\n\n\n<li><strong>Stopka zawiera r\u00f3wnie\u017c obiekt blob zaszyfrowany kluczem publicznym napastnika<\/strong> (RSA-2048), wi\u0119c bez dzia\u0142aj\u0105cego procesu tylko napastnik mo\u017ce odzyska\u0107 klucz sesji.<\/li>\n\n\n\n<li><strong>Nie ka\u017cdy plik jest w pe\u0142ni zaszyfrowany.<\/strong> W pr\u00f3bie 400 plik\u00f3w oko\u0142o 56% u\u017cywa\u0142o trybu segmentowego, 31% mia\u0142o zaszyfrowany tylko pierwszy 1 MiB, a 13% by\u0142o zaszyfrowanych od pocz\u0105tku do ko\u0144ca. Cz\u0119\u015bciowo zaszyfrowane pliki nadal nie s\u0105 czytelne, ale analiza stopki pozwala ustali\u0107, co pozosta\u0142o.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">S\u0142abo\u015b\u0107 ransomware C3RB3R jest wi\u0119c w\u0105ska i ograniczona czasowo: program szyfruj\u0105cy trzyma klucz g\u0142\u00f3wny w pami\u0119ci przez ca\u0142\u0105 sesj\u0119. Zamro\u017a go, gdy dzia\u0142a, a b\u0119dziesz m\u00f3g\u0142 wyci\u0105gn\u0105\u0107 klucz. Przegap to okno, a zostaniesz z obiektem blob zaszyfrowanym kluczem publicznym, kt\u00f3ry zosta\u0142 zaprojektowany tak, aby by\u0142 niemo\u017cliwy do z\u0142amania.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">Historia ofiary: 50 TB i brak migawek<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Szczeg\u00f3\u0142owa relacja opublikowana na platformie Xiaohongshu 29 pa\u017adziernika 2026 r. przez u\u017cytkownika \u67ef\u57fa\u7231\u597d\u8005 opisuje nocne zmagania jednego z cz\u0142onk\u00f3w ich grupy NAS. Zauwa\u017cy\u0142 on informacj\u0119 od ransomware C3RB3R, potwierdzi\u0142 nag\u0142\u00f3wek C3RB3R INSTRUCTIONS i by\u0142 bliski zakupu bitcoin\u00f3w, zanim grupa przekierowa\u0142a go do przypadk\u00f3w opisanych na GitHubie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nast\u0119pnie u\u017cy\u0142 asystenta programistycznego AI przez SSH do przeprowadzenia dochodzenia. Wykry\u0142 on i zamrozi\u0142 program szyfruj\u0105cy, dzi\u0119ki czemu od tego momentu \u017caden nowy plik nie zosta\u0142 zaszyfrowany. Ustali\u0142 r\u00f3wnie\u017c, \u017ce prawdopodobny tylny po\u0142\u0105czony shell (backdoor) znajdowa\u0142 si\u0119 na serwerze NAS od 37 dni i w\u0142\u0105czy\u0142 telnet jako root, co oznacza, \u017ce pierwsze w\u0142amanie i szyfrowanie dzieli\u0142 ponad miesi\u0105c. Napisa\u0142 skrypt do zbierania dowod\u00f3w i, prawid\u0142owo, czeka\u0142 na jego potwierdzenie przed uruchomieniem czegokolwiek jako root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Jego szcz\u0119\u015bcie polega\u0142o na tym, \u017ce ransomware C3RB3R dzia\u0142a wolno. Maj\u0105c do przetworzenia ponad 50 TB, program szyfruj\u0105cy dotar\u0142 jedynie do jego zdj\u0119\u0107 z 2024 roku, a te mia\u0142y zimn\u0105 kopi\u0119 zapasow\u0105 w chmurze. Przeni\u00f3s\u0142 robocze dane na mniejszy NAS i od\u0142o\u017cy\u0142 zaszyfrowany wolumen na p\u00f3\u017aniej. Jego w\u0142asne podsumowanie by\u0142o dosadne: nie mia\u0142 migawek, a dzi\u0119ki migawkom problem ten by\u0142by \u0142atwy do naprawienia. Druga ofiara w serwisie X podsumowa\u0142a t\u0119 sam\u0105 lekcj\u0119 z drugiej strony: RAID 6 plus trzy zestawy kopii zapasowych, wszystkie na tym samym urz\u0105dzeniu, wszystkie zaszyfrowane razem.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Jak chronimy nasze kopie zapasowe przed ransomware C3RB3R<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ka\u017cda powy\u017csza historia utraty danych ma ten sam schemat: kopie zapasowe by\u0142y dost\u0119pne z poziomu przej\u0119tego urz\u0105dzenia. Ransomware C3RB3R szyfruje wszystko, do czego przej\u0119ty DSM ma dost\u0119p do zapisu, wi\u0119c rozwi\u0105zaniem jest przechowywanie co najmniej jednej kopii tam, gdzie DSM w og\u00f3le nie mo\u017ce nic zapisa\u0107. Tak w\u0142a\u015bnie robimy w przypadku hostowanych przez nas witryn, co odpowiada zasadzie 3-2-1-1-0.