{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/pt\/synology-c3rb3r-ransomware\/","title":{"rendered":"Ransomware C3RB3R no Synology: Origens, Recupera\u00e7\u00e3o e Como Se Manter Seguro"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>Ransomware C3RB3R<\/strong> come\u00e7ou a aparecer em unidades Synology NAS por volta de 28 de outubro de 2026 e, dentro de um dia, era o \u00fanico assunto no r\/synology. Os arquivos voltam renomeados com uma <code>extens\u00e3o .L0CK3D<\/code> (um zero, n\u00e3o a letra O), cada pasta recebe uma <code>nota de resgate read-me3.txt<\/code> e um portal Tor pede Bitcoin. As informa\u00e7\u00f5es mais r\u00e1pidas e \u00fateis n\u00e3o vieram de sites de not\u00edcias em ingl\u00eas. Vieram de f\u00f3runs de l\u00edngua chinesa, onde a Synology tem uma enorme base de usu\u00e1rios, e de tr\u00eas reposit\u00f3rios do GitHub escritos por v\u00edtimas que realmente recuperaram seus dados, ou provaram que n\u00e3o conseguiram. Este guia re\u00fane o que foi confirmado sobre o ransomware C3RB3R at\u00e9 agora: de onde veio, como ele entra, o \u00fanico caminho de recupera\u00e7\u00e3o que funcionou e o design de backup que executamos para que um ataque como esse nos custe uma restaura\u00e7\u00e3o em vez de um resgate.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Atualiza\u00e7\u00e3o, 31 de outubro de 2026:<\/strong> A Synology definiu agora o ponto de entrada. Num e-mail aos clientes a 30 de outubro, confirmou que o ransomware C3RB3R explora apenas a vulnerabilidade corrigida em Synology-SA-24:20, corrigida em dezembro de 2024, e que a campanha n\u00e3o est\u00e1 relacionada com a vulnerabilidade PHP2Shell corrigida no mesmo m\u00eas. Adicion\u00e1mos a pr\u00f3pria lista de verifica\u00e7\u00e3o de quatro passos da Synology, a nossa interpreta\u00e7\u00e3o do motivo pelo qual os ataques ocorreram quando ocorreram e uma camada extra que utilizamos e pela qual a maioria dos propriet\u00e1rios j\u00e1 paga: a prote\u00e7\u00e3o contra ransomware do Active Insight.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Ponto SynoPower Club:<\/strong>Uma v\u00edtima em um grupo chin\u00eas de NAS tinha mais de 50 TB em uma \u00fanica caixa e nenhuma snapshot. O encriptador foi lento o suficiente para que apenas suas fotos de 2024 fossem atingidas, e essas por acaso tinham uma c\u00f3pia fria em um drive na nuvem. Outra perdeu cinco anos de reposit\u00f3rios privados do GitLab, porque o RAID 6 mais tr\u00eas backups viviam todos na mesma m\u00e1quina. O ransomware C3RB3R n\u00e3o venceu o armazenamento deles, venceu o design de backup deles. Executamos nossos sites p\u00fablicos como Docker dentro do Virtual DSM, tiramos snapshots de todo o convidado a partir do host, replicamos para um segundo NAS e exportamos para USB e nuvem em um cronograma. Se um convidado for criptografado hoje \u00e0 noite, n\u00f3s o revertemos para a \u00faltima snapshot e o atacante n\u00e3o ganha nada.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">O que \u00e9 o ransomware C3RB3R?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O ransomware C3RB3R \u00e9 uma vers\u00e3o para Linux da fam\u00edlia Cerber, uma linha de ransomware que existe desde 2016 e tem como alvo dispositivos NAS esporadicamente h\u00e1 anos. A 360 atribui a onda de outubro de 2026 na Synology a ele. Em uma caixa DSM infectada, o encriptador do ransomware C3RB3R \u00e9 executado como um bin\u00e1rio x86-64 estaticamente vinculado e compactado com UPX chamado <code>libgld<\/code>Ele exclui seu pr\u00f3prio arquivo ap\u00f3s iniciar, portanto, o processo em execu\u00e7\u00e3o exibe <code>(exclu\u00eddo)<\/code> ao lado do caminho do execut\u00e1vel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O que voc\u00ea v\u00ea como propriet\u00e1rio de uma caixa atingida pelo ransomware C3RB3R \u00e9 consistente em todos os relat\u00f3rios:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Arquivos renomeados para <code>nome.ext.L0CK3D<\/code>Alguns relat\u00f3rios escrevem como <code>LOCK3D<\/code>, mas as an\u00e1lises do GitHub citam o zero.<\/li>\n\n\n\n<li>Uma nota de resgate chamada <code>nota de resgate read-me3.txt<\/code> em cada pasta criptografada, com o cabe\u00e7alho C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Uma p\u00e1gina Tor intitulada C3rb3r Decryptor. A captura de tela de uma v\u00edtima mostrou 0,03696 BTC (cerca de US$ 2.952) se pago dentro de cinco dias, dobrando para 0,07392 BTC (cerca de US$ 5.904) depois disso, com uma contagem regressiva.<\/li>\n\n\n\n<li>Persist\u00eancia por meio de entradas cron correspondentes a <code>\/etc\/cron.d\/synot*<\/code>, que se recriam e sobreviveram a uma atualiza\u00e7\u00e3o do DSM em pelo menos um caso.<\/li>\n\n\n\n<li>Arquivos de backup no mesmo volume criptografados junto com todo o resto, incluindo destinos do Hyper Backup e dumps de banco de dados.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Onde come\u00e7ou: r\/synology e os f\u00f3runs chineses<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O ransomware C3RB3R apareceu pela primeira vez em ingl\u00eas no r\/synology, onde as v\u00edtimas postaram com cerca de um dia de diferen\u00e7a entre si por volta de 28 e 29 de outubro de 2026. Em quest\u00e3o de horas, os leitores diziam que uma nova thread aparecia cada vez que recarregavam o subreddit. Vale a pena ler tr\u00eas dessas threads na \u00edntegra, porque cada uma adiciona uma pe\u00e7a diferente:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>A an\u00e1lise forense.<\/strong> Um propriet\u00e1rio de DS918+ no DSM 7.2.1-69057 Update 5, com a interface web acess\u00edvel pela internet, desligou a caixa e examinou os discos no modo somente leitura em um host Proxmox. O log de autentica\u00e7\u00e3o do DSM continha uma solicita\u00e7\u00e3o de login cujo campo de conta carregava linhas injetadas de <code>LD_PRELOAD<\/code> e <code>LD_DEBUG_OUTPUT<\/code> al\u00e9m de um comando de shell codificado e um arquivo em <code>\/etc\/cron.d<\/code>Isso corresponde \u00e0 t\u00e9cnica publicada da CVE-2024-10441. Um backup 3-2-1 significou que o ataque custou uma restaura\u00e7\u00e3o, n\u00e3o um resgate. Leia aqui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Bem, finalmente aconteceu. Meu primeiro incidente real de ransomware<\/a>.