{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/sv\/synology-c3rb3r-ransomware\/","title":{"rendered":"C3RB3R Ransomware p\u00e5 Synology: Ursprung, \u00e5terst\u00e4llning och hur du skyddar dig"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>C3RB3R-utpressningsprogram<\/strong> b\u00f6rjade dyka upp p\u00e5 Synology NAS-enheter omkring den 28 oktober 2026, och inom ett dygn var det det enda \u00e4mnet p\u00e5 r\/synology. Filer byter namn och f\u00e5r ett <code>L0CK3D<\/code> -till\u00e4gg (en nolla, inte bokstaven O), och varje mapp f\u00e5r en <code>read-me3.txt<\/code> l\u00f6sepenningnotering, samt att en Tor-portal kr\u00e4ver Bitcoin. Den snabbaste och mest anv\u00e4ndbara informationen kom inte fr\u00e5n engelskspr\u00e5kiga nyhetssajter. Den kom fr\u00e5n kinesiskspr\u00e5kiga forum, d\u00e4r Synology har en enorm anv\u00e4ndarbas, och fr\u00e5n tre GitHub-databaser skrivna av offer som faktiskt fick tillbaka sina data eller bevisade att det inte gick. Denna guide samlar vad som \u00e4r bekr\u00e4ftat om C3RB3R ransomware hittills: varifr\u00e5n det kom, hur det tar sig in, den enda \u00e5terst\u00e4llningsv\u00e4g som har fungerat, och den s\u00e4kerhetskopieringsdesign vi anv\u00e4nder s\u00e5 att en s\u00e5dan attack kostar oss en \u00e5terst\u00e4llning i st\u00e4llet f\u00f6r en l\u00f6sepenning.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Uppdatering, 31 oktober 2026:<\/strong> Synology har nu fastst\u00e4llt ing\u00e5ngspunkten. I ett e-postmeddelande till kunder den 30 oktober bekr\u00e4ftade de att C3RB3R ransomware endast utnyttjar s\u00e5rbarheten som \u00e5tg\u00e4rdades i Synology-SA-24:20, vilken korrigerades i december 2024, och att kampanjen inte har n\u00e5got att g\u00f6ra med PHP2Shell-s\u00e5rbarheten som korrigerades samma m\u00e5nad. Vi har lagt till Synologys egen checklista i fyra steg, v\u00e5r tolkning av varf\u00f6r attackerna utl\u00f6stes n\u00e4r de gjorde det, samt ett extra skyddslager vi anv\u00e4nder som de flesta \u00e4gare redan betalar f\u00f6r: Active Insight ransomware-skydd.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club-punkt:<\/strong>Ett offer i en kinesisk NAS-grupp hade \u00f6ver 50 TB p\u00e5 en enda enhet och inga \u00f6gonblicksbilder. Krypteringsprogrammet var tillr\u00e4ckligt l\u00e5ngsamt s\u00e5 att endast hans foton fr\u00e5n 2024 drabbades, och dessa r\u00e5kade ha en offline-kopia p\u00e5 en molnenhet. En annan f\u00f6rlorade fem \u00e5rs privata GitLab-databaser eftersom RAID 6 plus tre s\u00e4kerhetskopior alla fanns p\u00e5 samma maskin. C3RB3R ransomware besegrade inte deras lagring, det besegrade deras s\u00e4kerhetskopieringsdesign. Vi k\u00f6r v\u00e5ra offentliga webbplatser som Docker inuti Virtual DSM, tar \u00f6gonblicksbilder av hela g\u00e4sten fr\u00e5n v\u00e4rden, replikerar den till en sekund\u00e4r NAS och exporterar till USB och molnet enligt ett schema. Om en g\u00e4st blir krypterad i natt rullar vi tillbaka den till den senaste \u00f6gonblicksbilden och angriparen f\u00e5r ingenting.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Vad \u00e4r C3RB3R ransomware?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware \u00e4r en Linux-variant av Cerber-familjen, en ransomware-serie som funnits sedan 2016 och till och fr\u00e5n har riktat sig mot NAS-enheter i \u00e5ratal. 360 tillskriver v\u00e5gen mot Synology i oktober 2026 till denna. P\u00e5 en infekterad DSM-enhet k\u00f6rs krypteraren f\u00f6r C3RB3R ransomware som en statiskt l\u00e4nkad, UPX-packad x86-64-bin\u00e4rfil med namnet <code>libgld<\/code>. Den raderar sin egen fil efter start, s\u00e5 den ig\u00e5ngvarande processen visar <code>(borttagen)<\/code> bredvid s\u00f6kv\u00e4gen till den k\u00f6rbara filen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Det du ser som \u00e4gare till en enhet som drabbats av C3RB3R ransomware \u00e4r detsamma i alla rapporter:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Filer omd\u00f6pta till <code>name.ext.L0CK3D<\/code>. Vissa rapporter stavar det <code>LOCK3D<\/code>, men GitHub-analyserna anger nollan.<\/li>\n\n\n\n<li>En l\u00f6sepenningnotering med namnet <code>read-me3.txt<\/code> i varje krypterad mapp, med rubriken C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>En Tor-sida med titeln C3rb3r Decryptor. En sk\u00e4rmdump fr\u00e5n ett offer visade 0,03696 BTC (cirka 2 952 USD) om det betalades inom fem dagar, vilket f\u00f6rdubblades till 0,07392 BTC (cirka 5 904 USD) d\u00e4refter, tillsammans med en nedr\u00e4kningsklocka.<\/li>\n\n\n\n<li>Best\u00e4ndighet via cron-poster som matchar <code>\/etc\/cron.d\/synot*<\/code>, vilka skapar om sig sj\u00e4lva och \u00f6verlevde en DSM-uppgradering i minst ett fall.<\/li>\n\n\n\n<li>S\u00e4kerhetskopierade filer p\u00e5 samma volym krypteras tillsammans med allt annat, inklusive Hyper Backup-m\u00e5l och databasdumpar.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">Var det b\u00f6rjade: r\/synology och kinesiska forum<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware uppm\u00e4rksammades f\u00f6rst p\u00e5 engelska p\u00e5 r\/synology, d\u00e4r offer gjorde inl\u00e4gg inom cirka ett dygn fr\u00e5n varandra omkring den 28 och 29 oktober 2026. Inom n\u00e5gra timmar uppgav l\u00e4sare att en ny tr\u00e5d d\u00f6k upp varje g\u00e5ng de uppdaterade subredden. Tre av dessa tr\u00e5dar \u00e4r v\u00e4rda att l\u00e4sa i sin helhet, eftersom varje tr\u00e5d bidrar med en ny pusselbit:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Den forensiska analysen.<\/strong> En \u00e4gare av DS918+ med DSM 7.2.1-69057 Update 5, d\u00e4r webbgr\u00e4nssnittet var n\u00e5bart fr\u00e5n internet, st\u00e4ngde av enheten och unders\u00f6kte diskarna i skrivskyddat l\u00e4ge p\u00e5 en Proxmox-v\u00e4rd. DSM-autentiseringsloggen inneh\u00f6ll en inloggningsbeg\u00e4ran vars kontof\u00e4lt inneh\u00f6ll injicerade <code>LD_PRELOAD<\/code> och <code>LD_DEBUG_OUTPUT<\/code> -rader plus ett kodat skalkommando, samt en fil under <code>\/etc\/cron.d<\/code>. Det matchar den publicerade tekniken f\u00f6r CVE-2024-10441. En 3-2-1-s\u00e4kerhetskopia innebar att attacken kostade en \u00e5terst\u00e4llning, inte en l\u00f6sepenning. L\u00e4s den h\u00e4r: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Tja, det h\u00e4nde till slut. Min f\u00f6rsta riktiga utpressningsprogramsincident<\/a>.