Người dùng Synology NAS đang được cảnh báo về một chiến dịch tấn công ransomware nghiêm trọng. Tin tặc nhắm vào các thiết bị NAS chạy phiên bản Synology DiskStation Manager (DSM) chưa được cập nhật bản vá bảo mật, sau đó mã hóa dữ liệu và yêu cầu nạn nhân trả tiền chuộc.
📢 Tham gia kênh Telegram của AnonyViet
Cập nhật bài mới, tools hay và thủ thuật IT nhanh nhất
Đáng chú ý, các mẫu ransomware được báo cáo sử dụng phần mở rộng .L0CK3D (số 0 thay cho chữ O) và tạo file yêu cầu tiền chuộc có tên read-me3.txt trong các thư mục bị ảnh hưởng.
Chiến dịch được ghi nhận trong tháng 10/2026, với biến thể ransomware mang tên C3RB3R, thuộc họ Cerber. Đây là cảnh báo quan trọng đối với doanh nghiệp, quản trị viên hệ thống và người dùng đang sử dụng Synology NAS để lưu trữ dữ liệu hoặc làm máy chủ backup.
1. Synology NAS đang gặp sự cố ransomware gì?
Ngày 29/10/2026, Synology công bố cảnh báo về các cuộc tấn công ransomware nhắm vào thiết bị chạy phiên bản DSM cũ. Theo hãng, tin tặc đang khai thác một lỗ hổng đã được vá từ tháng 12/2024 để xâm nhập các thiết bị chưa cập nhật, mã hóa dữ liệu và tống tiền người dùng.
Trong khi đó, báo cáo từ nhóm nghiên cứu bảo mật 360 cũng ghi nhận các trường hợp Synology NAS bị mã hóa bởi ransomware C3RB3R. Các mẫu được phân tích có liên quan đến hai lỗ hổng DSM được công bố trong tháng 9/2026.
Dấu hiệu nhận biết ransomware C3RB3R
Nếu NAS bị nhiễm, người dùng có thể nhận thấy những dấu hiệu sau:
- Các file tài liệu, hình ảnh, video và dữ liệu backup không còn mở được.
- Tên file xuất hiện phần mở rộng bất thường .L0CK3D.
- Các thư mục chứa file bị ảnh hưởng xuất hiện file read-me3.txt.
- File yêu cầu tiền chuộc hướng dẫn nạn nhân truy cập một địa chỉ trên mạng Tor.
- Dữ liệu trên các thư mục chia sẻ (Shared Folder) có thể bị mã hóa hàng loạt.
Ví dụ:
Trước khi bị tấn công: /volume1/data/document.pdf /volume1/data/photo.jpg /volume1/data/backup.zip Sau khi bị mã hóa: /volume1/data/document.pdf.L0CK3D /volume1/data/photo.jpg.L0CK3D /volume1/data/backup.zip.L0CK3D File yêu cầu tiền chuộc: /volume1/data/read-me3.txt
Lưu ý: Không nên chỉ dựa vào phần mở rộng file để kết luận chính xác loại ransomware. Nếu thấy dấu hiệu tương tự, hãy lưu lại file mẫu và ransom note để phục vụ phân tích.
2. Những lỗ hổng bảo mật nào liên quan đến chiến dịch tấn công?
Hiện có hai nhóm thông tin bảo mật cần được phân biệt để tránh nhầm lẫn về nguyên nhân xâm nhập.
2.1. Lỗ hổng CVE-2024-10441 – Synology xác nhận bị khai thác
Trong thông báo ngày 29/10/2026, Synology cho biết tin tặc đang khai thác lỗ hổng đã được vá từ tháng 12/2024, đồng thời hướng người dùng tham khảo thông báo bảo mật Synology-SA-24:20.
Một trong những lỗ hổng được liệt kê trong thông báo này là CVE-2024-10441, có điểm CVSS 9.8/10.
- Mức độ nghiêm trọng: Critical.
- Thành phần: Chức năng cập nhật của Synology DSM và BeeStation OS.
- Loại lỗi: Improper Certificate Validation.
- Ảnh hưởng: Có thể cho phép kẻ tấn công từ xa ghi các file bị giới hạn thông qua những phương thức chưa được công bố đầy đủ.
Đây là lỗ hổng được Synology dẫn chiếu trong cảnh báo ransomware mới nhất. Người dùng thiết bị chạy phiên bản cũ cần kiểm tra bản vá ngay lập tức.