<\/li>\n\n\n\n<li><strong>O usu\u00e1rio exclusivo do Photos.<\/strong> Este propriet\u00e1rio acreditava que o DSM estava atualizado e usava apenas o Synology Photos, mas o UPnP no roteador estava ativado. Ap\u00f3s uma redefini\u00e7\u00e3o de modo 2, as pastas cobertas pela Snapshot Replication retornaram. As pastas sem snapshots n\u00e3o retornaram, e a unidade USB do Hyper Backup local foi criptografada junto com o NAS. Leia aqui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Atingido pelo ransomware c3rb3r esta manh\u00e3<\/a>.<\/li>\n\n\n\n<li><strong>A discuss\u00e3o sobre o QuickConnect.<\/strong> O autor da postagem original s\u00f3 percebeu depois que o DSM se degradou e uma reinstala\u00e7\u00e3o revelou os arquivos criptografados. Nas respostas, outro leitor com senha forte, 2FA e QuickConnect ativado disse que tamb\u00e9m havia sido atingido, e outros apontaram que usu\u00e1rios de aplicativos espec\u00edficos podem desativar o acesso ao DSM no QuickConnect completamente. Leia aqui: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Atingido pelo ransomware C3RB3R<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Lidos juntos, o padr\u00e3o \u00e9 claro. O ransomware C3RB3R precisava de uma p\u00e1gina de login do DSM que pudesse alcan\u00e7ar, nada mais. Senhas e 2FA n\u00e3o ajudaram, porque a explora\u00e7\u00e3o \u00e9 executada antes da autentica\u00e7\u00e3o. A an\u00e1lise forense deixou claro: a solicita\u00e7\u00e3o atingiu um aplicativo vulner\u00e1vel e outro aviso de senha n\u00e3o teria corrigido isso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O trabalho t\u00e9cnico mais aprofundado ocorreu em chin\u00eas. V\u00edtimas em grupos do WeChat e do Xiaohongshu publicaram notas de resgate, compararam cronogramas e direcionaram-se umas \u00e0s outras para os reposit\u00f3rios do GitHub abordados abaixo. Uma comunidade taiwanesa da Synology no Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">reuniu os mesmos links de recupera\u00e7\u00e3o<\/a> para os usu\u00e1rios locais. Faz sentido: a Synology \u00e9 uma empresa taiwanesa e suas maiores comunidades de usu\u00e1rios falam chin\u00eas, por isso foi de l\u00e1 que veio o maior volume de casos do ransomware C3RB3R e, consequentemente, a identifica\u00e7\u00e3o de padr\u00f5es mais r\u00e1pida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A pr\u00f3pria Synology publicou <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">um aviso de seguran\u00e7a<\/a> em 29 de outubro de 2026, afirmando ter identificado atores de amea\u00e7as explorando uma vulnerabilidade corrigida em dezembro de 2024 em vers\u00f5es desatualizadas do DSM, e instando todos a atualizarem imediatamente.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Como o Ransomware C3RB3R Entra<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Durante os primeiros dois dias, existiam dois pontos de entrada candidatos. Desde ent\u00e3o, a Synology confirmou o mais antigo. O seu e-mail de 30 de outubro afirma que os ataques exploram apenas a vulnerabilidade abordada em Synology-SA-24:20 e que o ransomware C3RB3R n\u00e3o tem nada a ver com o PHP2Shell. A tabela abaixo mostra ambos os candidatos conforme foram debatidos, porque o par 360 ainda vale a pena ser corrigido.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>A Synology diz<\/th><th>A 360 diz<\/th><\/tr><\/thead><tbody><tr><td>Consultivo<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, execu\u00e7\u00e3o remota de c\u00f3digo n\u00e3o autenticada no daemon de plugin do sistema<\/td><td>CVE-2026-13639 (l\u00f3gica de login) e CVE-2026-13684 (SCGI), ambos CVSS 9.8<\/td><\/tr><tr><td>Corrigido<\/td><td>Novembro a dezembro de 2024<\/td><td>18 de setembro de 2026<\/td><\/tr><tr><td>Compila\u00e7\u00f5es corrigidas<\/td><td>DSM 7.2.2-72806 Atualiza\u00e7\u00e3o 1, 7.2.1-69057 Atualiza\u00e7\u00e3o 6, 7.2-64570 Atualiza\u00e7\u00e3o 4, 7.1.1-42962 Atualiza\u00e7\u00e3o 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Atualiza\u00e7\u00e3o 4, 7.2.2-72806 Atualiza\u00e7\u00e3o 9, 7.2.1-69057 Atualiza\u00e7\u00e3o 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">As evid\u00eancias forenses apontam para a falha mais antiga em pelo menos algumas v\u00edtimas. A an\u00e1lise mais detalhada no Reddit correlacionou os seus pr\u00f3prios logs sobreviventes ao exploit publicado do CVE-2024-10441, observando tamb\u00e9m que a Synology n\u00e3o tinha confirmado e que o mesmo dispositivo tamb\u00e9m estava abaixo do n\u00edvel de corre\u00e7\u00e3o SA-26:13. A an\u00e1lise de soimy menciona que os logs de mem\u00f3ria do convidado infectado apontam para inje\u00e7\u00e3o de vari\u00e1vel de ambiente atrav\u00e9s do plugin de login do DSM, consistente com o CVE-2024-10441, e uma prova de conceito p\u00fablica que explora o campo de nome de usu\u00e1rio de login apareceu no GitHub dias antes do surto. Dois dos tr\u00eas casos de resgate documentados eram executados em hardware n\u00e3o genu\u00edno com um bootloader do DS918+, um deles no DSM 7.2-64570 Update 3, o que fica exatamente a uma atualiza\u00e7\u00e3o de dist\u00e2ncia da corre\u00e7\u00e3o do CVE-2024-10441. Hardware clonado n\u00e3o pode receber atualiza\u00e7\u00f5es oficiais facilmente, tornando-o o alvo mais vulner\u00e1vel do grupo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A conclus\u00e3o pr\u00e1tica n\u00e3o mudou: atualize para uma vers\u00e3o que cubra ambos os avisos e pare de expor o DSM \u00e0 internet. Mas uma quest\u00e3o permanecia. Se a falha foi corrigida em dezembro de 2024, por que raz\u00e3o tantos dispositivos dispararam com o ransomware C3RB3R dentro dos mesmos dois dias em outubro de 2026, incluindo alguns cujos propriet\u00e1rios acreditavam estar atualizados?