<\/li>\n\n\n\n<li><strong>Anv\u00e4ndaren som bara anv\u00e4nde Photos.<\/strong> Denna \u00e4gare trodde att DSM var uppdaterat och anv\u00e4nde bara Synology Photos, men UPnP var aktiverat p\u00e5 routern. Efter en \u00e5terst\u00e4llning i l\u00e4ge 2 kom mappar som omfattades av Snapshot Replication tillbaka. Mappar utan \u00f6gonblicksbilder gjorde det inte, och den lokala USB-enheten f\u00f6r Hyper Backup krypterades tillsammans med NAS:en. L\u00e4s den h\u00e4r: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Drabbades av c3rb3r-utpressningsprogram i morse<\/a>.<\/li>\n\n\n\n<li><strong>QuickConnect-diskussionen.<\/strong> Den ursprungliga skribenten m\u00e4rkte det f\u00f6rst efter att DSM f\u00f6rs\u00e4mrades och en \u00e5terinstallation avsl\u00f6jade de krypterade filerna. I svaren uppgav en annan l\u00e4sare med ett starkt l\u00f6senord, 2FA och QuickConnect aktiverat att \u00e4ven de drabbats, och andra p\u00e5pekade att anv\u00e4ndare som enbart anv\u00e4nder appar helt kan st\u00e4nga av DSM-\u00e5tkomst i QuickConnect. L\u00e4s den h\u00e4r: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Drabbades av C3RB3R-utpressningsprogram<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Sammantaget \u00e4r m\u00f6nstret tydligt. C3RB3R ransomware beh\u00f6vde bara en DSM-inloggningssida som det kunde n\u00e5, inget mer. L\u00f6senord och 2FA hj\u00e4lpte inte, eftersom exploateringen sker f\u00f6re autentiseringen. Den forensiska analysen uttryckte det tydligt: beg\u00e4ran n\u00e5dde ett s\u00e5rbart program, och ytterligare en l\u00f6senordsprompt hade inte f\u00f6rhindrat det.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Det djupare tekniska arbetet skedde p\u00e5 kinesiska. Offer i WeChat- och Xiaohongshu-grupper lade upp utpressningsmeddelanden, j\u00e4mf\u00f6rde tidslinjer och h\u00e4nvisade varandra till de GitHub-arkiv som behandlas nedan. En taiwanesisk Synology-gemenskap p\u00e5 Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">samlade in samma \u00e5terst\u00e4llningsl\u00e4nkar<\/a> f\u00f6r lokala anv\u00e4ndare. Det \u00e4r logiskt: Synology \u00e4r ett taiwanesiskt f\u00f6retag och dess st\u00f6rsta anv\u00e4ndargemenskaper \u00e4r kinesisktalande, s\u00e5 det var d\u00e4r m\u00e4ngden fall av C3RB3R ransomware, och d\u00e4rmed den snabbaste m\u00f6nsterigenk\u00e4nningen, kom ifr\u00e5n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Synology sj\u00e4lva publicerade <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">ett s\u00e4kerhetsmeddelande<\/a> den 29 oktober 2026, d\u00e4r de uppgav att de identifierat hotakt\u00f6rer som utnyttjar en s\u00e5rbarhet som korrigerades i december 2024 mot f\u00f6r\u00e5ldrade DSM-versioner, och uppmanade alla att uppdatera omedelbart.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Hur utpressningsprogrammet C3RB3R tar sig in<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Under de tv\u00e5 f\u00f6rsta dagarna fanns det tv\u00e5 t\u00e4nkbara ing\u00e5ngspunkter. Synology har sedan dess bekr\u00e4ftat den \u00e4ldre. I deras e-postmeddelande fr\u00e5n den 30 oktober st\u00e5r det att attackerna endast utnyttjar s\u00e5rbarheten som hanteras i Synology-SA-24:20 och att C3RB3R ransomware inte har n\u00e5gonting med PHP2Shell att g\u00f6ra. Tabellen nedan visar b\u00e5da kandidaterna s\u00e5 som de debatterades, eftersom b\u00e5da tv\u00e5 fortfarande \u00e4r v\u00e4rda att korrigera.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology s\u00e4ger<\/th><th>360 s\u00e4ger<\/th><\/tr><\/thead><tbody><tr><td>R\u00e5dgivande<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, oautentiserad fj\u00e4rrk\u00f6rning av kod i systemets till\u00e4ggsdaemon<\/td><td>CVE-2026-13639 (inloggningslogik) och CVE-2026-13684 (SCGI), b\u00e5da CVSS 9.8<\/td><\/tr><tr><td>Korrigerad<\/td><td>November till december 2024<\/td><td>18 september 2026<\/td><\/tr><tr><td>\u00c5tg\u00e4rdade versioner<\/td><td>DSM 7.2.2-72806 Uppdatering 1, 7.2.1-69057 Uppdatering 6, 7.2-64570 Uppdatering 4, 7.1.1-42962 Uppdatering 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Uppdatering 4, 7.2.2-72806 Uppdatering 9, 7.2.1-69057 Uppdatering 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">De tekniska bevisen lutar \u00e5t det \u00e4ldre felet hos i alla fall n\u00e5gra av offren. Den mest detaljerade Reddit-rapporten matchade sina egna bevarade loggar med den publicerade exploateringen f\u00f6r CVE-2024-10441, samtidigt som det noterades att Synology inte hade bekr\u00e4ftat det och att samma enhet ocks\u00e5 l\u00e5g under korrigeringsniv\u00e5n f\u00f6r SA-26:13. soimy-rapporten uppger att minnesloggar fr\u00e5n den infekterade g\u00e4sten pekar p\u00e5 injicering av milj\u00f6variabler via DSM-inloggningstill\u00e4gget, vilket st\u00e4mmer \u00f6verens med CVE-2024-10441, och ett offentligt \"proof of concept\" som utnyttjar inloggningsanv\u00e4ndarnamnsf\u00e4ltet d\u00f6k upp p\u00e5 GitHub n\u00e5gra dagar f\u00f6re utbrottet. Tv\u00e5 av de tre dokumenterade r\u00e4ddningsfallen k\u00f6rdes p\u00e5 icke-originalh\u00e5rdvara med en DS918+-bootloader, varav en p\u00e5 DSM 7.2-64570 Update 3, vilket \u00e4r exakt en uppdatering ifr\u00e5n korrigeringen f\u00f6r CVE-2024-10441. Klonad h\u00e5rdvara kan inte enkelt ta emot officiella uppdateringar, vilket g\u00f6r den till det enklaste m\u00e5let i populationen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Den praktiska slutsatsen har inte \u00e4ndrats: uppdatera till en version som t\u00e4cker b\u00e5da s\u00e4kerhetsmeddelandena och sluta exponera DSM mot internet. Men en fr\u00e5ga kvarstod. Om h\u00e5let t\u00e4pptes till i december 2024, varf\u00f6r drabbades s\u00e5 m\u00e5nga enheter av C3RB3R ransomware inom samma tv\u00e5 dagar i oktober 2026, inklusive n\u00e5gra d\u00e4r \u00e4garna trodde att de var uppdaterade?