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Zasada<\/th><th>Znaczenie<\/th><th>Jak to robimy<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Trzy kopie danych<\/td><td>Dzia\u0142aj\u0105ca maszyna wirtualna VM, replika na drugim serwerze NAS i zaplanowany eksport<\/td><\/tr><tr><td>2<\/td><td>Dwa rodzaje no\u015bnik\u00f3w<\/td><td>Wolumeny NAS oraz dysk USB i dysk w chmurze<\/td><\/tr><tr><td>1<\/td><td>Jedna kopia poza siedzib\u0105 firmy<\/td><td>Eksporty zsynchronizowane z Google Drive za pomoc\u0105 Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>Jedna kopia offline lub niezmienna<\/td><td>Migawki maszyn wirtualnych po stronie hosta, kt\u00f3rych system-go\u015b\u0107 nie mo\u017ce modyfikowa\u0107, plus od\u0142\u0105czony eksport USB<\/td><\/tr><tr><td>0<\/td><td>Zero b\u0142\u0119d\u00f3w podczas odzyskiwania<\/td><td>Faktycznie przywracamy i uruchamiamy dane z replik podczas przenoszenia maszyn wirtualnych mi\u0119dzy hostami<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Uruchamiaj Docker wewn\u0105trz Virtual DSM, a nie na ho\u015bcie<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nasze kontenery WordPress nie dzia\u0142aj\u0105 bezpo\u015brednio na fizycznym serwerze NAS. Dzia\u0142aj\u0105 wewn\u0105trz go\u015bcia Virtual DSM, a go\u015b\u0107 jest chroniony przez Virtual Machine Manager na ho\u015bcie. Je\u015bli ransomware C3RB3R uzyska dost\u0119p root wewn\u0105trz go\u015bcia, przejmuje tylko tego go\u015bcia i nic wi\u0119cej. Migawki go\u015bcia znajduj\u0105 si\u0119 w pami\u0119ci masowej hosta, poza systemem plik\u00f3w go\u015bcia, wi\u0119c ransomware wewn\u0105trz maszyny wirtualnej nie mo\u017ce ich zobaczy\u0107, a tym bardziej zaszyfrowa\u0107 ani usun\u0105\u0107. Odzyskiwanie polega na przywr\u00f3ceniu migawki, co zajmuje zaledwie kilka minut.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro dodaje elementy, kt\u00f3re zmieniaj\u0105 to w prawdziw\u0105 kopi\u0119 zapasow\u0105: plan ochrony, kt\u00f3ry tworzy migawk\u0119 maszyny wirtualnej i replikuje j\u0105 do drugiego serwera NAS w klastrze, dzi\u0119ki czemu uszkodzenie hosta jest r\u00f3wnie\u017c zabezpieczone. Nasz klaster sk\u0142ada si\u0119 z urz\u0105dze\u0144 DS1621xs+ oraz DS1525+, kt\u00f3re replikuj\u0105 dane mi\u0119dzy sob\u0105. Opisali\u015bmy <a href=\"https:\/\/synopower.club\/pl\/docs\/vmm-backup-google-drive-cloud-sync\/\">zaplanowany eksport i Cloud Sync do Google Drive<\/a> osobno, a <a href=\"https:\/\/synopower.club\/pl\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">por\u00f3wnanie bezp\u0142atnego VMM z VMM Pro<\/a> wyja\u015bnia, kt\u00f3re elementy wymagaj\u0105 licencji.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Plan ochrony VMM Pro replikuj\u0105cy go\u015bcia Virtual DSM na drugi NAS jako ochrona przed ransomware C3RB3R\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Nasz go\u015b\u0107 Virtual DSM spc_4C8G: migawki co 12 godzin, replikowane z DS1621xs+ do DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Je\u015bli uruchamiasz Docker bezpo\u015brednio na DSM, u\u017cywaj niezmiennych migawek<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nie ka\u017cdy chce warstw\u0119 maszyn wirtualnych. Je\u015bli Twoje kontenery dzia\u0142aj\u0105 na ho\u015bcie, obron\u0105 przed ransomware C3RB3R s\u0105 niezmienne migawki. W\u0142\u0105cz je w Snapshot Replication dla folderu wsp\u00f3\u0142dzielonego, kt\u00f3ry zawiera dane Twoich kontener\u00f3w. Wymagaj\u0105 one DSM 7.2 lub nowszego oraz wolumenu Btrfs, a w okresie blokady nikt nie mo\u017ce ich usun\u0105\u0107, w tym przej\u0119te przez atakuj\u0105cego konto administratora. O sukcesie lub pora\u017cce decyduj\u0105 dwa szczeg\u00f3\u0142y:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>U\u017cywaj montowania typu bind do folderu wsp\u00f3\u0142dzielonego<\/strong> takiego jak <code>\/volume1\/docker\/app<\/code>. Nazwane wolumeny Docker znajduj\u0105 si\u0119 w <code>\/volume1\/@docker<\/code>, kt\u00f3ry nie jest folderem wsp\u00f3\u0142dzielonym i nie mo\u017cna dla niego w og\u00f3le tworzy\u0107 migawek.