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Plantado Cedo, Detonado no Momento Certo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A nossa interpreta\u00e7\u00e3o, sendo esta a nossa leitura e n\u00e3o algo afirmado pela Synology, \u00e9 de que a invas\u00e3o pelo ransomware C3RB3R e a encripta\u00e7\u00e3o s\u00e3o dois eventos distintos. As evid\u00eancias apontam nessa dire\u00e7\u00e3o:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>O backdoor veio primeiro.<\/strong> No caso do Xiaohongshu abaixo, uma shell de backdoor esteve presente no NAS durante 37 dias e ativou o telnet como root antes que um \u00fanico ficheiro fosse encriptado.<\/li>\n\n\n\n<li><strong>Sobrevive a atualiza\u00e7\u00f5es.<\/strong> As entradas do cron sob <code>\/etc\/cron.d\/synot*<\/code> recriam-se a si mesmas, e pelo menos uma v\u00edtima encontrou-as ainda ativas ap\u00f3s atualizar para o DSM mais recente. A atualiza\u00e7\u00e3o fechou a falha, mas deixou o intruso no interior.<\/li>\n\n\n\n<li><strong>As detona\u00e7\u00f5es foram sincronizadas.<\/strong> Os dispositivos afetados pelo ransomware C3RB3R que tinham sido comprometidos em momentos diferentes, em vers\u00f5es diferentes, come\u00e7aram a encriptar num intervalo de cerca de 48 horas entre si.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Esse padr\u00e3o encaixa-se num operador que instalou implantes do ransomware C3RB3R em dispositivos n\u00e3o corrigidos ao longo de meses e depois escolheu quando premir o gatilho remotamente. O momento escolhido foi a semana do PHP2Shell, quando todos os administradores da Synology estavam ocupados a aplicar corre\u00e7\u00f5es, muitos dispositivos tinham acabado de ser atualizados e os propriet\u00e1rios se sentiam seguros por o terem feito. A Synology \u00e9 clara em como o PHP2Shell n\u00e3o foi a via de entrada. Foi o disfarce. A li\u00e7\u00e3o \u00e9 que um dispositivo exposto enquanto n\u00e3o corrigido deve ser tratado como comprometido at\u00e9 ser verificado, que \u00e9 exatamente o que o primeiro passo da lista de verifica\u00e7\u00e3o da Synology solicita.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Primeira Resposta ao Ransomware C3RB3R em 4 Passos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se voc\u00ea encontrar <code>extens\u00e3o .L0CK3D<\/code> arquivos agora mesmo, a ordem dos pr\u00f3ximos dez minutos decide se a recupera\u00e7\u00e3o \u00e9 poss\u00edvel. A chave que desbloqueia seus arquivos existe apenas dentro do processo em execu\u00e7\u00e3o do ransomware C3RB3R. Uma reinicializa\u00e7\u00e3o, um <code>kill -9<\/code> ou uma reinstala\u00e7\u00e3o do DSM ir\u00e1 destru\u00ed-la.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Corte a rede, n\u00e3o a energia<\/h3>\n<div class=\"rank-math-step-content\"><p>Desconecte o lado da WAN ou remova os redirecionamentos de porta do roteador e os mapeamentos UPnP. N\u00e3o desligue o NAS nem o reinicie. Feche qualquer acesso SSH ou telnet que voc\u00ea mesmo n\u00e3o tenha aberto.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Encontre e congele o criptografador<\/h3>\n<div class=\"rank-math-step-content\"><p>Via SSH como root, liste os processos cujo execut\u00e1vel foi exclu\u00eddo e, em seguida, envie o SIGSTOP com kill -STOP e o PID. Um processo congelado mant\u00e9m sua mem\u00f3ria, e sua mem\u00f3ria cont\u00e9m a chave de sess\u00e3o.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Fa\u00e7a o dump da mem\u00f3ria do processo congelado<\/h3>\n<div class=\"rank-math-step-content\"><p>Siga o reposit\u00f3rio Benjamin-zlt para ler a mem\u00f3ria grav\u00e1vel desse PID a partir do sistema de arquivos proc para um disco separado. Em uma m\u00e1quina virtual, um snapshot completo da mem\u00f3ria do convidado feito pelo hypervisor tamb\u00e9m funciona.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Preserve as evid\u00eancias e, depois, fa\u00e7a a limpeza<\/h3>\n<div class=\"rank-math-step-content\"><p>Mantenha cada arquivo L0CK3D e nota de resgate intactos. Copie os dados que ainda podem ser lidos. Somente ap\u00f3s a mem\u00f3ria estar segura, remova as entradas cron do synot, altere todas as senhas e atualize o DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Os comandos das etapas 2 e 3 s\u00e3o parecidos com estes. Leia os reposit\u00f3rios antes de executar qualquer coisa, pois os detalhes dependem do bin\u00e1rio que voc\u00ea possui.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Etapa 2: encontre o criptografador (seu execut\u00e1vel aparece como exclu\u00eddo)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Congele-o. Nunca use kill -9 aqui.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # deve mostrar T (stopped)<\/th><th># Procure pela persist\u00eancia que o traz de volta<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Voc\u00ea Pode Descriptograf\u00e1-lo? Os Tr\u00eas Casos de Resgate no GitHub<\/a><\/td><td>N\u00e3o existe um descriptografador universal para o ransomware C3RB3R, e qualquer pessoa que esteja vendendo um est\u00e1 apenas especulando. O que existe s\u00e3o tr\u00eas estudos de caso detalhados que informam exatamente quando a recupera\u00e7\u00e3o funciona.<\/td><td>Reposit\u00f3rio<\/td><td>M\u00e1quina<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resultado<\/a><\/td><td>Motivo<\/td><td>Reposit\u00f3rio<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM em uma m\u00e1quina virtual Proxmox VE executando o GitLab<\/a><\/td><td>Recuperado<\/td><td>Uma c\u00f3pia de 16 GiB da RAM do convidado mantinha a chave de sess\u00e3o de 48 bytes. O GitLab foi restaurado com 80 projetos e 9.253 objetos LFS.<\/td><td>O encriptador j\u00e1 tinha encerrado cerca de 30 horas antes. A varredura completa da RAM e da swap n\u00e3o encontrou nenhuma chave.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">O terceiro reposit\u00f3rio \u00e9 o mais importante para ler, porque seu t\u00edtulo \u00e9 a sua li\u00e7\u00e3o: \"nunca reiniciado\" n\u00e3o significa recuper\u00e1vel. O que importa \u00e9 se o processo do ransomware C3RB3R ainda est\u00e1 ativo. Assim que ele \u00e9 encerrado, ele zera seu buffer de chave, e a chave desaparece. Uma chave recuperada em uma v\u00edtima tamb\u00e9m \u00e9 in\u00fatil em outra, porque cada execu\u00e7\u00e3o gera uma nova chave de sess\u00e3o.