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Planterades tidigt, detonerades p\u00e5 signal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">V\u00e5r tolkning, vilket \u00e4r v\u00e5r egen bed\u00f6mning snarare \u00e4n n\u00e5got Synology har uttalat, \u00e4r att inbrottet f\u00f6r C3RB3R ransomware och krypteringen \u00e4r tv\u00e5 separata h\u00e4ndelser. Bevisen pekar \u00e5t det h\u00e5llet:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Bakd\u00f6rren kom f\u00f6rst.<\/strong> I Xiaohongshu-fallet nedan hade ett bakd\u00f6rrsskal funnits p\u00e5 deras NAS i 37 dagar och aktiverat telnet som root innan en enda fil krypterades.<\/li>\n\n\n\n<li><strong>Den \u00f6verlever uppdateringar.<\/strong> Cron-posterna under <code>\/etc\/cron.d\/synot*<\/code> \u00e5terskapar sig sj\u00e4lva, och minst ett offer fann att de fortfarande fanns kvar efter uppgradering till den senaste DSM-versionen. Uppdateringen t\u00e4ppte till h\u00e5let men l\u00e4mnade inkr\u00e4ktaren kvar p\u00e5 insidan.<\/li>\n\n\n\n<li><strong>Detonationerna var synkroniserade.<\/strong> Enheter med C3RB3R ransomware som komprometterats vid olika tillf\u00e4llen och p\u00e5 olika versioner b\u00f6rjade kryptera inom ungef\u00e4r 48 timmar fr\u00e5n varandra.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Det m\u00f6nstret passar en akt\u00f6r som planterat implantat f\u00f6r C3RB3R ransomware p\u00e5 ouppdaterade enheter under flera m\u00e5nader och sedan valt n\u00e4r de ska trycka p\u00e5 avtryckaren p\u00e5 distans. \u00d6gonblicket de valde var PHP2Shell-veckan, n\u00e4r alla Synology-administrat\u00f6rer var upptagna med att patcha, m\u00e5nga enheter nyss hade uppdaterats och \u00e4garna k\u00e4nde sig s\u00e4kra f\u00f6r att de gjort det. Synology \u00e4r tydliga med att PHP2Shell inte var v\u00e4gen in. Det var t\u00e4ckmanteln. L\u00e4rdomen \u00e4r att en enhet som en g\u00e5ng exponerats medan den var ouppdaterad b\u00f6r behandlas som komprometterad tills den har kontrollerats, vilket \u00e4r exakt vad steg ett i Synologys checklista ber dig att g\u00f6ra.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">F\u00f6rsta \u00e5tg\u00e4rd vid C3RB3R ransomware i 4 steg<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Om du hittar <code>L0CK3D<\/code> -filer just nu, avg\u00f6r ordningen under de n\u00e4rmaste tio minuterna om \u00e5terst\u00e4llning \u00f6verhuvudtaget \u00e4r m\u00f6jlig. Nyckeln som l\u00e5ser upp dina filer finns endast i den aktiva C3RB3R ransomware-processen. En omstart, en <code>kill -9<\/code> eller en ominstallation av DSM f\u00f6rst\u00f6r den.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Koppla bort n\u00e4tverket, inte str\u00f6mmen<\/h3>\n<div class=\"rank-math-step-content\"><p>Koppla ur WAN-sidan eller ta bort routerns portvidarebefordringar och UPnP-mappningar. St\u00e4ng inte av din NAS och starta inte om den. St\u00e4ng all SSH- eller telnet-\u00e5tkomst som du inte har \u00f6ppnat sj\u00e4lv.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Hitta och frys krypteraren<\/h3>\n<div class=\"rank-math-step-content\"><p>Via SSH som root, lista processer vars k\u00f6rbara fil har raderats, och skicka sedan SIGSTOP med kill -STOP och PID. En frusen process beh\u00e5ller sitt minne, och dess minne inneh\u00e5ller sessionsnyckeln.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Dumpa den frusna processens minne<\/h3>\n<div class=\"rank-math-step-content\"><p>F\u00f6lj instruktionerna i Benjamin-zlt-arkivet f\u00f6r att l\u00e4sa det skrivbara minnet f\u00f6r det PID:et fr\u00e5n proc-filsystemet till en separat disk. P\u00e5 en virtuell maskin fungerar \u00e4ven en fullst\u00e4ndig \u00f6gonblicksbild av g\u00e4stminnet fr\u00e5n hypervisorn.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Bevara bevis och st\u00e4da sedan upp<\/h3>\n<div class=\"rank-math-step-content\"><p>L\u00e4mna varje L0CK3D-fil och utpressningsmeddelande or\u00f6rt. Kopiera ut data som fortfarande g\u00e5r att l\u00e4sa. F\u00f6rst n\u00e4r minnet \u00e4r s\u00e4krat tar du bort synot-cron-posterna, byter alla l\u00f6senord och uppdaterar DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Kommandona bakom steg 2 och 3 ser ut s\u00e5 h\u00e4r. L\u00e4s arkiven innan du k\u00f6r n\u00e5got, eftersom detaljerna beror p\u00e5 vilken bin\u00e4rfil du har.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Steg 2: hitta krypteraren (dess k\u00f6rbara fil visas som raderad)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Frys den. Anv\u00e4nd aldrig kill -9 h\u00e4r.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # b\u00f6r visa T (stopped)<\/th><th># Leta efter den best\u00e4ndighet som h\u00e4mtar tillbaka den<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Kan du dekryptera det? De tre r\u00e4ddningsfallen p\u00e5 GitHub<\/a><\/td><td>Det finns ingen universell dekrypterare f\u00f6r C3RB3R ransomware, och alla som s\u00e4ljer en gissar bara. Det som finns \u00e4r tre noggranna fallstudier som visar exakt n\u00e4r en \u00e5terst\u00e4llning fungerar.<\/td><td>Repository<\/td><td>Maskin<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Resultat<\/a><\/td><td>Varf\u00f6r<\/td><td>Repository<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en virtuell Proxmox VE-maskin som k\u00f6r GitLab<\/a><\/td><td>\u00c5terst\u00e4lld<\/td><td>En kopia p\u00e5 16 GiB av g\u00e4stens RAM inneh\u00f6ll sessionsnyckeln p\u00e5 48 byte. GitLab \u00e5terst\u00e4lldes med 80 projekt och 9 253 LFS-objekt.<\/td><td>Krypteraren hade redan avslutats cirka 30 timmar tidigare. Fullst\u00e4ndiga RAM- och swap-skanningar hittade ingen nyckel.