2.2. Hai lỗ hổng CVE-2026-13639 và CVE-2026-13684
Trước đó, ngày 18/09/2026, Synology phát hành thông báo bảo mật Synology-SA-26:13, cảnh báo nhiều lỗ hổng nghiêm trọng trong DiskStation Manager.
| CVE | CVSS | Mô tả |
|---|---|---|
| CVE-2026-13639 | 9.8 | Lỗi insufficient entropy trong logic đăng nhập DSM. |
| CVE-2026-13684 | 9.8 | Lỗi xử lý dữ liệu đầu ra trong thành phần SCGI, có thể dẫn đến đọc hoặc ghi file tùy ý. |
| CVE-2026-13673 | 8.8 | Lỗi phân quyền tài nguyên trong LDAP API. |
| CVE-2026-6205 | 8.1 | Lỗi kiểm soát đường dẫn trong Upload API. |
Đáng chú ý, báo cáo của 360 liên hệ các mẫu C3RB3R được phân tích với CVE-2026-13639 và CVE-2026-13684.
Tuy nhiên, không nên mặc định tất cả nạn nhân đều bị xâm nhập thông qua hai CVE này. Synology và các nhóm ứng cứu đang đề cập đến những quan sát khác nhau về đường tấn công.
3. Phiên bản Synology DSM nào cần cập nhật?
Theo thông báo Synology-SA-26:13, các phiên bản DSM cần được cập nhật lên những bản đã khắc phục lỗ hổng tương ứng.
| Phiên bản DSM | Bản vá tối thiểu |
|---|---|
| DSM 7.4 | 7.4-90075 trở lên |
| DSM 7.3 | 7.3.2-86009-4 trở lên |
| DSM 7.2.2 | 7.2.2-72806-9 trở lên |
| DSM 7.2.1 | 7.2.1-69057-12 trở lên |
Đối với lỗ hổng CVE-2024-10441 thuộc Synology-SA-24:20, các mốc phiên bản đã vá được công bố như sau:
| Phiên bản DSM | Bản đã vá CVE-2024-10441 |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 trở lên |
| DSM 7.2.1 | 7.2.1-69057-6 trở lên |
| DSM 7.2 | 7.2-64570-4 trở lên |
| DSM 7.1 | 7.1.1-42962-7 trở lên |
| DSM 6.2 | 6.2.4-25556-8 trở lên |
Quan trọng: Đây là các mốc vá tối thiểu của từng thông báo, không phải danh sách phiên bản mới nhất. Người dùng nên cập nhật lên phiên bản DSM mới nhất mà model NAS của mình hỗ trợ. Các model cũ không còn nhận được bản cập nhật cần được xem xét cô lập khỏi Internet hoặc thay thế.
4. Hướng dẫn cập nhật Synology DSM để phòng chống ransomware
Nếu NAS chưa có dấu hiệu bị mã hóa, hãy thực hiện các bước sau để giảm nguy cơ bị khai thác.
Bước 1: Kiểm tra phiên bản DSM hiện tại
- Đăng nhập vào giao diện quản trị Synology DSM.
- Chọn Control Panel.
- Truy cập Info Center.
- Kiểm tra thông tin DSM Version.
- Đối chiếu với các phiên bản đã vá ở phần trên.
Bước 2: Cập nhật DSM
- Mở Control Panel.
- Chọn Update & Restore.
- Chuyển sang tab DSM Update.
- Nhấn Check for Updates.
- Nếu có phiên bản mới, tiến hành tải xuống và cài đặt.
- Chờ NAS hoàn tất quá trình cập nhật và khởi động lại nếu được yêu cầu.
Trong trường hợp hệ thống không tự động hiển thị bản cập nhật, hãy truy cập Synology Download Center, chọn đúng model NAS và tải firmware chính thức tương ứng.
Không cài firmware dành cho model khác vì có thể khiến thiết bị gặp lỗi hoặc không khởi động được.
Bước 3: Bật cập nhật tự động
- Truy cập Control Panel.
- Chọn Update & Restore.
- Mở Update Settings.
- Thiết lập chế độ tự động cập nhật phù hợp.
- Kiểm tra và cập nhật các gói Package Center đang sử dụng.
Đối với hệ thống NAS doanh nghiệp, nên có quy trình kiểm tra bản cập nhật, thử nghiệm và triển khai theo lịch bảo trì để tránh ảnh hưởng dịch vụ.