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Por que a chave reside apenas na mem\u00f3ria<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A an\u00e1lise do Benjamin-zlt detalha o formato de arquivo do ransomware C3RB3R e explica tanto por que isso funciona quanto por que geralmente n\u00e3o funciona.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Cada arquivo recebe sua pr\u00f3pria chave ChaCha8 aleat\u00f3ria.<\/strong> Essa chave \u00e9 encapsulada com uma chave mestre de sess\u00e3o usando AES-256-CBC e armazenada em um trailer de 588 bytes no final do arquivo.<\/li>\n\n\n\n<li><strong>A chave mestre de sess\u00e3o tem 48 bytes:<\/strong> um IV de 16 bytes mais uma chave AES de 32 bytes. Ela nunca \u00e9 gravada no disco. Um ponteiro global dentro do processo em execu\u00e7\u00e3o aponta para ela.<\/li>\n\n\n\n<li><strong>O trailer tamb\u00e9m carrega um blob encapsulado com a chave p\u00fablica do atacante<\/strong> (RSA-2048), portanto, sem o processo em execu\u00e7\u00e3o, apenas o atacante pode recuperar a chave de sess\u00e3o.<\/li>\n\n\n\n<li><strong>Nem todo arquivo \u00e9 totalmente encriptado.<\/strong> Em uma amostra de 400 arquivos, cerca de 56% usaram o modo segmentado, 31% tiveram apenas o primeiro 1 MiB encriptado e 13% foram encriptados de ponta a ponta. Arquivos parcialmente encriptados ainda n\u00e3o s\u00e3o leg\u00edveis, mas a triagem do rodap\u00e9 indica o que sobrou.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Portanto, a vulnerabilidade no ransomware C3RB3R \u00e9 estreita e limitada no tempo: o encriptador mant\u00e9m a chave mestre na mem\u00f3ria durante toda a sess\u00e3o. Congele-o enquanto estiver em execu\u00e7\u00e3o e voc\u00ea poder\u00e1 extrair a chave. Se perder essa janela, resta apenas o blob da chave p\u00fablica, que foi projetado para ser inquebr\u00e1vel.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">A hist\u00f3ria de uma v\u00edtima: 50 TB e nenhum snapshot<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Um relato detalhado publicado no Xiaohongshu em 29 de outubro de 2026 pelo usu\u00e1rio \u67ef\u57fa\u7231\u597d\u8005 acompanha um membro do seu grupo de NAS durante a noite. Ele notou a nota do ransomware C3RB3R, confirmou o cabe\u00e7alho C3RB3R INSTRUCTIONS e esteve prestes a comprar Bitcoin antes que o grupo o direcionasse para os casos no GitHub.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ele usou ent\u00e3o um assistente de codifica\u00e7\u00e3o com IA via SSH para investigar. O assistente encontrou e congelou o encriptador, garantindo que nada novo fosse encriptado a partir daquele momento. Tamb\u00e9m descobriu que um prov\u00e1vel shell de backdoor estava ativo no NAS h\u00e1 37 dias e havia habilitado o telnet como root, o que significa que a invas\u00e3o inicial e a encripta\u00e7\u00e3o ocorreram com mais de um m\u00eas de diferen\u00e7a. O assistente escreveu um script de coleta de evid\u00eancias e, corretamente, aguardou sua confirma\u00e7\u00e3o antes de executar qualquer coisa como root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A sorte dele foi que o ransomware C3RB3R \u00e9 lento. Com mais de 50 TB para processar, o encriptador havia alcan\u00e7ado apenas suas fotos de 2024, que possu\u00edam uma c\u00f3pia de seguran\u00e7a em nuvem. Ele moveu os dados de trabalho para um NAS menor e reservou o volume encriptado para depois. Seu pr\u00f3prio resumo foi direto: ele n\u00e3o tinha snapshots, e com snapshots isso teria sido f\u00e1cil de resolver. Uma segunda v\u00edtima no X resumiu a mesma li\u00e7\u00e3o do outro lado: RAID 6 mais tr\u00eas conjuntos de backup, todos no mesmo equipamento, todos encriptados juntos.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Como mantemos o ransomware C3RB3R longe dos nossos backups<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cada hist\u00f3ria de perda de dados acima tem o mesmo padr\u00e3o: os backups podiam ser acessados a partir da m\u00e1quina comprometida. O ransomware C3RB3R encripta tudo o que o DSM comprometido consegue gravar, portanto, a solu\u00e7\u00e3o \u00e9 manter pelo menos uma c\u00f3pia em algum lugar onde o DSM n\u00e3o possa gravar de forma alguma. \u00c9 assim que fazemos para os sites que hospedamos, e isso se alinha \u00e0 regra 3-2-1-1-0.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regra<\/th><th>Significado<\/th><th>Como fazemos<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tr\u00eas c\u00f3pias dos dados<\/td><td>A VM em execu\u00e7\u00e3o, uma r\u00e9plica em um segundo NAS e uma exporta\u00e7\u00e3o agendada<\/td><\/tr><tr><td>2<\/td><td>Dois tipos de m\u00eddia<\/td><td>Volumes do NAS mais uma unidade USB e um armazenamento em nuvem<\/td><\/tr><tr><td>1<\/td><td>Uma c\u00f3pia fora do local (off-site)<\/td><td>Exporta\u00e7\u00f5es sincronizadas com o Google Drive via Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>Uma c\u00f3pia offline ou imut\u00e1vel<\/td><td>Snapshots da VM no lado do host que o convidado n\u00e3o pode tocar, al\u00e9m da exporta\u00e7\u00e3o em USB desconectada<\/td><\/tr><tr><td>0<\/td><td>Zero erros na restaura\u00e7\u00e3o<\/td><td>N\u00f3s realmente restauramos e inicializamos a partir das r\u00e9plicas quando movemos VMs entre hosts<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Execute o Docker dentro do Virtual DSM, n\u00e3o no host<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nossos cont\u00eaineres do WordPress n\u00e3o s\u00e3o executados no NAS f\u00edsico. Eles rodam dentro de um convidado Virtual DSM, e o convidado \u00e9 protegido pelo Virtual Machine Manager no host. Se o ransomware C3RB3R obtiver acesso root dentro do convidado, ele dominar\u00e1 apenas aquele convidado e nada mais. Os snapshots do convidado residem no armazenamento do host, fora do