<\/li>\n\n\n\n<li><strong>Wykonaj zrzut baz danych do pliku przed utworzeniem migawki.<\/strong> Migawka uruchomionej bazy MariaDB to kopia z momentu nag\u0142ego zaniku zasilania. Zaplanowany <code>mysqldump<\/code> do tego samego folderu wsp\u00f3\u0142dzielonego daje czysty punkt przywracania, kt\u00f3ry migawka nast\u0119pnie blokuje.<\/li>\n\n\n\n<li><strong>Wybierz okres blokady d\u0142u\u017cszy ni\u017c czas, przez kt\u00f3ry atakuj\u0105cy mo\u017ce dzia\u0142a\u0107 po cichu.<\/strong> Powy\u017csza ofiara mia\u0142a tyln\u0105 furtk\u0119 przez 37 dni przed rozpocz\u0119ciem szyfrowania. Siedem dni niezmiennych migawek nie si\u0119ga\u0142oby do czystego stanu.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Ustawienia Snapshot Replication z w\u0142\u0105czonymi niezmiennymi migawkami w celu ochrony folderu wsp\u00f3\u0142dzielonego przed ransomware C3RB3R\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Ustawienia folderu wsp\u00f3\u0142dzielonego: harmonogram dzienny z niezmiennymi migawkami zablokowanymi na 30 dni.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Nasza dodatkowa warstwa: Active Insight wykonuje migawk\u0119 po rozpocz\u0119ciu szyfrowania<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Oto warstwa, kt\u00f3r\u0105 pomija wi\u0119kszo\u015b\u0107 poradnik\u00f3w. Active Insight, us\u0142uga monitorowania w chmurze Synology, mo\u017ce obserwowa\u0107 aktywno\u015b\u0107 plik\u00f3w w folderach wsp\u00f3\u0142dzielonych i gdy uzna, \u017ce ma do czynienia z ransomware, reaguje samoczynnie. Synology opisuje to w swoim <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">przewodniku po bezpiecze\u0144stwie NAS<\/a>: po wykryciu incydentu ransomware Active Insight wysy\u0142a powiadomienie o zdarzeniu i automatycznie tworzy migawk\u0119 folderu wsp\u00f3\u0142dzielonego, a w modelach obs\u0142uguj\u0105cych t\u0119 funkcj\u0119 migawka ta jest niezmienna.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dlaczego ma to kluczowe znaczenie w przypadku ransomware C3RB3R: modu\u0142 szyfruj\u0105cy ransomware C3RB3R dzia\u0142a wolno. Poszkodowany u\u017cytkownik z ponad 50 TB danych zauwa\u017cy\u0142 problem dopiero wtedy, gdy proces doszed\u0142 do jego zdj\u0119\u0107 z 2024 roku. Migawka wykonana w momencie pojawienia si\u0119 pierwszych oznak szyfrowania zamra\u017ca wszystko, co nie zosta\u0142o jeszcze naruszone, co mo\u017ce stanowi\u0107 wi\u0119kszo\u015b\u0107 wolumenu. Nie ma r\u00f3wnie\u017c znaczenia, w jaki spos\u00f3b ransomware C3RB3R dosta\u0142 si\u0119 do systemu, poniewa\u017c us\u0142uga obserwuje to, co dzieje si\u0119 z plikami, a nie stron\u0119 logowania. Na naszym DS1621xs+ strona Aktywno\u015b\u0107 plik\u00f3w pokazuje ochron\u0119 przed ransomware jako Chronione.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Strona Active Insight File Activity pokazuj\u0105ca ochron\u0119 przed ransomware jako Protected na DS1621xs+, stanowi\u0105ca bufor bezpiecze\u0144stwa przed ransomware C3RB3R\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Aktywno\u015b\u0107 plik\u00f3w Active Insight na naszym DS1621xs+: ochrona przed ransomware jest w\u0142\u0105czona, wi\u0119c wykryte zdarzenie ransomware C3RB3R wyzwala automatyczn\u0105 migawk\u0119.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Zapoznaj si\u0119 z ograniczeniami, zanim na nim polegniesz. Pochodz\u0105 one z dokumentacji Synology <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">Dokumentacja aktywno\u015bci plik\u00f3w<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Monitorowanie aktywno\u015bci plik\u00f3w jest domy\u015blnie wy\u0142\u0105czone.<\/strong> Zarejestruj serwer NAS w us\u0142udze Active Insight w Panelu sterowania, a nast\u0119pnie w\u0142\u0105cz monitorowanie dla ka\u017cdego hosta w portalu Active Insight.