5. Cấu hình bảo mật Synology NAS để tránh bị ransomware tấn công
Chỉ cập nhật DSM là chưa đủ. NAS thường lưu trữ dữ liệu quan trọng, do đó cần bảo vệ cả giao diện quản trị, tài khoản, dịch vụ mạng và hệ thống backup.
5.1. Không mở trực tiếp cổng quản trị NAS ra Internet
Một trong những sai lầm phổ biến là mở cổng DSM trên router để có thể truy cập NAS từ bất kỳ đâu.
Ví dụ, các cổng thường gặp:
5000 - DSM HTTP 5001 - DSM HTTPS 22 - SSH 23 - Telnet
Nếu không thực sự cần thiết, hãy:
- Xóa các quy tắc Port Forwarding không cần thiết trên router.
- Tắt UPnP nếu không sử dụng.
- Không công khai SSH hoặc Telnet.
- Không để giao diện quản trị DSM truy cập trực tiếp từ Internet.
- Sử dụng VPN như WireGuard hoặc Tailscale để quản trị từ xa.
- Kiểm tra cả IPv6 Firewall trên router, không chỉ IPv4.
Lưu ý: QuickConnect, reverse proxy và các tunnel cũng cần được kiểm tra cấu hình. Không nên mặc định rằng chỉ cần đóng port trên IPv4 là toàn bộ NAS đã được bảo vệ.
5.2. Vô hiệu hóa tài khoản admin mặc định
- Truy cập Control Panel.
- Chọn User & Group.
- Kiểm tra các tài khoản có quyền quản trị.
- Vô hiệu hóa tài khoản admin mặc định nếu đang sử dụng.
- Tạo tài khoản quản trị riêng với mật khẩu mạnh.
- Không dùng chung tài khoản quản trị cho nhiều người.
5.3. Bật xác thực hai yếu tố MFA
Trong Control Panel, thiết lập các phương thức xác thực đa yếu tố mà DSM hỗ trợ.
MFA giúp hạn chế nguy cơ bị chiếm quyền khi mật khẩu bị lộ. Tuy nhiên, MFA không thay thế việc cập nhật lỗ hổng bảo mật hoặc đóng các dịch vụ không cần thiết.
5.4. Bật Firewall trên Synology
Truy cập:
Control Panel
→ Security
→ Firewall
Thiết lập quy tắc chỉ cho phép các địa chỉ IP hoặc mạng nội bộ đáng tin cậy truy cập những dịch vụ cần thiết.
Không nên tạo quy tắc Allow All chỉ để thuận tiện sử dụng. Hãy kiểm tra kỹ thứ tự các quy tắc Firewall trước khi áp dụng để tránh tự khóa quyền quản trị.
6. Hướng dẫn xử lý khi Synology NAS đã bị ransomware .L0CK3D
Nếu dữ liệu đã xuất hiện phần mở rộng .L0CK3D và file read-me3.txt, hãy coi đây là một sự cố an ninh nghiêm trọng.
Nguyên tắc quan trọng nhất: Ngăn chặn thiệt hại tiếp tục xảy ra và bảo toàn dữ liệu gốc trước khi nghĩ đến việc giải mã.
Bước 1: Ngắt kết nối NAS khỏi mạng
Ngay khi phát hiện ransomware:
- Ngắt kết nối mạng của NAS bằng cách rút cáp Ethernet hoặc cô lập thiết bị tại switch.
- Chặn kết nối từ NAS ra Internet tại router hoặc Firewall.
- Ngắt các máy tính đang truy cập Shared Folder có nguy cơ bị ảnh hưởng.
- Ngừng đồng bộ dữ liệu giữa NAS và các thiết bị khác.
Nếu quá trình mã hóa vẫn đang diễn ra, cần ưu tiên cô lập nhanh. Không nên tắt nguồn hoặc khởi động lại NAS một cách tùy tiện vì dữ liệu trong bộ nhớ có thể chứa thông tin quan trọng cho quá trình điều tra và khôi phục.
Đối với hệ thống doanh nghiệp, nên nhờ đội ứng cứu sự cố thực hiện việc cô lập và thu thập chứng cứ.
Bước 2: Bảo toàn file ransom note và dữ liệu mẫu
Không xóa các file sau:
read-me3.txt *.L0CK3D
Hãy lưu lại:
- File yêu cầu tiền chuộc.
- Một số file đã bị mã hóa để phân tích.
