Synology 官方呼籲更新 DSM：C3RB3R 勒索軟體持續利用未修補漏洞攻擊 NAS
Synology 於 2026 年 10 月底發布聲明，表示有攻擊者利用 2024 年 12 月修補的漏洞但未指名 CVE，聲明連結到 Synology-SA-24:20（其中包含 CVE-2024-10441，CVSS 9.8）。中國安全廠商 360 則指出攻擊者也利用 2026 年 9 月修補的漏洞（CVE-2026-13639、CVE-2026-13684）。完整的入侵路徑爭議與防禦措施請見本站 11/1 深入報導。
- Synology 於 2026 年 10 月底發布官方聲明，表示有威脅行為者利用「2024 年 12 月修補的漏洞」攻擊未更新的 DSM 設備，部署 C3RB3R 勒索軟體，但未指名具體的 CVE 編號。官方聲明連結至 Synology-SA-24:20（2024-11-05 發布），該公告列出三個漏洞，其中最嚴重的是 CVE-2024-10441（CVSS 9.8，免登入遠端執行程式碼）。Synology 強烈呼籲所有執行舊版 DSM 的用戶立即更新，並建議啟用自動更新以持續保持最新狀態。
- 中國安全廠商 360 於上週發布技術分析，指出 C3RB3R 也利用 2026 年 9 月 18 日修補的兩個 CVSS 9.8 漏洞（CVE-2026-13639 與 CVE-2026-13684）。360 補充技術細節：C3RB3R 會跳過 27 個系統目錄（避免系統崩潰）與特定副檔名（BAT、DLL、EXE、LNK、MOD、MSI、SYS），以確保加密過程不會導致 DSM 無法運作。成功加密的檔案會改為 .L0CK3D 副檔名，每個目錄留下 read-me3.txt 勒索信。
- The Hacker News 報導引述歷史脈絡：NAS 設備長期是勒索軟體目標，2019 年 QNAP 遭 QNAPCrypt（eCh0raix）攻擊，2021 年 8 月 Synology 警告 StealthWorker 殭屍網路透過暴力破解管理員憑證入侵並部署勒索軟體。本站於 2026-11-01 已發布完整報導，詳細分析入侵路徑爭議（Synology、360、Solar 三方說法不同）、快照被刪、備份被加密、防禦與還原措施等內容。
發生了什麼
來源：本文整理自 The Hacker News 於 2026 年 11 月 3 日發布的報導（原文連結，原文發布日期 2026-11-03 13:13 +0530），引述 Synology 官方聲明（2026-10-29）與 360 安全資訊。
Synology 於 2026 年 10 月底發布官方聲明，確認有威脅行為者正利用已修補的 DSM 漏洞攻擊執行舊版軟體的 NAS 設備，目的是加密資料並勒索贖金。
這是本站 2026 年 11 月 1 日深入報導的後續官方確認。關於入侵路徑的完整爭議（Synology、360、Solar 三方說法）、快照被刪、備份被加密、完整的防禦與還原措施，請見：Synology NAS 遭 Cerber 變種 C3RB3R 勒索軟體攻擊。
Synology 官方：未指名 CVE，連結到 SA-24:20
Synology 在聲明中沒有明確指出被利用的漏洞編號，但連結至 Synology-SA-24:20（2024 年 11 月 5 日發布），該公告列出三個漏洞：
修補版本（來自 Synology-SA-24:20）：
- DSM 7.2.2 → 升級至 7.2.2-72806-1 或更新版本
- DSM 7.2.1 → 升級至 7.2.1-69057-6 或更新版本
- DSM 7.2 → 升級至 7.2-64570-4 或更新版本
- DSM 7.1 → 升級至 7.1.1-42962-7 或更新版本
- DSM 6.2 → 升級至 6.2.4-25556-8 或更新版本
360：也利用 2026 年 9 月的漏洞
中國安全廠商 360 於上週發布技術分析，指出 C3RB3R 勒索軟體有「long history」（長期歷史），包括利用 Synology 於 2026 年 9 月修補的兩個漏洞：
完整的入侵路徑爭議（Synology 官方指向 2024-12 漏洞，360 指向 2026-09 漏洞，Solar 案例顯示最新版也中了）請見本站 11/1 報導。
C3RB3R 的技術細節：跳過系統目錄
360 補充了 C3RB3R 的運作細節：
C3RB3R 會跳過 27 個系統目錄與特定副檔名（BAT、DLL、EXE、LNK、MOD、MSI、SYS），以避免觸發系統崩潰與影響加密過程。這確保 DSM 繼續運作，讓受害者不會立即察覺，也讓勒索軟體有足夠時間完成加密。
成功加密的檔案會改為 .L0CK3D 副檔名，每個被加密的目錄都會留下名為 read-me3.txt 的勒索信。
Synology 官方建議
Synology 官方強烈呼籲：
- 立即更新 DSM：所有執行舊版的用戶應立即更新以保護系統
- 啟用自動更新：確保 DSM 隨時保持最新狀態
歷史脈絡：NAS 長期是勒索軟體目標
The Hacker News 報導引述歷史案例：