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Det tredje arkivet \u00e4r det viktigaste att l\u00e4sa, eftersom dess titel \u00e4r dess l\u00e4xa: aldrig omstartad betyder inte \u00e5terst\u00e4llningsbar. Det som spelar roll \u00e4r om C3RB3R ransomware-processen fortfarande \u00e4r ig\u00e5ng. N\u00e4r den avslutas nollst\u00e4ller den sin nyckelbuffert, och nyckeln \u00e4r borta. En nyckel som \u00e5terst\u00e4lls p\u00e5 ett offer \u00e4r ocks\u00e5 oanv\u00e4ndbar p\u00e5 ett annat, eftersom varje k\u00f6rning genererar en ny sessionsnyckel.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Varf\u00f6r nyckeln endast finns i minnet<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Benjamin-zlt-analysen f\u00f6rklarar filformatet f\u00f6r C3RB3R ransomware i detalj, och den f\u00f6rklarar b\u00e5de varf\u00f6r detta fungerar och varf\u00f6r det oftast inte g\u00f6r det.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Varje fil f\u00e5r sin egen slumpm\u00e4ssiga ChaCha8-nyckel.<\/strong> Den nyckeln paketeras med en sessionshuvudnyckel med AES-256-CBC och lagras i en 588-bytes trailer i slutet av filen.<\/li>\n\n\n\n<li><strong>Sessionshuvudnyckeln \u00e4r p\u00e5 48 byte:<\/strong> en 16-byte IV plus en 32-byte AES-nyckel. Den skrivs aldrig till disken. En global pekare inuti den aktiva processen pekar p\u00e5 den.<\/li>\n\n\n\n<li><strong>Trailern inneh\u00e5ller ocks\u00e5 en blob paketerad med angriparens offentliga nyckel<\/strong> (RSA-2048), s\u00e5 utan den aktiva processen kan endast angriparen \u00e5terst\u00e4lla sessionsnyckeln.<\/li>\n\n\n\n<li><strong>Inte alla filer \u00e4r helt krypterade.<\/strong> I ett urval p\u00e5 400 filer anv\u00e4nde cirka 56 % segmenterat l\u00e4ge, 31 % hade bara den f\u00f6rsta 1 MiB krypterad, och 13 % var krypterade fr\u00e5n b\u00f6rjan till slut. Delvis krypterade filer \u00e4r fortfarande inte l\u00e4sbara, men footer-triage talar om vad som \u00e4r kvar.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">S\u00e5 svagheten i C3RB3R ransomware \u00e4r smal och tidsbegr\u00e4nsad: krypteraren beh\u00e5ller huvudnyckeln i minnet under hela sessionen. Frys den medan den k\u00f6rs s\u00e5 kan du lyfta ut nyckeln. Missar du det f\u00f6nstret st\u00e5r du kvar med bloben med den offentliga nyckeln, som \u00e4r utformad f\u00f6r att vara okn\u00e4ckbar.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">En offerber\u00e4ttelse: 50 TB och inga \u00f6gonblicksbilder<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ett detaljerat konto publicerat p\u00e5 Xiaohongshu den 29 oktober 2026 av anv\u00e4ndaren \u67ef\u57fa\u7231\u597d\u8005 f\u00f6ljer en medlem i deras NAS-grupp under natten. Han lade m\u00e4rke till C3RB3R ransomware-anteckningen, bekr\u00e4ftade C3RB3R INSTRUCTIONS-rubriken och var n\u00e4ra att k\u00f6pa Bitcoin innan gruppen pekade honom p\u00e5 GitHub-fallen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Han anv\u00e4nde sedan en AI-kodningsassistent \u00f6ver SSH f\u00f6r att unders\u00f6ka. Den hittade och fr\u00f6s krypteraren, s\u00e5 inget nytt krypterades efter den tidpunkten. Den fann ocks\u00e5 att ett sannolikt bakd\u00f6rrsskal hade funnits p\u00e5 NAS:en i 37 dagar och hade aktiverat telnet som root, vilket inneb\u00e4r att det initiala inbrottet och krypteringen skedde med mer \u00e4n en m\u00e5nads mellanrum. Den skrev ett bevisinsamlingsskript och v\u00e4ntade helt korrekt p\u00e5 att han skulle bekr\u00e4fta innan den k\u00f6rde n\u00e5got som root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hans tur var att C3RB3R ransomware \u00e4r l\u00e5ngsamt. Med mer \u00e4n 50 TB att tugga sig igenom hade krypteraren bara n\u00e5tt hans foton fr\u00e5n 2024, och de hade en kalla kopia p\u00e5 en molnenhet. Han flyttade arbetsdata till en mindre NAS och parkerade den krypterade volymen till senare. Hans egen sammanfattning var rak p\u00e5 sak: han hade inga \u00f6gonblicksbilder, och med \u00f6gonblicksbilder hade detta varit enkelt att fixa. Ett annat offer p\u00e5 X sammanfattade samma l\u00e4xa fr\u00e5n andra sidan: RAID 6 plus tre s\u00e4kerhetskopior, alla p\u00e5 samma enhet, alla krypterade tillsammans.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Hur vi h\u00e5ller C3RB3R ransomware borta fr\u00e5n v\u00e5ra s\u00e4kerhetskopior<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Varje historia om f\u00f6rlorade data ovan har samma m\u00f6nster: s\u00e4kerhetskopiorna var n\u00e5bara fr\u00e5n maskinen som blev kapad. C3RB3R ransomware krypterar allt som den komprometterade DSM kan skriva till, s\u00e5 l\u00f6sningen \u00e4r att h\u00e5lla minst en kopia n\u00e5gonstans d\u00e4r DSM inte kan skriva alls. S\u00e5 h\u00e4r g\u00f6r vi f\u00f6r webbplatserna vi \u00e4r v\u00e4rd f\u00f6r, och det passar in p\u00e5 3-2-1-1-0-regeln.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Regel<\/th><th>Betydelse<\/th><th>Hur vi g\u00f6r det<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Tre kopior av data<\/td><td>Den aktiva VM-instansen, en replik p\u00e5 en sekund\u00e4r NAS och en schemalagd export<\/td><\/tr><tr><td>2<\/td><td>Tv\u00e5 typer av media<\/td><td>NAS-volymer plus en USB-enhet och en molnenhet<\/td><\/tr><tr><td>1<\/td><td>En kopia utanf\u00f6r anl\u00e4ggningen<\/td><td>Exporter synkroniserade till Google Drive med Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>En kopia offline eller of\u00f6r\u00e4nderlig (immutable)<\/td><td>\u00d6gonblicksbilder f\u00f6r VM p\u00e5 v\u00e4rdsidan som g\u00e4sten inte kan komma \u00e5t, plus den urkopplade USB-exporten<\/td><\/tr><tr><td>0<\/td><td>Noll fel vid \u00e5terst\u00e4llning<\/td><td>Vi \u00e5terst\u00e4ller och startar faktiskt fr\u00e5n replikerna n\u00e4r vi flyttar VM-instanser mellan v\u00e4rdar<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">K\u00f6r Docker inuti Virtual DSM, inte p\u00e5 v\u00e4rden<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">V\u00e5ra WordPress-containrar k\u00f6rs inte p\u00e5 den fysiska NAS:en. De k\u00f6rs inuti en Virtual DSM-g\u00e4st, och g\u00e4sten skyddas av Virtual Machine Manager p\u00e5 v\u00e4rden. Om C3RB3R ransomware f\u00e5r root inuti g\u00e4sten kommer de bara \u00e5t den g\u00e4sten