<\/li>\n\n\n\n<li><strong>Wymaga Snapshot Replication,<\/strong> DSM 7.2 lub nowszego, Active Insight 3.0.2 lub nowszego, co najmniej 1 GB pami\u0119ci RAM oraz licencji Active Insight przypisanej do tego serwera NAS.<\/li>\n\n\n\n<li><strong>Maksymalnie jedna automatyczna migawka na folder wsp\u00f3\u0142dzielony dziennie.<\/strong> Jest to siatka bezpiecze\u0144stwa tworzona po wykryciu zagro\u017cenia, a nie zast\u0119pstwo dla zaplanowanych niezmiennych migawek.<\/li>\n\n\n\n<li><strong>Nie obejmuje:<\/strong> folder\u00f3w nagra\u0144 Surveillance Station oraz folder\u00f3w wsp\u00f3\u0142dzielonych na zewn\u0119trznych dyskach USB.<\/li>\n\n\n\n<li><strong>Niezmienno\u015b\u0107 zale\u017cy od modelu.<\/strong> W przypadku modelu bez niezmiennych migawek napastnik z uprawnieniami root nadal mo\u017ce usun\u0105\u0107 automatyczn\u0105 migawk\u0119, dlatego warto po\u0142\u0105czy\u0107 t\u0119 funkcj\u0119 z powy\u017cszym harmonogramem niezmiennych migawek.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Chcesz mie\u0107 tak\u0105 sam\u0105 konfiguracj\u0119?<\/strong> SynoPower Club sprzedaje oryginalne licencje dla obu element\u00f3w: <a href=\"https:\/\/synopower.club\/pl\/virtual-dsm-vdsm-license-pack\/\">Licencja Virtual DSM (VDSM)<\/a> aby uruchamia\u0107 us\u0142ugi Docker w wyizolowanym systemie go\u015bcia, oraz <a href=\"https:\/\/synopower.club\/pl\/synology-vmm-pro-license\/\">Licencja VMM Pro<\/a> do plan\u00f3w ochrony, replikacji mi\u0119dzy serwerami NAS i migracji na \u017cywo. Klucze s\u0105 dostarczane poczt\u0105 e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pl\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Uzyskaj licencj\u0119 Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pl\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Uzyskaj licencj\u0119 VMM Pro<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Gdzie znale\u017a\u0107 wi\u0119cej oficjalnych zasob\u00f3w<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ransomware C3RB3R na Synology ma publicznie zaledwie dwa dni w momencie pisania tego tekstu i nie ma jeszcze oficjalnych materia\u0142\u00f3w wideo, wi\u0119c ta sekcja wymienia \u017ar\u00f3d\u0142a pierwotne zamiast poradnik\u00f3w krok po kroku.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Og\u0142oszenie o bezpiecze\u0144stwie Synology<\/a> z dnia 29 pa\u017adziernika 2026 r., zalecaj\u0105cy u\u017cytkownikom nieaktualnych wersji DSM natychmiastow\u0105 aktualizacj\u0119 i w\u0142\u0105czenie automatycznych aktualizacji, a nast\u0119pnie e-mail do klient\u00f3w z 30 pa\u017adziernika potwierdzaj\u0105cy, \u017ce jedyn\u0105 luk\u0105 by\u0142a SA-24:20.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> i <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> to tabele wersji. Sprawd\u017a swoj\u0105 kompilacj\u0119 w Panelu sterowania, a nast\u0119pnie w zak\u0142adce Aktualizacja i przywracanie, por\u00f3wnuj\u0105c j\u0105 z obiema.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">lllong1377\/c3rb3r-never-rebooted-still-no-key<\/a> to najlepszy indeks wszystkich znanych przypadk\u00f3w, w tym nieopisanych tutaj, oraz najja\u015bniejsze wyja\u015bnienie, kiedy analiza \u015bledcza pami\u0119ci RAM nie ma sensu.<\/li>\n\n\n\n<li>Trzy w\u0105tki na r\/synology podlinkowane powy\u017cej, a w szczeg\u00f3lno\u015bci raport \u015bledczy, kt\u00f3ry zawiera polecenia do badania dysku w trybie tylko do odczytu krok po kroku: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">C\u00f3\u017c, w ko\u0144cu do tego dosz\u0142o<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">W\u0142asna lista kontrolna Synology (30 pa\u017adziernika 2026 r.)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wiadomo\u015b\u0107 e-mail od Synology do klient\u00f3w ko\u0144czy si\u0119 czterema krokami. S\u0105 one kr\u00f3tkie i ka\u017cdy z nich ma znaczenie w walce z oprogramowaniem ransomware C3RB3R:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Sprawd\u017a obecno\u015b\u0107 intruz\u00f3w.