2019：QNAP 遭 QNAPCrypt 攻擊
2019 年，台灣 QNAP 製造的 NAS 設備遭 QNAPCrypt（又名 eCh0raix）勒索軟體攻擊。
2021 年 8 月：Synology 警告 StealthWorker 暴力破解
2021 年 8 月，Synology 警告有 StealthWorker 惡意軟體透過殭屍網路發動暴力破解攻擊，嘗試猜測常用的管理員憑證，成功後會安裝惡意酬載（可能包括勒索軟體）。
同月，Palo Alto Networks Unit 42 也揭露 eCh0raix 變種同時針對 QNAP 與 Synology NAS，透過利用漏洞（如 CVE-2021-28799）或暴力破解常用管理員憑證入侵。
你該做什麼
本文提供快速摘要，完整的防禦與還原措施（包括檢查 DSM 版本、檢查是否已中毒、網路存取控制、帳號安全、備份與快照設定、如果已中毒該怎麼辦、組織防禦檢查清單等）請見：
👉 Synology NAS 遭 Cerber 變種 C3RB3R 勒索軟體攻擊：官方與安全公司對入侵路徑說法分歧
最低限度的今日行動
- 檢查 DSM 版本：控制台 > 資訊中心 > 一般 > 檢視「DSM 版本」
- 立即更新：控制台 > 更新和還原 > DSM 更新 > 下載並安裝
- 啟用自動更新：控制台 > 更新和還原 > 自動更新設定
- 檢查是否已中毒：File Station 搜尋
.L0CK3D或read-me3.txt
如果發現已中毒：立即拔網路線、不要重開機、保留現場，並參考本站 11/1 報導的完整還原步驟。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 確認 DSM 版本
登入 DSM > 控制台 > 資訊中心 > 一般 > 檢視「DSM 版本」看到什麼代表什麼：DSM 7.2.2 要 7.2.2-72806-1 以上、7.2.1 要 7.2.1-69057-6 以上、7.2 要 7.2-64570-4 以上、7.1 要 7.1.1-42962-7 以上、6.2 要 6.2.4-25556-8 以上。不要只看「已是最新版本」，要看實際版本號。 - 立即更新到最新版本
控制台 > 更新和還原 > DSM 更新 > 下載並安裝看到什麼代表什麼：更新完成並重新開機。注意：DSM 不會自動跨主要版本更新（例如從 7.1 跳到 7.2），需手動選擇。 - 啟用自動更新
控制台 > 更新和還原 > 自動更新設定 > 勾選啟用看到什麼代表什麼：未來 DSM 會自動下載並安裝更新（同一主要版本內）。 - 檢查是否已中毒
登入 DSM > File Station > 搜尋 '.L0CK3D' 或 'read-me3.txt'看到什麼代表什麼：若找到，立即拔網路線、不要重開機、保留現場、參考本站 11/1 報導的完整還原步驟。
相關資源
- Synology 官方聲明（2026-10-29）
- Synology-SA-24:20（CVE-2024-10441 等）
- Synology-SA-26:13（CVE-2026-13639／13684 等）
- 防暴筆記完整報導（2026-11-01）
攻擊還在進行中。今天就更新。
來源
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。
延伸閱讀
Synology NAS 遭 Cerber 變種 C3RB3R 勒索軟體攻擊：官方與安全公司對入侵路徑說法分歧
2026 年 10 月起陸續有 Synology NAS 用戶通報檔案被加密成 .L0CK3D，每個目錄留下 read-me3.txt 勒索信。中國安全公司 360 將攻擊歸因於 2026 年 9 月修補的兩個 CVSS 9.8 漏洞，Synology 官方則指向 2024 年 12 月修補的漏洞。應變團隊 Solar 回報有案例當時已跑最新 DSM，但無法排除第三方套件、容器或憑證外洩等其他入侵途徑。
Microsoft Teams IT 支援詐騙：mail bombing 後假冒內部 IT，部署勒索軟體
Arctic Wolf Labs 揭露一起持續數月的 Microsoft Teams 社交工程攻擊模式，攻擊者透過新建的 M365 tenant 發送「IT Support（Internal）」訊息，配合 mail bombing 製造緊迫感，誘騙受害者授權遠端存取工具，最終部署 GoGRPC 後門和 Chaos 勒索軟體。數百起案例顯示相同的 tenant 命名、display name 和攻擊流程。
AI 執行、人類批准：勒索軟體關聯方用 AI 代理執行入侵
SOCRadar 發現一個暴露的基礎設施，揭露 INC 與 The Gentlemen 勒索軟體集團的關聯方如何使用 AI 代理執行入侵。他們用一個名為 Phantom 的「自主紅隊殺傷鏈框架」，人類給受害者特定的提示詞並審查每一步，AI 透過 OpenCode 與商業模型執行實際入侵。這個俄語系威脅行為者同時是入侵與資料勒索操作者，也是支援勒索軟體生態系統的基礎設施提供者。62 個組織被鎖定，其中 4 個最終出現在勒索軟體資料外洩站點。