0,036960 BTC fidye talebi: Güney Kore’de Synology NAS saldırıları peş peşe

Güney Kore’de Synology ağ depolama cihazı (NAS) kullanıcılarının dosyaları fidye yazılımı saldırılarında şifrelendi. Saldırganlar, dosyaları kurtarma karşılığında beş gün içinde 0,036960 Bitcoin (BTC) istedi.

ChosunBiz’in haberine göre Güney Kore İnternet ve Güvenlik Ajansı’na (KISA) ülkedeki kullanıcılardan birden fazla saldırı bildirimi ulaştı. KISA, ChosunBiz’in sorularına yanıtında münferit saldırıların nasıl gerçekleştiği, nedeni, zararın boyutu ve müdahale süreci hakkında ayrıntılı bilgi vermenin güç olduğunu belirtti.

Kurbanlara gönderilen fidye notunda “C3RB3R DECRYPTOR” adlı aracın satın alınması istendi. Talep edilen fidye 0,036960 BTC, yani yaklaşık 2.952 dolar (yaklaşık 3,95 milyon won) olarak belirtildi.

Notta, beş günlük ödeme süresi aşılırsa talebin 0,073920 BTC’ye, yaklaşık 5.904 dolara (yaklaşık 7,89 milyon won) çıkarılacağı da yazıyordu. Bu tutarlar saldırganların taleplerini gösteriyor; ödemenin yapıldığı anlamına gelmiyor.

NAS, fotoğraf ve belgeleri depolamak ve paylaşmak için ağa bağlanan bir cihaz. Saldırıda şifrelenen dosyalara “.L0CK3D” uzantısı eklendi ve ilgili klasörlere “read-me3.txt” adlı fidye notu bırakıldı. Dosya uzantısını eski hâline getirmek, şifrelenmiş içeriği geri getirmiyor.

Synology, 29 Ekim’de yayımladığı duyuruda eski DiskStation Manager (DSM) sürümlerini kullanan cihazları hedef alan fidye yazılımı saldırılarını doğruladı. Şirket, saldırganların Aralık 2024’te giderilmiş bir güvenlik açığından yararlanarak verileri şifrelediğini ve fidye istediğini açıkladı.

Synology, savunmasız sürümleri kullananlara DSM’yi derhal güncellemelerini ve otomatik güncellemeyi etkinleştirmelerini tavsiye etti. Düzeltme içeren sürümlerin ayrıntılarını Eylül ayındaki güvenlik duyurusunda paylaştı.

Çinli güvenlik şirketi 360, yayımladığı zararlı yazılım analizinde saldırılarda mevcut Cerber fidye yazılımının bir varyantı olan C3RB3R’nin kullanıldığını bildirdi. Şirket, kendi müdahale hizmetine ulaşan vakaları inceleyerek DSM’deki CVE-2026-13639 ve CVE-2026-13684 açıklarının saldırılarda kullanıldığı sonucuna vardı.

Synology, 18 Eylül tarihli güvenlik duyurusunda iki açığı da 10 üzerinden 9,8 önem derecesiyle sınıflandırdı. Şirket, bu açıkların dışarıdan bir saldırganın kimlik doğrulaması olmadan dosyaları okumasına veya yazmasına imkân verdiğini belirterek düzeltilmiş sürümleri açıkladı.

İki açıklama saldırı yolunu farklı biçimde tanımladı. Synology’nin 29 Ekim tarihli duyurusu Aralık 2024’te giderilen bir açıktan söz ederken 360’ın belirttiği iki CVE numarasını anmadı.

Synology ve 360, DSM güvenlik güncellemelerini temel önlem olarak gösterdi. 360 ayrıca yönetici panelinin doğrudan internete açılmamasını ve önemli verilerin NAS’a bağlı olmayan ayrı bir depolama alanına yedeklenmesini önerdi. Şüpheli dosya uzantıları veya fidye notları görülmesi hâlinde ağ bağlantısının kesilerek cihazın incelenmesi tavsiyesinde de bulundu.

Synology’nin Eylül ayındaki duyurusunda yer alan düzeltme sürümleri DSM 7.4 için 7.4-90075, DSM 7.3 için 7.3.2-86009-4, DSM 7.2.2 için 7.2.2-72806-9 ve DSM 7.2.1 için 7.2.1-69057-12 ve üzeri olarak sıralandı.