<\/strong> Oprogramowanie ransomware C3RB3R pozostawia po sobie zaplanowane elementy utrzymania dost\u0119pu, wi\u0119c uruchom skanowanie w Security Advisor, a nast\u0119pnie sprawd\u017a w Harmonogramie zada\u0144 skrypty, kt\u00f3rych nie utworzy\u0142e\u015b, oraz w zak\u0142adce U\u017cytkownik i grupa konta administrator\u00f3w, kt\u00f3rych nie doda\u0142e\u015b. Je\u015bli cokolwiek wygl\u0105da niepokoj\u0105co, skontaktuj si\u0119 z Synology Support.<\/li>\n\n\n\n<li><strong>Zaktualizuj wszystko.<\/strong> Zainstaluj najnowsz\u0105 wersj\u0119 DSM w Panelu sterowania<\/li>\n\n\n\n<li><strong>W\u0142\u0105cz automatyczne aktualizacje<\/strong> w sekcji Aktualizacja i przywracanie, aby przysz\u0142e poprawki bezpiecze\u0144stwa by\u0142y instalowane zaraz po ich wydaniu.<\/li>\n\n\n\n<li><strong>Przechowuj kopi\u0119 zapasow\u0105 w zewn\u0119trznej lokalizacji.<\/strong> U\u017cywaj aplikacji Hyper Backup i Snapshot Replication, aby przechowywa\u0107 kopi\u0119 w osobnej lokalizacji, oraz regularnie sprawdzaj, czy zadania tworzenia kopii zapasowych faktycznie si\u0119 ko\u0144cz\u0105.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Krok pierwszy to ten, kt\u00f3ry ludzie zazwyczaj pomijaj\u0105. Je\u015bli Twoje urz\u0105dzenie by\u0142o dost\u0119pne z Internetu przed poprawk\u0105 z grudnia 2024 r., ransomware C3RB3R mog\u0142o ju\u017c uzyska\u0107 dost\u0119p, a dzisiejsza aktualizacja nie powie Ci, czy kto\u015b nie znajduje si\u0119 ju\u017c wewn\u0105trz.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Bezp\u0142atne narz\u0119dzie, kt\u00f3re wykona sprawdzanie za Ciebie<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Je\u015bli sprawnie pos\u0142ugujesz si\u0119 terminalem, krok pierwszy mo\u017ce teraz sprowadza\u0107 si\u0119 do jednego polecenia. synology-nas-cli to narz\u0119dzie wiersza polece\u0144 typu open-source na licencji MIT, wydane 30 pa\u017adziernika 2026 r. przez niezale\u017cnego dewelopera Akari Sora. Loguje si\u0119 do DSM poprzez jego interfejs web API i przeprowadza audyt urz\u0105dzenia pod k\u0105tem tej kampanii. Projekt znajduje si\u0119 na GitHubie: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Przejrzeli\u015bmy jego kod przed umieszczeniem linku. U\u017cywa wy\u0142\u0105cznie standardowej biblioteki Pythona i nie \u0142\u0105czy si\u0119 z niczym poza Twoim NAS, serwerem pobierania Synology, PyPI oraz zestawem ratunkowym soimy. Nie wysy\u0142a \u017cadnej telemetrii, a podstawowy audyt wykonuje wy\u0142\u0105cznie odczyt. Oto co sprawdza:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Poziom poprawek.<\/strong> Twoj\u0105 kompilacj\u0119 DSM pod k\u0105tem Synology-SA-26:13 (co obejmuje r\u00f3wnie\u017c starsz\u0105 poprawk\u0119 SA-24:20) oraz zainstalowane pakiety pod k\u0105tem SA-26:14.<\/li>\n\n\n\n<li><strong>Ekspozycj\u0119.<\/strong> QuickConnect, przekierowanie port\u00f3w UPnP na routerze, zapor\u0119 sieciow\u0105 DSM, AutoBlock, SMB1 oraz wbudowane konto administratora.<\/li>\n\n\n\n<li><strong>\u015alady oprogramowania ransomware C3RB3R.<\/strong> Wstrzykni\u0119te ci\u0105gi logowania w dzienniku po\u0142\u0105cze\u0144, <code>\/etc\/cron.d\/synot*<\/code> wpisy, <code>libgld<\/code> i <code>qnetd<\/code> pliki binarne, dodatkowe konta root, klucze SSH i \u017c\u0105dania okupu w Twoich udzia\u0142ach.<\/li>\n\n\n\n<li><strong>Migawki.<\/strong> Foldery udost\u0119pnione, kt\u00f3re nie maj\u0105 dzia\u0142aj\u0105cego harmonogramu migawek.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Mo\u017ce r\u00f3wnie\u017c naprawi\u0107 wi\u0119kszo\u015b\u0107 znalezionych problem\u00f3w. Je\u015bli pliki s\u0105 w\u0142a\u015bnie szyfrowane, jego polecenie contain zamra\u017ca proces szyfruj\u0105cy za pomoc\u0105 SIGSTOP \u2014 to ten sam krok, co w punkcie drugim naszej listy pierwszej reakcji. Polecenie rescue uruchamia nast\u0119pnie zestaw narz\u0119dzi soimy, aby przechwyci\u0107 pami\u0119\u0107 i poszuka\u0107 klucza.