sistema de arquivos do convidado, portanto, o ransomware dentro da VM n\u00e3o pode v\u00ea-los, muito menos encript\u00e1-los ou exclu\u00ed-los. A recupera\u00e7\u00e3o \u00e9 uma revers\u00e3o de snapshot realizada em quest\u00e3o de minutos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O VMM Pro adiciona os recursos que transformam isso em um backup real: um plano de prote\u00e7\u00e3o que tira snapshots da VM e a replica para um segundo NAS no cluster, garantindo cobertura caso um host falhe. Nosso cluster \u00e9 composto por um DS1621xs+ e um DS1525+ que se replicam mutuamente. Escrevemos sobre a <a href=\"https:\/\/synopower.club\/pt\/docs\/vmm-backup-google-drive-cloud-sync\/\">exporta\u00e7\u00e3o agendada e o Cloud Sync para o Google Drive<\/a> parte separadamente, e a <a href=\"https:\/\/synopower.club\/pt\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">compara\u00e7\u00e3o entre o VMM gratuito e o VMM Pro<\/a> explica quais partes exigem a licen\u00e7a.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Plano de prote\u00e7\u00e3o do VMM Pro replicando um guest do Virtual DSM para um segundo NAS como defesa contra o ransomware C3RB3R\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Nosso convidado Virtual DSM spc_4C8G: snapshots a cada 12 horas, replicados do DS1621xs+ para o DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Se voc\u00ea executa o Docker diretamente no DSM, use snapshots imut\u00e1veis<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nem todos querem uma camada de VM. Se seus cont\u00eaineres executam no host, a defesa contra o ransomware C3RB3R s\u00e3o os snapshots imut\u00e1veis. Ative-os no Snapshot Replication para a pasta compartilhada que cont\u00e9m os dados dos seus cont\u00eaineres. Eles exigem o DSM 7.2 ou posterior e um volume Btrfs e, durante o per\u00edodo de bloqueio, ningu\u00e9m pode exclu\u00ed-los, incluindo uma conta de administrador assumida pelo invasor. Dois detalhes determinam o sucesso ou fracasso disso:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Use bind mounts em uma pasta compartilhada<\/strong> como <code>\/volume1\/docker\/app<\/code>. Volumes nomeados do Docker ficam em <code>\/volume1\/@docker<\/code>, que n\u00e3o \u00e9 uma pasta compartilhada e n\u00e3o pode receber snapshots.<\/li>\n\n\n\n<li><strong>Fa\u00e7a o dump de bancos de dados para um arquivo antes do snapshot.<\/strong> Um snapshot de um MariaDB em execu\u00e7\u00e3o \u00e9 uma c\u00f3pia equivalente a uma queda de energia. Um <code>mysqldump<\/code> na mesma pasta compartilhada oferece um ponto de restaura\u00e7\u00e3o limpo que o snapshot ent\u00e3o bloqueia.<\/li>\n\n\n\n<li><strong>Escolha um per\u00edodo de bloqueio mais longo do que um invasor possa permanecer em sil\u00eancio.<\/strong> A v\u00edtima acima teve um backdoor por 37 dias antes de a criptografia come\u00e7ar. Sete dias de snapshots imut\u00e1veis n\u00e3o teriam retrocedido at\u00e9 um estado limpo.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Configura\u00e7\u00f5es do Snapshot Replication com snapshots imut\u00e1veis ativados para proteger uma pasta compartilhada contra o ransomware C3RB3R\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Configura\u00e7\u00f5es para uma pasta compartilhada: um agendamento di\u00e1rio com snapshots imut\u00e1veis bloqueados por 30 dias.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">A Nossa Camada Extra: O Active Insight Tira um Snapshot Quando a Encripta\u00e7\u00e3o Come\u00e7a<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Eis a camada que a maioria dos guias omite. O Active Insight, o servi\u00e7o de monitoriza\u00e7\u00e3o na nuvem da Synology, pode monitorizar a atividade de ficheiros nas suas pastas partilhadas e, assim que determina que est\u00e1 perante um ransomware, reage por si pr\u00f3prio. A Synology documenta isto no seu <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">guia de seguran\u00e7a do NAS<\/a>: quando \u00e9 detetado um evento de ransomware, o Active Insight envia uma notifica\u00e7\u00e3o do evento e tira automaticamente um snapshot da pasta partilhada, e nos modelos compat\u00edveis, esse snapshot \u00e9 imut\u00e1vel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por que raz\u00e3o isto \u00e9 importante para o ransomware C3RB3R em particular: o encriptador do ransomware C3RB3R \u00e9 lento. A v\u00edtima com mais de 50 TB ainda ia nas fotos de 2024 quando se apercebeu. Um snapshot tirado quando o padr\u00e3o de encripta\u00e7\u00e3o surge pela primeira vez congela tudo o que ainda n\u00e3o foi tocado, o que pode ser a maior parte do volume. Tamb\u00e9m n\u00e3o importa como o ransomware C3RB3R entrou, porque monitoriza o que acontece aos ficheiros, e n\u00e3o a p\u00e1gina de in\u00edcio de sess\u00e3o. No nosso DS1621xs+, a p\u00e1gina Atividade de Ficheiros mostra a prote\u00e7\u00e3o contra ransomware como Protegido.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"P\u00e1gina File Activity do Active Insight mostrando a prote\u00e7\u00e3o contra ransomware como Protegido num DS1621xs+, uma rede de seguran\u00e7a contra o ransomware C3RB3R\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Atividade de Ficheiros do Active Insight no nosso DS1621xs+: a prote\u00e7\u00e3o contra ransomware est\u00e1 ativa, pelo que um evento de ransomware C3RB3R detetado aciona um snapshot autom\u00e1tico.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Leia os limites antes de confiar nele. Estes prov\u00eam da <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">documenta\u00e7\u00e3o da Atividade de Ficheiros<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>A monitoriza\u00e7\u00e3o da atividade de ficheiros est\u00e1 desativada por predefini\u00e7\u00e3o.<\/strong> Registe o NAS no Active Insight no Painel de Controlo e, em seguida, ative a monitoriza\u00e7\u00e3o para cada anfitri\u00e3o no portal do Active Insight.<\/li>\n\n\n\n<li><strong>Necessita do Snapshot Replication,<\/strong> DSM 7.2 ou posterior, Active Insight 3.0.2 ou posterior, pelo menos 1 GB de mem\u00f3ria e uma licen\u00e7a do Active Insight atribu\u00edda a esse NAS.