- Thời điểm phát hiện sự cố.
- Danh sách thư mục bị ảnh hưởng.
- Log đăng nhập và hoạt động bất thường nếu còn truy cập được.
Không gửi dữ liệu nhạy cảm hoặc file nội bộ của doanh nghiệp lên các website phân tích công khai nếu chưa được phép.
Bước 3: Không vội cài lại DSM hoặc format ổ cứng
Đây là bước rất quan trọng.
Nhiều người khi phát hiện NAS bị ransomware thường nghĩ đến việc reset thiết bị, cài lại DSM hoặc format ổ đĩa để xử lý. Tuy nhiên, thao tác này có thể làm mất log, snapshot, dữ liệu còn nguyên vẹn hoặc những thông tin cần thiết để phục hồi.
Không nên:
- Format volume bị ảnh hưởng.
- Khởi tạo lại Storage Pool.
- Xóa Shared Folder.
- Xóa Snapshot Replication.
- Chạy các công cụ sửa chữa ổ đĩa không rõ nguồn gốc.
- Ghi dữ liệu mới lên các ổ đang chứa dữ liệu bị mã hóa.
Bước 4: Kiểm tra Snapshot và bản backup
Nếu trước đó đã cấu hình Snapshot Replication, hãy kiểm tra xem các snapshot được tạo trước thời điểm bị tấn công còn tồn tại hay không.
Truy cập:
Snapshot Replication
→ Snapshots
→ Chọn Shared Folder
→ Kiểm tra lịch sử Snapshot
Nếu snapshot còn nguyên vẹn, có thể xem xét phương án khôi phục về thời điểm trước khi xảy ra sự cố.
Tuy nhiên, cần kiểm tra xem snapshot có bị xóa, mã hóa hoặc thay đổi bởi tài khoản đã bị chiếm quyền hay không. Không thực hiện khôi phục trực tiếp khi chưa đánh giá phạm vi sự cố.
Ngoài ra, kiểm tra các bản backup được lưu tại:
- Ổ cứng USB đã ngắt kết nối khỏi NAS.
- NAS khác nằm ở địa điểm độc lập.
- Cloud Backup.
- Hệ thống backup có cơ chế Immutable Backup.
- Bản sao lưu offline được lưu trữ an toàn.
Bước 5: Kiểm tra khả năng giải mã ransomware
Đối với biến thể C3RB3R được báo cáo trong chiến dịch Synology tháng 10/2026, hiện chưa có cơ sở để khẳng định tồn tại công cụ giải mã công khai có thể khôi phục mọi dữ liệu bị ảnh hưởng.
Người dùng có thể kiểm tra thông tin về bộ giải mã tại các nguồn uy tín:
Các công cụ này có thể giúp nhận diện biến thể hoặc kiểm tra khả năng tồn tại bộ giải mã. Tuy nhiên, nhận diện được ransomware không đồng nghĩa với việc có thể giải mã dữ liệu.
Không nên trả tiền chuộc ngay. Việc trả tiền không bảo đảm tin tặc sẽ cung cấp khóa giải mã hoặc khôi phục đầy đủ dữ liệu.
Bước 6: Làm sạch hệ thống trước khi khôi phục
Trước khi đưa NAS trở lại hoạt động, cần:
- Xác định và khắc phục đường xâm nhập ban đầu.
- Cập nhật DSM lên phiên bản an toàn nhất mà model hỗ trợ.
- Cập nhật các Package đang sử dụng.
- Kiểm tra tài khoản quản trị và tài khoản truy cập Shared Folder.
- Thu hồi các phiên đăng nhập đáng ngờ.
- Đổi mật khẩu từ một thiết bị sạch.
- Kiểm tra Scheduled Tasks, các dịch vụ SSH, Telnet và ứng dụng không rõ nguồn gốc.
- Khôi phục dữ liệu từ bản backup sạch đã được kiểm tra.
- Kiểm tra dữ liệu và quyền truy cập trước khi mở lại kết nối mạng.
7. Cách thiết lập backup để ransomware không thể phá hủy toàn bộ dữ liệu
Một trong những bài học lớn nhất từ các cuộc tấn công ransomware là không nên lưu bản backup duy nhất ngay trên thiết bị đang chứa dữ liệu gốc.
Hãy áp dụng nguyên tắc backup 3-2-1:
- 3 bản dữ liệu: Một bản chính và ít nhất hai bản sao.