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # audyt tylko do odczytu<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">nas incident --deep          # szukaj r\u00f3wnie\u017c implant\u00f3w (jeden skrypt root tylko do odczytu)<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>nas incident fix --dry-run   # wypisz ka\u017cd\u0105 zmian\u0119, kt\u00f3r\u0105 by wprowadzi\u0142, nie zmieniaj niczego.<\/strong> Przeczytaj te uwagi, zanim pozwolisz mu cokolwiek zmieni\u0107:.<\/li>\n\n\n\n<li><strong>Jest zupe\u0142nie nowe.<\/strong> Projekt ma zaledwie kilka dni, pochodzi od jednego dewelopera, nie jest powi\u0105zany z Synology i przeszed\u0142 niewielk\u0105 zewn\u0119trzn\u0105 weryfikacj\u0119. Zacznij od audytu tylko do odczytu oraz przebiegu pr\u00f3bnego (dry run).<\/li>\n\n\n\n<li><strong>Naprawa zapory sieciowej mo\u017ce Ci\u0119 zablokowa\u0107.<\/strong> Prze\u0142\u0105cza zapor\u0119 DSM w tryb odmowy wszystkiego z wyj\u0105tkiem wymienionych przez Ciebie sieci. Uruchom je z komputera w tej samej sieci LAN i upewnij si\u0119, \u017ce wiesz, gdzie znajduje si\u0119 przycisk RESET.<\/li>\n\n\n\n<li><strong>Wy\u0142\u0105cza QuickConnect.<\/strong> To bezpieczniejsze ustawienie, ale je\u015bli Twoja rodzina korzysta z Synology Photos lub Surveillance Station przez QuickConnect, najpierw skonfiguruj VPN lub Tailscale.<\/li>\n\n\n\n<li><strong>G\u0142\u0119bokie skanowanie (deep), zamra\u017canie (contain) i odzyskiwanie (rescue) dzia\u0142aj\u0105 z uprawnieniami root.<\/strong> Dzia\u0142aj\u0105 poprzez tymczasowe zadanie w Harmonogramie zada\u0144, poniewa\u017c jest to jedyny spos\u00f3b na odczytanie dziennik\u00f3w dost\u0119pnych tylko dla u\u017cytkownika root i zamro\u017cenie proces\u00f3w.<\/li>\n\n\n\n<li><strong>Plik README sugeruje przekazanie go agentowi AI.<\/strong> Je\u015bli to zrobisz, przechowuj has\u0142o w mened\u017cerze hase\u0142, a nie na czacie, i samodzielnie potwierd\u017a napraw\u0119.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">W kwestii pozosta\u0142ych aspekt\u00f3w zabezpieczania systemu, nasze przewodniki dotycz\u0105ce <a href=\"https:\/\/synopower.club\/pl\/docs\/synology-nas-security-public-website\/\">prowadzenia publicznej witryny internetowej na Synology NAS<\/a> oraz dotycz\u0105ce <a href=\"https:\/\/synopower.club\/pl\/docs\/synology-threat-prevention-blind-spots\/\">tego, co Threat Prevention widzi, a czego nie widzi<\/a> obejmuj\u0105 stron\u0119 sieciow\u0105, a <a href=\"https:\/\/synopower.club\/pl\/synology-php2shell-emergency-patch\/\">przewodnik po \u0142atce PHP2Shell<\/a> opisuje drugi krytyczny problem, kt\u00f3ry pojawi\u0142 si\u0119 w tym samym tygodniu.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Ograniczenia ransomware C3RB3R i uwagi dotycz\u0105ce bezpiecze\u0144stwa<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aktualizacja nie usuwa istniej\u0105cej infekcji.<\/strong> Co najmniej jedna ofiara stwierdzi\u0142a, \u017ce z\u0142o\u015bliwy wpis w cronie nadal pozosta\u0142 po aktualizacji do najnowszego DSM. Je\u015bli Tw\u00f3j system by\u0142 nara\u017cony bez zainstalowanej \u0142atki, sprawd\u017a <code>\/etc\/cron.d<\/code>, Harmonogram zada\u0144, skrypty startowe oraz w\u0142\u0105czone us\u0142ugi, takie jak telnet, a nast\u0119pnie zmie\u0144 wszystkie dane dost\u0119powe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Aktualny to nie to samo co czysty.<\/strong> Jedna z ofiar na Reddicie by\u0142a przekonana, \u017ce system DSM jest aktualny, a inna zosta\u0142a zaatakowana mimo w\u0142\u0105czonego 2FA i silnego has\u0142a. Urz\u0105dzenie, w kt\u00f3rym dosz\u0142o do naruszenia przed zainstalowaniem poprawki, mo\u017ce przenie\u015b\u0107 z\u0142o\u015bliwe oprogramowanie przez ka\u017cd\u0105 p\u00f3\u017aniejsz\u0105 aktualizacj\u0119. Traktuj ka\u017cd\u0105 stron\u0119 logowania DSM dost\u0119pn\u0105 z Internetu jako cel ataku, w tym te opublikowane przez UPnP, kt\u00f3rych nigdy \u015bwiadomie nie konfigurowano. U\u017cywaj VPN lub Tailscale do dost\u0119pu zdalnego i wy\u0142\u0105cz UPnP w routerze.