<\/li>\n\n\n\n<li><strong>No m\u00e1ximo um snapshot autom\u00e1tico por pasta partilhada por dia.<\/strong> Trata-se de uma rede de seguran\u00e7a criada ap\u00f3s a dete\u00e7\u00e3o, e n\u00e3o de uma substitui\u00e7\u00e3o para snapshots imut\u00e1veis agendados.<\/li>\n\n\n\n<li><strong>N\u00e3o coberto:<\/strong> Pastas de grava\u00e7\u00e3o do Surveillance Station e pastas partilhadas em unidades USB externas.<\/li>\n\n\n\n<li><strong>A imutabilidade depende do modelo.<\/strong> Num modelo sem snapshots imut\u00e1veis, um atacante com acesso root ainda pode eliminar o snapshot autom\u00e1tico, pelo que deve combin\u00e1-lo com o agendamento de snapshots imut\u00e1veis acima.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Quer a mesma configura\u00e7\u00e3o?<\/strong> O SynoPower Club vende licen\u00e7as originais para ambos os componentes: uma <a href=\"https:\/\/synopower.club\/pt\/virtual-dsm-vdsm-license-pack\/\">licen\u00e7a do Virtual DSM (VDSM)<\/a> para executar seus servi\u00e7os Docker em um convidado isolado e uma <a href=\"https:\/\/synopower.club\/pt\/synology-vmm-pro-license\/\">Licen\u00e7a VMM Pro<\/a> para planos de prote\u00e7\u00e3o, replica\u00e7\u00e3o entre NAS e migra\u00e7\u00e3o ao vivo. As chaves s\u00e3o entregues por e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pt\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenha uma licen\u00e7a Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pt\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenha uma licen\u00e7a VMM Pro<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Onde encontrar mais recursos oficiais<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O ransomware C3RB3R no Synology \u00e9 p\u00fablico h\u00e1 apenas dois dias no momento em que este texto foi escrito e ainda n\u00e3o h\u00e1 cobertura oficial em v\u00eddeo, portanto, esta se\u00e7\u00e3o lista fontes prim\u00e1rias em vez de tutoriais.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">O aviso de seguran\u00e7a da Synology<\/a> de 29 de outubro de 2026, que indica aos utilizadores de vers\u00f5es desatualizadas do DSM para atualizarem imediatamente e ativarem as atualiza\u00e7\u00f5es autom\u00e1ticas, seguido a 30 de outubro por um e-mail aos clientes a confirmar a SA-24:20 como a \u00fanica vulnerabilidade envolvida.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> e <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> s\u00e3o as tabelas de vers\u00e3o. Verifique sua compila\u00e7\u00e3o no Painel de Controle, depois em Atualizar e Restaurar, em rela\u00e7\u00e3o a ambas.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM em uma m\u00e1quina virtual Proxmox VE executando o GitLab<\/a> \u00e9 o melhor \u00edndice de todos os casos conhecidos, incluindo os n\u00e3o abordados aqui, e a explica\u00e7\u00e3o mais clara de quando a per\u00edcia em mem\u00f3ria \u00e9 in\u00fatil.<\/li>\n\n\n\n<li>As tr\u00eas threads do r\/synology indicadas acima, especialmente a an\u00e1lise forense, que inclui os comandos de investiga\u00e7\u00e3o de disco somente leitura passo a passo: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Bem, finalmente aconteceu<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Lista de Verifica\u00e7\u00e3o da Pr\u00f3pria Synology (30 de outubro de 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">O e-mail da Synology termina com quatro passos. Eles s\u00e3o curtos e cada um deles \u00e9 importante contra o ransomware C3RB3R:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Verifique a exist\u00eancia de intrusos.<\/strong> O ransomware C3RB3R deixa persist\u00eancia agendada para tr\u00e1s, por isso execute uma verifica\u00e7\u00e3o no Security Advisor e, em seguida, procure no Agendador de Tarefas por scripts que n\u00e3o tenha criado e em Utilizador e Grupo por contas de administrador que n\u00e3o tenha adicionado. Se algo parecer errado, entre em contacto com o Suporte Synology.<\/li>\n\n\n\n<li><strong>Atualize tudo.<\/strong> Instale o DSM mais recente no Painel de Controlo, Atualiza\u00e7\u00e3o e Restauro, e depois atualize todos os pacotes no Centro de Pacotes.<\/li>\n\n\n\n<li><strong>Ative as atualiza\u00e7\u00f5es autom\u00e1ticas<\/strong> em Atualiza\u00e7\u00e3o e Restauro, para que as futuras corre\u00e7\u00f5es de seguran\u00e7a sejam aplicadas assim que forem lan\u00e7adas.<\/li>\n\n\n\n<li><strong>Mantenha uma c\u00f3pia de seguran\u00e7a num local externo.<\/strong> Utilize o Hyper Backup e o Snapshot Replication para manter uma c\u00f3pia num local separado e verifique regularmente se as tarefas de c\u00f3pia de seguran\u00e7a s\u00e3o efetivamente conclu\u00eddas.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">O primeiro passo \u00e9 aquele que as pessoas ignoram. Se o seu dispositivo estava acess\u00edvel a partir da Internet antes da corre\u00e7\u00e3o de dezembro de 2024, o ransomware C3RB3R pode j\u00e1 ter ganho uma posi\u00e7\u00e3o de entrada e atualizar hoje n\u00e3o lhe diz se algu\u00e9m j\u00e1 est\u00e1 no interior.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Uma Ferramenta Gratuita que Executa a Verifica\u00e7\u00e3o por Si<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Se estiver familiarizado com o terminal, o primeiro passo pode agora ser um \u00fanico comando. synology-nas-cli \u00e9 uma ferramenta de linha de comandos de c\u00f3digo aberto sob a licen\u00e7a MIT, lan\u00e7ada a 30 de outubro de 2026 pelo programador independente Akari Sora. A ferramenta inicia sess\u00e3o no DSM atrav\u00e9s da sua API web e audita o sistema contra esta campanha. O projeto est\u00e1 no GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lemos todo o seu c\u00f3digo antes de colocar o link. Utiliza apenas a biblioteca padr\u00e3o do Python e n\u00e3o comunica com nada para al\u00e9m do seu NAS, do servidor de downloads da Synology, do PyPI e do kit de ferramentas de resgate soimy. N\u00e3o envia qualquer telemetria e a auditoria b\u00e1sica \u00e9 apenas de leitura. Eis o que ela verifica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>N\u00edvel de patch.