och inget annat. \u00d6gonblicksbilderna av g\u00e4sten finns p\u00e5 v\u00e4rdlagringen, utanf\u00f6r g\u00e4stens filsystem, s\u00e5 ransomware inuti VM kan inte se dem, \u00e4n mindre kryptera eller radera dem. \u00c5terst\u00e4llning \u00e4r en \u00e5terg\u00e5ng till en \u00f6gonblicksbild som m\u00e4ts i minuter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro l\u00e4gger till delarna som g\u00f6r det till en riktig s\u00e4kerhetskopia: en skyddsplan som tar \u00f6gonblicksbilder av VM och replikerar den till en andra NAS i klustret, s\u00e5 att en urfunktion v\u00e4rd ocks\u00e5 t\u00e4cks. V\u00e5rt kluster best\u00e5r av en DS1621xs+ och en DS1525+ som replikerar till varandra. Vi beskrev <a href=\"https:\/\/synopower.club\/sv\/docs\/vmm-backup-google-drive-cloud-sync\/\">schemalagd export och Cloud Sync till Google Drive<\/a> -delen separat, och <a href=\"https:\/\/synopower.club\/sv\/docs\/synology-virtual-machine-manager-vs-vmm-pro\/\">j\u00e4mf\u00f6relsen mellan gratis VMM och VMM Pro<\/a> f\u00f6rklarar vilka delar som kr\u00e4ver licensen.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Skyddsplan i VMM Pro som replikerar en Virtual DSM-g\u00e4st till en andra NAS som f\u00f6rsvar mot C3RB3R-ransomware\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">V\u00e5r Virtual DSM-g\u00e4st spc_4C8G: \u00f6gonblicksbilder var 12:e timme, replikerade fr\u00e5n DS1621xs+ till DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Om du k\u00f6r Docker direkt p\u00e5 DSM, anv\u00e4nd of\u00f6r\u00e4nderliga \u00f6gonblicksbilder (immutable snapshots)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Alla vill inte ha ett VM-lager. Om dina containrar k\u00f6rs p\u00e5 v\u00e4rden \u00e4r f\u00f6rsvaret mot C3RB3R ransomware of\u00f6r\u00e4nderliga \u00f6gonblicksbilder. Aktivera dem i Snapshot Replication f\u00f6r den delade mappen som inneh\u00e5ller dina containerdata. De kr\u00e4ver DSM 7.2 eller senare och en Btrfs-volym, och under l\u00e5sperioden kan ingen radera dem, inklusive ett administrat\u00f6rskonto som angriparen har tagit \u00f6ver. Tv\u00e5 detaljer avg\u00f6r om detta lyckas eller misslyckas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Anv\u00e4nd bind-monteringar till en delad mapp<\/strong> s\u00e5som <code>\/volume1\/docker\/app<\/code>. Namngivna Docker-volymer ligger under <code>\/volume1\/@docker<\/code>, vilket inte \u00e4r en delad mapp och det g\u00e5r inte alls att ta \u00f6gonblicksbilder av den.<\/li>\n\n\n\n<li><strong>Dumpa databaser till en fil f\u00f6re \u00f6gonblicksbilden.<\/strong> En \u00f6gonblicksbild av en ig\u00e5ngvarande MariaDB \u00e4r en str\u00f6mavbrottskopia. En schemalagd <code>mysqldump<\/code> till samma delade mapp ger dig en ren \u00e5terst\u00e4llningspunkt som \u00f6gonblicksbilden sedan l\u00e5ser.<\/li>\n\n\n\n<li><strong>V\u00e4lj en l\u00e5speriod som \u00e4r l\u00e4ngre \u00e4n vad en angripare kan sitta tyst.<\/strong> Offret ovan hade en bakd\u00f6rr i 37 dagar innan krypteringen startade. Sju dagars of\u00f6r\u00e4nderliga \u00f6gonblicksbilder skulle inte ha r\u00e4ckt tillbaka till ett rent tillst\u00e5nd.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Inst\u00e4llningar f\u00f6r Snapshot Replication med of\u00f6r\u00e4nderliga \u00f6gonblicksbilder aktiverade f\u00f6r att skydda en delad mapp mot C3RB3R-ransomware\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Inst\u00e4llningar f\u00f6r en delad mapp: ett dagligt schema med of\u00f6r\u00e4nderliga \u00f6gonblicksbilder l\u00e5sta i 30 dagar.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">V\u00e5rt extra lager: Active Insight tar en \u00f6gonblicksbild n\u00e4r krypteringen startar<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">H\u00e4r \u00e4r lagret som de flesta guider missar. Active Insight, Synologys moln\u00f6vervakningstj\u00e4nst, kan \u00f6vervaka filaktivitet i dina delade mappar, och s\u00e5 fort den avg\u00f6r att den ser ransomware reagerar den p\u00e5 egen hand. Synology dokumenterar det i sin <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">s\u00e4kerhetsguide f\u00f6r NAS<\/a>: n\u00e4r en ransomware-h\u00e4ndelse uppt\u00e4cks skickar Active Insight ett h\u00e4ndelsemeddelande och tar automatiskt en \u00f6gonblicksbild av den delade mappen, och p\u00e5 modeller som st\u00f6ds \u00e4r den \u00f6gonblicksbilden of\u00f6r\u00e4nderlig.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Varf\u00f6r detta har s\u00e4rskild betydelse f\u00f6r C3RB3R ransomware: krypteringen i C3RB3R ransomware \u00e4r l\u00e5ngsam. Offret med mer \u00e4n 50 TB var bara framme vid sina bilder fr\u00e5n 2024 n\u00e4r han uppt\u00e4ckte det. En \u00f6gonblicksbild som tas n\u00e4r krypteringsm\u00f6nstret f\u00f6rst uppt\u00e4cks fryser allt som inte har r\u00f6rts \u00e4n, vilket kan vara det mesta av volymen. Den bryr sig inte heller om hur C3RB3R ransomware tog sig in, eftersom den \u00f6vervakar vad som h\u00e4nder med filerna, inte inloggningssidan. P\u00e5 v\u00e5r DS1621xs+ visar sidan Filaktivitet att ransomware-skyddet \u00e4r Skyddad.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Active Insight File Activity-sidan visar ransomware-skydd som Skyddad p\u00e5 en DS1621xs+, ett s\u00e4kerhetsn\u00e4t mot C3RB3R-ransomware\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Active Insight-filaktivitet p\u00e5 v\u00e5r DS1621xs+: ransomware-skyddet \u00e4r p\u00e5, s\u00e5 en uppt\u00e4ckt C3RB3R ransomware-h\u00e4ndelse utl\u00f6ser en automatisk \u00f6gonblicksbild.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">L\u00e4s begr\u00e4nsningarna innan du litar p\u00e5 funktionen. De kommer fr\u00e5n Synologys <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">dokumentation om Filaktivitet<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>\u00d6vervakning av filaktivitet \u00e4r avst\u00e4ngd som standard.<\/strong> Registrera din NAS f\u00f6r Active Insight i Kontrollpanelen och aktivera sedan \u00f6vervakning f\u00f6r varje v\u00e4rd i Active Insight-portalen.