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID i lokalne kopie zapasowe nie stanowi\u0105 ochrony przed ransomware C3RB3R.<\/strong> Wszystko, do czego zainfekowany DSM ma prawa zapisu, zostanie zaszyfrowane, w tym miejsca docelowe Hyper Backup na tym samym urz\u0105dzeniu oraz zamontowane udzia\u0142y sieciowe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Nie p\u0142a\u0107 przed zapoznaniem si\u0119 z opisami przypadk\u00f3w.<\/strong> P\u0142acenie operatorom ransomware C3RB3R finansuje kolejn\u0105 fal\u0119 i niczego nie gwarantuje. Je\u015bli proces szyfruj\u0105cy nadal dzia\u0142a, najlepsz\u0105 szans\u0105 jest odzyskanie klucza z pami\u0119ci RAM. Je\u015bli nie, jedyn\u0105 realn\u0105 drog\u0105 s\u0105 w\u0142asne kopie zapasowe przechowywane poza tym urz\u0105dzeniem.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Uwa\u017caj, co wklejasz do asystenta AI.<\/strong> Narz\u0119dzia AI pomog\u0142y tutaj kilku ofiarom, ale nie przekazuj im hase\u0142, odzyskanych kluczy, pe\u0142nych zrzut\u00f3w pami\u0119ci ani danych firmowych. Pozw\u00f3l im proponowa\u0107 polecenia, a wszystko, co wymaga uprawnie\u0144 roota, uruchamiaj samodzielnie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Klony sprz\u0119towe nios\u0105 dodatkowe ryzyko.<\/strong> Kilka udokumentowanych ofiar uruchamia\u0142o DSM na nieoryginalnym sprz\u0119cie, na kt\u00f3rym oficjalne aktualizacje s\u0105 trudne lub niemo\u017cliwe do zastosowania. Je\u015bli to Twoja konfiguracja, za\u0142\u00f3\u017c, \u017ce nie masz poprawek i ca\u0142kowicie od\u0142\u0105cz urz\u0105dzenie od Internetu.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Odniesienia<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Og\u0142oszenie o bezpiecze\u0144stwie Synology dotycz\u0105ce atak\u00f3w ransomware na DSM<\/a>, 29 pa\u017adziernika 2026 r.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 oraz naprawione kompilacje DSM.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 oraz CVE-2026-13684, opublikowane 18 wrze\u015bnia 2026 r.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Ratowanie z\u0142o\u015bliwego oprogramowania C3RB3R ransomware firmy Benjamin-zlt na sprz\u0119cie fizycznym<\/a>, format plik\u00f3w, uk\u0142ad kluczy i procedura SIGSTOP.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Odzyskiwanie z pami\u0119ci dzia\u0142a tylko wtedy, gdy proces szyfruj\u0105cy wci\u0105\u017c dzia\u0142a.<\/a>, Obowi\u0105zuje ta sama zasada, co w trzech przypadkach na GitHubie.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect o kampanii C3RB3R<\/a>, podsumowuj\u0105cy przypisanie ataku przez 360 oraz harmonogram wydarze\u0144.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Centrum wiedzy Synology: zwi\u0119kszanie bezpiecze\u0144stwa serwera Synology NAS<\/a>, w tym informacj\u0119, jak us\u0142uga Active Insight tworzy migawk\u0119 folderu wsp\u00f3\u0142dzielonego po wykryciu oprogramowania ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Cz\u0119sto zadawane pytania<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czym jest ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Ransomware C3RB3R to linuksowy wariant rodziny Cerber, kt\u00f3ry atakuje urz\u0105dzenia Synology NAS od ko\u0144ca pa\u017adziernika 2026 roku. Zmienia nazwy plik\u00f3w na rozszerzenie L0CK3D, pozostawia \u017c\u0105danie okupu read-me3.txt w ka\u017cdym folderze i \u017c\u0105da Bitcoin\u00f3w za po\u015brednictwem strony w sieci Tor.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Jak ransomware C3RB3R dostaje si\u0119 do Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Poprzez system DSM wystawiony do Internetu. 