- 2 loại phương tiện: Ví dụ NAS và ổ cứng rời hoặc hệ thống lưu trữ độc lập.
- 1 bản ngoài địa điểm: Lưu trữ tại một vị trí khác hoặc trên cloud.
Đối với Synology NAS, nên kết hợp:
- Snapshot Replication để khôi phục các phiên bản dữ liệu trước đó.
- Hyper Backup để tạo bản backup độc lập.
- USB Backup và ngắt kết nối sau khi hoàn tất.
- Cloud Backup có hỗ trợ lưu trữ bất biến (Immutable Storage).
- Tách tài khoản quản trị backup khỏi tài khoản quản trị NAS thông thường.
Đặc biệt, hãy kiểm tra khả năng khôi phục định kỳ. Một bản backup chỉ thực sự có giá trị khi bạn có thể phục hồi dữ liệu từ nó.
8. Checklist bảo mật Synology NAS dành cho quản trị viên
Quản trị viên có thể sử dụng danh sách sau để kiểm tra hệ thống:
- ☐ Đã cập nhật DSM lên phiên bản mới nhất phù hợp với model.
- ☐ Đã kiểm tra các cảnh báo Synology-SA-24:20 và Synology-SA-26:13.
- ☐ Đã bật cập nhật tự động phù hợp.
- ☐ Không mở cổng DSM trực tiếp ra Internet.
- ☐ Đã kiểm tra IPv4 và IPv6 Firewall.
- ☐ Đã tắt SSH và Telnet nếu không sử dụng.
- ☐ Đã vô hiệu hóa tài khoản admin mặc định.
- ☐ Đã bật MFA cho tài khoản quản trị.
- ☐ Đã kiểm tra các tài khoản và phiên đăng nhập bất thường.
- ☐ Đã thiết lập Snapshot Replication.
- ☐ Có ít nhất một bản backup offline hoặc độc lập.
- ☐ Đã thử nghiệm quy trình khôi phục dữ liệu.
9. Kết luận
Chiến dịch ransomware C3RB3R nhắm vào Synology NAS là lời cảnh báo rõ ràng rằng thiết bị lưu trữ mạng cũng cần được quản trị và cập nhật bảo mật thường xuyên như máy chủ thông thường.
Người dùng không nên chờ đến khi file xuất hiện đuôi .L0CK3D mới bắt đầu quan tâm đến bảo mật. Hãy kiểm tra phiên bản DSM, cập nhật các bản vá, hạn chế giao diện quản trị tiếp xúc với Internet và xây dựng hệ thống backup độc lập.
Nếu NAS đã bị mã hóa, ưu tiên cô lập thiết bị, bảo toàn dữ liệu và tìm phương án khôi phục an toàn. Không format ổ cứng, không xóa ransom note và không sử dụng các công cụ giải mã không rõ nguồn gốc.
Hãy chia sẻ cảnh báo này với những người đang sử dụng Synology NAS để tránh mất dữ liệu quan trọng.
10. Nguồn tham khảo và tài liệu bảo mật
Bài viết được cập nhật ngày 30/10/2026. Thông tin về chiến dịch tấn công và phương thức xâm nhập có thể tiếp tục thay đổi khi các đơn vị ứng cứu công bố kết quả điều tra mới.
11. Câu hỏi thường gặp (FAQ)
Ransomware C3RB3R trên Synology là gì?
C3RB3R là biến thể ransomware được báo cáo tấn công các thiết bị Synology NAS. Khi bị nhiễm, dữ liệu có thể bị mã hóa với phần mở rộng .L0CK3D và xuất hiện file yêu cầu tiền chuộc read-me3.txt.
Synology NAS bị lỗi .L0CK3D có giải mã được không?
Khả năng khôi phục phụ thuộc vào biến thể ransomware, tình trạng dữ liệu và bản backup. Hiện chưa có công cụ giải mã công khai được xác nhận có thể xử lý mọi trường hợp C3RB3R này.
Làm gì khi Synology NAS bị ransomware?
Cần cô lập NAS khỏi mạng, bảo toàn ransom note và log, không format ổ cứng, kiểm tra snapshot và bản backup sạch trước khi tiến hành khôi phục.
Cập nhật DSM có ngăn được ransomware không?
Cập nhật DSM giúp khắc phục các lỗ hổng đã được vá, nhưng không bảo đảm an toàn tuyệt đối. Cần kết hợp hạn chế truy cập Internet, MFA, Firewall và backup độc lập.