<\/li>\n\n\n\n<li><strong>Den kr\u00e4ver Snapshot Replication,<\/strong> DSM 7.2 eller senare, Active Insight 3.0.2 eller senare, minst 1 GB minne och en Active Insight-licens tilldelad den enheten.<\/li>\n\n\n\n<li><strong>H\u00f6gst en automatisk \u00f6gonblicksbild per delad mapp och dag.<\/strong> Det \u00e4r ett skyddsn\u00e4t som tas efter att h\u00e4ndelsen uppt\u00e4ckts, inte en ers\u00e4ttning f\u00f6r schemalagda of\u00f6r\u00e4nderliga \u00f6gonblicksbilder.<\/li>\n\n\n\n<li><strong>Omfattas inte:<\/strong> Surveillance Station-inspelningsmappar och delade mappar p\u00e5 externa USB-enheter.<\/li>\n\n\n\n<li><strong>Of\u00f6r\u00e4nderlighet beror p\u00e5 modellen.<\/strong> P\u00e5 en modell utan of\u00f6r\u00e4nderliga \u00f6gonblicksbilder kan en angripare med root-beh\u00f6righet fortfarande radera den automatiska \u00f6gonblicksbilden, s\u00e5 kombinera den med det of\u00f6r\u00e4nderliga schemat ovan.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Vill du ha samma konfiguration?<\/strong> SynoPower Club s\u00e4ljer \u00e4kta licenser f\u00f6r b\u00e5da byggstenarna: en <a href=\"https:\/\/synopower.club\/sv\/virtual-dsm-vdsm-license-pack\/\">Virtual DSM (VDSM)-licens<\/a> f\u00f6r att k\u00f6ra dina Docker-tj\u00e4nster i en isolerad g\u00e4st, och en <a href=\"https:\/\/synopower.club\/sv\/synology-vmm-pro-license\/\">VMM Pro-licens<\/a> f\u00f6r skyddsplaner, replikering mellan NAS-enheter och live-migrering. Nycklar levereras via e-post.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/sv\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Skaffa en Virtual DSM-licens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/sv\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Skaffa en VMM Pro-licens<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Var man hittar fler officiella resurser<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C3RB3R ransomware p\u00e5 Synology har bara varit k\u00e4nt offentligt i tv\u00e5 dagar i skrivande stund, och det finns ingen officiell videot\u00e4ckning \u00e4nnu, s\u00e5 det h\u00e4r avsnittet listar prim\u00e4rk\u00e4llor ist\u00e4llet f\u00f6r genomg\u00e5ngar.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synologys s\u00e4kerhetsmeddelande<\/a> den 29 oktober 2026, som uppmanar anv\u00e4ndare med f\u00f6r\u00e5ldrad DSM att uppdatera omedelbart och aktivera automatiska uppdateringar, f\u00f6ljt den 30 oktober av ett e-postmeddelande till kunder som bekr\u00e4ftar SA-24:20 som den enda inblandade s\u00e5rbarheten.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> och <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> \u00e4r versionstabellerna. Kontrollera din version i Kontrollpanelen, sedan Uppdatera och \u00e5terst\u00e4ll, mot b\u00e5da.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM i en virtuell Proxmox VE-maskin som k\u00f6r GitLab<\/a> \u00e4r det b\u00e4sta indexet \u00f6ver alla k\u00e4nda fall, inklusive de som inte t\u00e4cks h\u00e4r, och den tydligaste f\u00f6rklaringen av n\u00e4r minnesforensik \u00e4r meningsl\u00f6s.<\/li>\n\n\n\n<li>De tre r\/synology-tr\u00e5darna som l\u00e4nkats ovan, s\u00e4rskilt den forensiska rapporten, som inneh\u00e5ller unders\u00f6kningskommandona f\u00f6r skrivskyddade diskar steg f\u00f6r steg: <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Jaha, nu h\u00e4nde det \u00e4ntligen<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Synologys egen checklista (30 oktober 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Synologys e-postmeddelande till kunder avslutas med fyra steg. De \u00e4r korta, och vart och ett av dem \u00e4r viktigt mot C3RB3R ransomware:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Kontrollera om det finns inkr\u00e4ktare.<\/strong> C3RB3R ransomware l\u00e4mnar efter sig schemalagd persistens, s\u00e5 k\u00f6r en s\u00f6kning med Security Advisor, och leta sedan i Task Scheduler efter skript du inte har skapat samt i User and Group efter administrat\u00f6rskonton du inte har lagt till. Om n\u00e5got ser fel ut, kontakta Synology Support.<\/li>\n\n\n\n<li><strong>Uppdatera allt.<\/strong> Installera den senaste versionen av DSM i Kontrollpanelen, Uppdatera och \u00e5terst\u00e4ll, och uppdatera sedan alla paket i Paketcenter.<\/li>\n\n\n\n<li><strong>Sl\u00e5 p\u00e5 automatiska uppdateringar<\/strong> i Uppdatera och \u00e5terst\u00e4ll, s\u00e5 att framtida s\u00e4kerhetskorrigeringar installeras s\u00e5 snart de sl\u00e4pps.<\/li>\n\n\n\n<li><strong>Ha en offsite-s\u00e4kerhetskopia.<\/strong> Anv\u00e4nd Hyper Backup och Snapshot Replication f\u00f6r att spara en kopia p\u00e5 en separat plats, och kontrollera regelbundet att s\u00e4kerhetskopieringarna faktiskt slutf\u00f6rs.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Steg ett \u00e4r det steg som folk hoppar \u00f6ver. Om din enhet var n\u00e5bar fr\u00e5n internet f\u00f6re korrigeringen i december 2024 kan C3RB3R ransomware redan ha f\u00e5tt f\u00e4ste, och att uppdatera idag talar inte om f\u00f6r dig om n\u00e5gon redan \u00e4r inne.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Ett gratisverktyg som utf\u00f6r kontrollen \u00e5t dig<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Om du \u00e4r bekv\u00e4m med en terminal kan steg ett nu vara ett enda kommando. synology-nas-cli \u00e4r ett kommandoradsverktyg med \u00f6ppen k\u00e4llkod under MIT-licens, sl\u00e4ppt den 30 oktober 2026 av den oberoende utvecklaren Akari Sora. Det loggar in i DSM via dess webb-API och granskar enheten mot denna kampanj. Projektet finns p\u00e5 GitHub: <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vi l\u00e4ste igenom dess kod innan vi l\u00e4nkade till den. Det anv\u00e4nder endast Pythons standardbibliotek och talar inte med n\u00e5got annat \u00e4n din NAS, nedladdningsservern f\u00f6r Synology, PyPI och soimy-r\u00e4ddningsverktyget. Det skickar ingen telemetri, och den grundl\u00e4ggande granskningen l\u00e4ser bara. Det h\u00e4r \u00e4r vad det kontrollerar:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Korrigeringsniv\u00e5.