30 pa\u017adziernika 2026 r. firma Synology potwierdzi\u0142a, \u017ce atak wykorzystuje wy\u0142\u0105cznie luk\u0119 CVE-2024-10441 z biuletynu Synology-SA-24:20, za\u0142atan\u0105 w grudniu 2024 r., i nie ma zwi\u0105zku z PHP2Shell. Zaktualizuj system DSM, sprawd\u017a obecno\u015b\u0107 skrypt\u00f3w oraz kont administratora, kt\u00f3rych nie utworzy\u0142e\u015b, i przesta\u0144 bezpo\u015brednio udost\u0119pnia\u0107 DSM w Internecie.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy pliki zaszyfrowane przez ransomware C3RB3R mo\u017cna odszyfrowa\u0107 za darmo?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Tylko wtedy, gdy proces szyfruj\u0105cy nadal dzia\u0142a. Zamro\u017a go za pomoc\u0105 SIGSTOP i zrzu\u0107 jego pami\u0119\u0107, poniewa\u017c klucz sesji istnieje tylko tam. Gdy proces si\u0119 zako\u0144czy lub NAS uruchomi si\u0119 ponownie, \u017cadne publiczne narz\u0119dzie nie odzyska klucza.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy powinienem zrestartowa\u0107 lub wy\u0142\u0105czy\u0107 zainfekowany NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nie. Zamiast tego od\u0142\u0105cz po\u0142\u0105czenie sieciowe. Restart lub kill -9 niszczy jedyn\u0105 kopi\u0119 klucza. Najpierw zamro\u017a proces, zapisz jego pami\u0119\u0107 na innym dysku i dopiero wtedy przejd\u017a do czyszczenia.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy aktualizacja DSM usuwa ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nie. Aktualizacja zamyka luk\u0119, ale nie usuwa tego, co ju\u017c tam jest. Ofiary zg\u0142asza\u0142y obecno\u015b\u0107 mechanizm\u00f3w trwa\u0142o\u015bci w cron, kt\u00f3re przetrwa\u0142y aktualizacj\u0119. Sprawd\u017a katalog cron.d, zaplanowane zadania i telnet, a tak\u017ce zmie\u0144 ka\u017cde has\u0142o.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy migawki Synology chroni\u0105 przed ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Niezmienne migawki chroni\u0105 przed tym, poniewa\u017c nikt nie mo\u017ce ich usun\u0105\u0107 w okresie blokady, nawet przej\u0119te konto administratora. Active Insight zapewnia dodatkow\u0105 siatk\u0119 bezpiecze\u0144stwa, automatycznie tworz\u0105c migawk\u0119 folderu wsp\u00f3\u0142dzielonego po wykryciu ransomware, maksymalnie raz dziennie dla danego folderu.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Dlaczego warto uruchamia\u0107 Docker wewn\u0105trz Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Poniewa\u017c migawki maszyny wirtualnej znajduj\u0105 si\u0119 na ho\u015bcie, na zewn\u0105trz systemu go\u015bcia. Ransomware, kt\u00f3re przejmie go\u015bcia, nie mo\u017ce ich zobaczy\u0107 ani usun\u0105\u0107, wi\u0119c odzyskiwanie polega na przywr\u00f3ceniu migawki. VMM Pro dodaje replikacj\u0119 do drugiego NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy p\u0142acenie okupu to dobry pomys\u0142?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nie zalecamy tego. P\u0142atno\u015b\u0107 nie gwarantuje sukcesu i finansuje kolejny atak. Najpierw sprawd\u017a przypadki odzyskiwania na GitHubie, a nast\u0119pnie przywr\u00f3\u0107 dane z kopii przechowywanych poza zainfekowanym NAS.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Spraw, aby kolejny atak ransomware C3RB3R kosztowa\u0142 Ci\u0119 jedynie przywr\u00f3cenie danych, a nie okup.<\/strong> Uruchamiaj swoje us\u0142ugi Docker wewn\u0105trz Virtual DSM i chro\u0144 ca\u0142ego go\u015bcia za pomoc\u0105 plan\u00f3w ochrony VMM Pro, replikowanych na drugi NAS. SynoPower Club sprzedaje oryginalne licencje na oba te rozwi\u0105zania, z kluczami dostarczanymi poczt\u0105 e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pl\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Uzyskaj licencj\u0119 Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pl\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Uzyskaj licencj\u0119 VMM Pro<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}