<\/strong> A sua vers\u00e3o do DSM em rela\u00e7\u00e3o ao Synology-SA-26:13, que tamb\u00e9m cobre a corre\u00e7\u00e3o anterior SA-24:20, e os seus pacotes instalados em rela\u00e7\u00e3o ao SA-26:14.<\/li>\n\n\n\n<li><strong>Exposi\u00e7\u00e3o.<\/strong> QuickConnect, encaminhamento de portas UPnP no router, a firewall do DSM, AutoBlock, SMB1 e a conta de administrador integrada.<\/li>\n\n\n\n<li><strong>Vest\u00edgios do ransomware C3RB3R.<\/strong> As strings de in\u00edcio de sess\u00e3o injetadas no registo de liga\u00e7\u00f5es, <code>\/etc\/cron.d\/synot*<\/code> entradas, os <code>libgld<\/code> e <code>qnetd<\/code> bin\u00e1rios, contas root adicionais, chaves SSH e notas de resgate nas suas partilhas.<\/li>\n\n\n\n<li><strong>Instant\u00e2neos.<\/strong> Pastas partilhadas que n\u00e3o possuem um agendamento de snapshots a funcionar.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Tamb\u00e9m pode corrigir a maior parte do que encontrar. Se os ficheiros estiverem a ser encriptados neste momento, o seu comando contain congela o encriptador com SIGSTOP, o mesmo passo da segunda etapa da nossa lista de primeira resposta. O seu comando rescue aciona depois o kit de ferramentas soimy para capturar a mem\u00f3ria e procurar a chave.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # auditoria apenas de leitura<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Leia estas notas antes de permitir que ele altere qualquer coisa:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>\u00c9 totalmente novo.<\/strong> O projeto tem apenas alguns dias, prov\u00e9m de um \u00fanico programador, n\u00e3o est\u00e1 afiliado \u00e0 Synology e teve pouca revis\u00e3o externa. Comece com a auditoria apenas de leitura e a execu\u00e7\u00e3o de teste (dry run).<\/li>\n\n\n\n<li><strong>A corre\u00e7\u00e3o da firewall pode bloque\u00e1-lo.<\/strong> Altera a firewall do DSM para negar tudo, exceto as redes que listar. Execute-o a partir de um computador na mesma LAN e saiba onde fica o bot\u00e3o RESET.<\/li>\n\n\n\n<li><strong>Desativa o QuickConnect.<\/strong> Essa \u00e9 a defini\u00e7\u00e3o mais segura, mas se a sua fam\u00edlia aceder ao Synology Photos ou ao Surveillance Station atrav\u00e9s do QuickConnect, configure primeiro uma VPN ou o Tailscale.<\/li>\n\n\n\n<li><strong>A verifica\u00e7\u00e3o profunda, o contain e o rescue s\u00e3o executados como root.<\/strong> Funcionam atrav\u00e9s de uma tarefa tempor\u00e1ria no Agendador de Tarefas, pois essa \u00e9 a \u00fanica forma de ler registos exclusivos do root e congelar processos.<\/li>\n\n\n\n<li><strong>O README sugere entregar a tarefa a um agente de IA.<\/strong> Se o fizer, mantenha a palavra-passe num gestor de palavras-passe em vez de no chat, e confirme a corre\u00e7\u00e3o voc\u00ea mesmo.<\/li>\n\n\n\n<li><strong>O resgate de mem\u00f3ria apenas funciona enquanto o encriptador estiver ativo.<\/strong> Aplica-se a mesma regra dos tr\u00eas casos do GitHub.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Para o restante do panorama de refor\u00e7o de seguran\u00e7a, nossos guias sobre <a href=\"https:\/\/synopower.club\/pt\/docs\/synology-nas-security-public-website\/\">executar um site p\u00fablico em um Synology NAS<\/a> e sobre <a href=\"https:\/\/synopower.club\/pt\/docs\/synology-threat-prevention-blind-spots\/\">o que o Threat Prevention pode e n\u00e3o pode ver<\/a> cobrem a parte de rede, e o <a href=\"https:\/\/synopower.club\/pt\/synology-php2shell-emergency-patch\/\">guia de patch do PHP2Shell<\/a> cobre o outro problema cr\u00edtico que surgiu na mesma semana.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Limites e Notas de Seguran\u00e7a do Ransomware C3RB3R<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Atualizar n\u00e3o remove uma infec\u00e7\u00e3o existente.<\/strong> Pelo menos uma v\u00edtima descobriu que a persist\u00eancia do cron ainda estava ativa ap\u00f3s a atualiza\u00e7\u00e3o para o DSM mais recente. Se voc\u00ea esteve exposto sem ter aplicado o patch, verifique <code>\/etc\/cron.d<\/code>, o Agendador de Tarefas, os scripts de inicializa\u00e7\u00e3o e os servi\u00e7os ativados, como o telnet, e depois redefina todas as credenciais.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Estar atualizado n\u00e3o \u00e9 o mesmo que estar limpo.<\/strong> Uma v\u00edtima do Reddit acreditava que o DSM estava atualizado e outra foi atingida mesmo com 2FA e uma palavra-passe forte ativadas. Um dispositivo que foi comprometido antes de ser corrigido pode carregar o implante atrav\u00e9s de todas as atualiza\u00e7\u00f5es posteriores. Trate qualquer p\u00e1gina de in\u00edcio de sess\u00e3o do DSM acess\u00edvel a partir da Internet como um alvo, incluindo as publicadas por UPnP que nunca configurou deliberadamente. Utilize uma VPN ou Tailscale para acesso remoto e desative o UPnP no router.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID e backups locais n\u00e3o s\u00e3o backups contra o ransomware C3RB3R.<\/strong> Qualquer local em que o DSM comprometido possa gravar ser\u00e1 criptografado, incluindo destinos do Hyper Backup na mesma m\u00e1quina e compartilhamentos de rede montados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>N\u00e3o pague antes de ler os casos.<\/strong> Pagar os operadores do ransomware C3RB3R financia a pr\u00f3xima onda e n\u00e3o garante nada. Se o criptografador ainda estiver em execu\u00e7\u00e3o, o caminho pela mem\u00f3ria RAM livre \u00e9 sua melhor chance. Caso contr\u00e1rio, as \u00fanicas op\u00e7\u00f5es realistas s\u00e3o suas pr\u00f3prias c\u00f3pias externas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Cuidado com o que voc\u00ea cola em um assistente de IA.