<\/strong> Din DSM-version mot Synology-SA-26:13, vilket ocks\u00e5 t\u00e4cker den \u00e4ldre korrigeringen SA-24:20, och dina installerade paket mot SA-26:14.<\/li>\n\n\n\n<li><strong>Exponering.<\/strong> QuickConnect, UPnP-portvidarebefordran p\u00e5 routern, DSM-brandv\u00e4ggen, AutoBlock, SMB1 och det inbyggda admin-kontot.<\/li>\n\n\n\n<li><strong>Sp\u00e5r av utpressningsprogrammet C3RB3R.<\/strong> De injicerade inloggningsstr\u00e4ngarna i anslutningsloggen, <code>\/etc\/cron.d\/synot*<\/code> -poster, <code>libgld<\/code> och <code>qnetd<\/code> -bin\u00e4rfiler, extra root-konton, SSH-nycklar och utpressningsmeddelanden p\u00e5 dina utdelade mappar.<\/li>\n\n\n\n<li><strong>\u00d6gonblicksbilder.<\/strong> Delade mappar som saknar ett fungerande schema f\u00f6r \u00f6gonblicksbilder.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Det kan ocks\u00e5 \u00e5tg\u00e4rda det mesta av vad det hittar. Om filer krypteras just nu fryser dess contain-kommando krypteraren med SIGSTOP, samma \u00e5tg\u00e4rd som steg tv\u00e5 i v\u00e5r lista \u00f6ver f\u00f6rsta \u00e5tg\u00e4rder. Dess rescue-kommando styr sedan soimy-verktyget f\u00f6r att f\u00e5nga minne och s\u00f6ka efter nyckeln.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # skrivskyddad granskning<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">L\u00e4s dessa anteckningar innan du l\u00e5ter det \u00e4ndra n\u00e5got:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Det \u00e4r helt nytt.<\/strong> Projektet \u00e4r bara n\u00e5gra dagar gammalt, kommer fr\u00e5n en enskild utvecklare, \u00e4r inte anslutet till Synology och har genomg\u00e5tt liten granskning utifr\u00e5n. B\u00f6rja med den skrivskyddade granskningen och en dry-run.<\/li>\n\n\n\n<li><strong>Brandv\u00e4ggs\u00e5tg\u00e4rden kan l\u00e5sa dig ute.<\/strong> Det \u00e4ndrar DSM-brandv\u00e4ggen till att neka allt utom de n\u00e4tverk du anger. K\u00f6r det fr\u00e5n en dator p\u00e5 samma lokala n\u00e4tverk (LAN), och ta reda p\u00e5 var RESET-knappen sitter.<\/li>\n\n\n\n<li><strong>Det st\u00e4nger av QuickConnect.<\/strong> Det \u00e4r den s\u00e4krare inst\u00e4llningen, men om din familj n\u00e5r Synology Photos eller Surveillance Station via QuickConnect, konfigurera ett VPN eller Tailscale f\u00f6rst.<\/li>\n\n\n\n<li><strong>Den djupa skanningen, contain och rescue k\u00f6rs som root.<\/strong> De fungerar via en tillf\u00e4llig Aktivitetsschemal\u00e4ggare-uppgift, eftersom det \u00e4r det enda s\u00e4ttet att l\u00e4sa root-skyddade loggar och frysa processer.<\/li>\n\n\n\n<li><strong>README-filen f\u00f6resl\u00e5r att du l\u00e4mnar \u00f6ver det till en AI-agent.<\/strong> Om du g\u00f6r det, f\u00f6rvara l\u00f6senordet i en l\u00f6senordshanterare ist\u00e4llet f\u00f6r i chatten, och bekr\u00e4fta \u00e5tg\u00e4rden sj\u00e4lv.<\/li>\n\n\n\n<li><strong>Minnesr\u00e4ddning fungerar bara s\u00e5 l\u00e4nge krypteraren \u00e4r ig\u00e5ng.<\/strong> Samma regel som f\u00f6r de tre GitHub-fallen g\u00e4ller.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00f6r resten av s\u00e4kringsarbetet t\u00e4cker v\u00e5ra guider om <a href=\"https:\/\/synopower.club\/sv\/docs\/synology-nas-security-public-website\/\">att k\u00f6ra en offentlig webbplats p\u00e5 en Synology NAS<\/a> och om <a href=\"https:\/\/synopower.club\/sv\/docs\/synology-threat-prevention-blind-spots\/\">vad Threat Prevention kan och inte kan se<\/a> n\u00e4tverkssidan, och <a href=\"https:\/\/synopower.club\/sv\/synology-php2shell-emergency-patch\/\">guiden f\u00f6r PHP2Shell-korrigeringen<\/a> t\u00e4cker det andra kritiska problemet som uppstod samma vecka.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Begr\u00e4nsningar och s\u00e4kerhetsanm\u00e4rkningar f\u00f6r C3RB3R Ransomware<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>En uppdatering tar inte bort en befintlig infektion.<\/strong> Minst ett offer fann att cron-best\u00e4ndigheten fortfarande fanns kvar efter uppgradering till senaste DSM. Om du var utsatt n\u00e4r du saknade korrigering, kontrollera <code>\/etc\/cron.d<\/code>, Schemal\u00e4ggaren, uppstartsskript och aktiverade tj\u00e4nster som telnet, och byt sedan alla inloggningsuppgifter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Uppdaterad \u00e4r inte samma sak som ren.<\/strong> Ett offer p\u00e5 Reddit trodde att DSM var uppdaterat, och ett annat drabbades trots att 2FA och ett starkt l\u00f6senord var aktiverat. En enhet som har utsatts f\u00f6r intr\u00e5ng innan den s\u00e4kerhetsuppdaterades kan b\u00e4ra med sig implantatet genom varje senare uppdatering. Behandla alla inloggningssidor f\u00f6r DSM som n\u00e5r internet som ett m\u00e5l, inklusive s\u00e5dana som publicerats via UPnP som du aldrig st\u00e4llt in avsiktligt. Anv\u00e4nd ett VPN eller Tailscale f\u00f6r fj\u00e4rr\u00e5tkomst och st\u00e4ng av UPnP p\u00e5 routern.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RAID och lokala s\u00e4kerhetskopior \u00e4r inte s\u00e4kerhetskopior mot C3RB3R ransomware.<\/strong> Allt som det komprometterade DSM kan skriva till kommer att krypteras, inklusive Hyper Backup-m\u00e5l p\u00e5 samma enhet och monterade n\u00e4tverksdelningar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Betala inte innan du har l\u00e4st fallen.<\/strong> Att betala C3RB3R ransomware-operat\u00f6rer finansierar n\u00e4sta v\u00e5g och garanterar ingenting. Om krypteringsprogrammet fortfarande k\u00f6rs \u00e4r minnesforensik din b\u00e4sta chans. Om det inte g\u00f6r det \u00e4r de realistiska v\u00e4garna dina egna externa kopior.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Var f\u00f6rsiktig med vad du klistrar in i en AI-assistent.<\/strong> AI-verktyg hj\u00e4lpte flera offer h\u00e4r, men ge dem inte l\u00f6senord, \u00e5terst\u00e4llda nycklar, fullst\u00e4ndiga minnesdumpar eller aff\u00e4rsdata. L\u00e5t dem f\u00f6resl\u00e5 kommandon och k\u00f6r allt som kr\u00e4ver root sj\u00e4lv.