<\/strong> Ferramentas de IA ajudaram v\u00e1rias v\u00edtimas aqui, mas n\u00e3o forne\u00e7a a elas senhas, chaves recuperadas, dumps completos de mem\u00f3ria ou dados corporativos. Deixe que elas proponham comandos e execute voc\u00ea mesmo tudo o que exigir acesso root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Hardware clonado envolve riscos adicionais.<\/strong> V\u00e1rias v\u00edtimas documentadas executavam o DSM em hardware n\u00e3o oficial, onde as atualiza\u00e7\u00f5es oficiais s\u00e3o dif\u00edceis ou imposs\u00edveis de aplicar. Se esse for o seu caso, assuma que voc\u00ea est\u00e1 sem patch e mantenha-o totalmente fora da internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Refer\u00eancias<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Aviso de seguran\u00e7a da Synology sobre ataques de ransomware no DSM<\/a>, 29 de outubro de 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 e as compila\u00e7\u00f5es corrigidas do DSM.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 e CVE-2026-13684, publicado em 18 de setembro de 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resgate bare-metal do ransomware C3RB3R por Benjamin-zlt<\/a>, o formato de arquivo, a estrutura da chave e o fluxo de trabalho do SIGSTOP.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">synology-nas-cli por Akari Sora<\/a>, uma ferramenta de auditoria e resposta de c\u00f3digo aberto para esta campanha.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect sobre a campanha do C3RB3R<\/a>, resumindo a atribui\u00e7\u00e3o da 360 e o cronograma.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Centro de Conhecimento da Synology: melhorar a seguran\u00e7a do seu Synology NAS<\/a>, incluindo como o Active Insight cria uma snapshot de uma pasta partilhada quando deteta ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Perguntas frequentes<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">O que \u00e9 o ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>O ransomware C3RB3R \u00e9 uma variante para Linux da fam\u00edlia Cerber que vem atingindo dispositivos Synology NAS desde o final de outubro de 2026. Ele renomeia os arquivos com a extens\u00e3o L0CK3D, deixa uma nota de resgate read-me3.txt em cada pasta e exige Bitcoin por meio de uma p\u00e1gina na rede Tor.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Como o ransomware C3RB3R entra em um NAS Synology?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Atrav\u00e9s do DSM exposto \u00e0 Internet. Em 30 de outubro de 2026, a Synology confirmou que explora apenas a CVE-2024-10441 do Synology-SA-24:20, corrigida em dezembro de 2024, e que n\u00e3o tem rela\u00e7\u00e3o com o PHP2Shell. Atualize o DSM, verifique se existem scripts e contas de administrador que n\u00e3o tenha criado e pare de expor o DSM diretamente.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Os arquivos do ransomware C3RB3R podem ser descriptografados gratuitamente?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Apenas se o processo de criptografia ainda estiver em execu\u00e7\u00e3o. Congele-o com SIGSTOP e fa\u00e7a um dump da sua mem\u00f3ria, pois a chave de sess\u00e3o existe apenas l\u00e1. Assim que o processo for encerrado ou o NAS for reiniciado, nenhuma ferramenta p\u00fablica poder\u00e1 recuperar a chave.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Devo reiniciar ou desligar um NAS infectado?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>N\u00e3o. Em vez disso, corte a conex\u00e3o de rede. Um rein\u00edcio ou kill -9 destr\u00f3i a \u00fanica c\u00f3pia da chave. Congele o processo primeiro, salve sua mem\u00f3ria em outro disco e s\u00f3 ent\u00e3o fa\u00e7a a limpeza.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Atualizar o DSM remove o ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>N\u00e3o. Atualizar fecha a vulnerabilidade, mas n\u00e3o remove o que j\u00e1 est\u00e1 l\u00e1. V\u00edtimas encontraram persist\u00eancia no cron que sobreviveu \u00e0 atualiza\u00e7\u00e3o. Verifique o diret\u00f3rio cron.d, as tarefas agendadas e o telnet, e altere todas as senhas.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Os snapshots da Synology protegem contra o ransomware C3RB3R?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>As snapshots imut\u00e1veis protegem, porque ningu\u00e9m as pode eliminar durante o per\u00edodo de bloqueio, nem mesmo uma conta de administrador comprometida. O Active Insight adiciona uma rede de seguran\u00e7a ao criar automaticamente uma snapshot de uma pasta partilhada quando deteta ransomware, no m\u00e1ximo uma vez por dia por pasta.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Por que executar o Docker dentro do Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Porque os snapshots da VM ficam no host, fora do guest. O ransomware que assume o controle do guest n\u00e3o pode v\u00ea-los nem exclu\u00ed-los, portanto, a recupera\u00e7\u00e3o \u00e9 uma revers\u00e3o. O VMM Pro adiciona replica\u00e7\u00e3o para um segundo NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Pagar o resgate \u00e9 uma boa ideia?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>N\u00e3o recomendamos. O pagamento n\u00e3o garante o funcionamento e financia o pr\u00f3ximo ataque. Verifique primeiro os casos de resgate no GitHub e, em seguida, restaure a partir de c\u00f3pias mantidas fora do NAS infectado.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Fa\u00e7a com que o pr\u00f3ximo ataque do ransomware C3RB3R custe apenas uma restaura\u00e7\u00e3o, e n\u00e3o um resgate.<\/strong> Execute seus servi\u00e7os Docker dentro do Virtual DSM e proteja todo o guest com planos de prote\u00e7\u00e3o do VMM Pro, replicados para um segundo NAS. O SynoPower Club vende licen\u00e7as genu\u00ednas para ambos, com chaves entregues por e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pt\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenha uma licen\u00e7a Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/pt\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenha uma licen\u00e7a VMM Pro<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/pt\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}