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Klonad h\u00e5rdvara medf\u00f6r extra risker.<\/strong> Flera dokumenterade offer k\u00f6rde DSM p\u00e5 icke-\u00e4kta h\u00e5rdvara, d\u00e4r officiella uppdateringar \u00e4r sv\u00e5ra eller om\u00f6jliga att installera. Om det \u00e4r din konfiguration, utg\u00e5 fr\u00e5n att du saknar s\u00e4kerhetsuppdateringar och koppla bort den helt fr\u00e5n internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Referenser<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Synologys s\u00e4kerhetsmeddelande om DSM-ransomware-attacker<\/a>, 29 oktober 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 och de korrigerade DSM-versionerna.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 och CVE-2026-13684, publicerad 18 september 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Benjamin-zlt C3RB3R ransomware bare-metal-r\u00e4ddning<\/a>, filformatet, nyckellayouten och SIGSTOP-arbetsfl\u00f6det.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">synology-nas-cli av Akari Sora<\/a>, ett verktyg med \u00f6ppen k\u00e4llkod f\u00f6r granskning och reaktion vid denna kampanj.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect om C3RB3R-kampanjen<\/a>, som sammanfattar 360-attribueringen och tidslinjen.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: f\u00f6rb\u00e4ttra s\u00e4kerheten f\u00f6r din Synology NAS<\/a>, inklusive hur Active Insight tar en \u00f6gonblicksbild av en delad mapp n\u00e4r det uppt\u00e4cker ransomware.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Vanliga fr\u00e5gor<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Vad \u00e4r C3RB3R ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>C3RB3R ransomware \u00e4r en Linux-variant av Cerber-familjen som har drabbat Synology NAS-enheter sedan slutet av oktober 2026. Det d\u00f6per om filer med fil\u00e4ndelsen L0CK3D, l\u00e4mnar ett read-me3.txt-utpressningsmeddelande i varje mapp och kr\u00e4ver Bitcoin via en Tor-sida.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hur tar sig C3RB3R-ransomware in i en Synology NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Genom att DSM \u00e4r exponerat mot internet. Den 30 oktober 2026 bekr\u00e4ftade Synology att det endast utnyttjar CVE-2024-10441 fr\u00e5n Synology-SA-24:20, som korrigerades i december 2024, och att det inte har n\u00e5got samband med PHP2Shell. Uppdatera DSM, kontrollera om det finns skript och administrat\u00f6rskonton som du inte har skapat och sluta exponera DSM direkt.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Kan filer som krypterats av C3RB3R-ransomware dekrypteras gratis?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Endast om krypteringsprocessen fortfarande k\u00f6rs. Frys den med SIGSTOP och dumpa dess minne, eftersom sessionsnyckeln endast finns d\u00e4r. N\u00e4r processen avslutas eller NAS-enheten startar om kan inget offentligt verktyg \u00e5terst\u00e4lla nyckeln.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">B\u00f6r jag starta om eller st\u00e4nga av en infekterad NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nej. Koppla bort n\u00e4tverksanslutningen i st\u00e4llet. En omstart eller kill -9 f\u00f6rst\u00f6r den enda kopian av nyckeln. Frys processen f\u00f6rst, spara dess minne till en annan disk och st\u00e4da f\u00f6rst d\u00e4refter.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Tar en uppdatering av DSM bort C3RB3R-ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nej. Uppdateringen t\u00e4pper till h\u00e5let men tar inte bort det som redan finns d\u00e4r. Offer har uppt\u00e4ckt att cron-best\u00e4ndighet \u00f6verlevt en uppgradering. Kontrollera katalogen cron.d, planerade uppgifter och telnet, och byt ut alla l\u00f6senord.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Skyddar Synology-\u00f6gonblicksbilder mot C3RB3R-ransomware?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Of\u00f6r\u00e4nderliga \u00f6gonblicksbilder g\u00f6r det, eftersom ingen kan radera dem under l\u00e5sperioden, inte ens ett kapat administrat\u00f6rskonto. Active Insight l\u00e4gger till ett skyddsn\u00e4t genom att automatiskt ta en \u00f6gonblicksbild av en delad mapp n\u00e4r det uppt\u00e4cker ransomware, som mest en g\u00e5ng om dagen per mapp.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Varf\u00f6r k\u00f6ra Docker inuti Virtual DSM?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Eftersom den virtuella maskinens \u00f6gonblicksbilder finns p\u00e5 v\u00e4rden, utanf\u00f6r g\u00e4sten. Ransomware som tar \u00f6ver g\u00e4sten kan inte se eller radera dem, s\u00e5 \u00e5terst\u00e4llning sker genom en \u00e5terrullning. VMM Pro l\u00e4gger till replikering till en andra NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00c4r det en bra id\u00e9 att betala l\u00f6sesumman?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Vi rekommenderar det inte. Betalning garanterar inte att det fungerar och det finansierar n\u00e4sta attack. Kontrollera r\u00e4ddningsfallen p\u00e5 GitHub f\u00f6rst och \u00e5terst\u00e4ll sedan fr\u00e5n kopior som f\u00f6rvaras utanf\u00f6r den infekterade NAS-enheten.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Se till att n\u00e4sta C3RB3R-ransomware-attack bara kostar dig en \u00e5terst\u00e4llning, inte en l\u00f6sesumma.<\/strong> K\u00f6r dina Docker-tj\u00e4nster inuti Virtual DSM och skydda hela g\u00e4sten med VMM Pro-skyddsplaner, replikerade till en andra NAS. SynoPower Club s\u00e4ljer \u00e4kta licenser f\u00f6r b\u00e5da, med nycklar levererade via e-post.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/sv\/virtual-dsm-vdsm-license-pack\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Skaffa en Virtual DSM-licens<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/sv\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Skaffa en VMM Pro-licens<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/sv\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}