Perangkat NAS Synology yang belum diperbarui menjadi sasaran ransomware bernama C3RB3R, varian dari keluarga Cerber. Laporan yang dikutip Techaeris dan TrebSec menyebut file korban dienkripsi dan diberi ekstensi .L0CK3D, lalu setiap folder diberi catatan tebusan bernama read-me3.txt. Peneliti 360 mencatat serangan berulang pada 29 Oktober 2026, sementara enkripsi disebut sudah berlangsung sejak awal bulan.
Celah yang dikaitkan dengan serangan
Synology menerbitkan advisori Synology-SA-26:13 pada 18 September 2026. Dua celah di dalamnya, CVE-2026-13639 (entropi tidak memadai pada logika login) dan CVE-2026-13684 (pengodean keluaran yang salah di SCGI), sama-sama bernilai CVSS 9,8. Penyerang jarak jauh bisa membaca atau menulis berkas sembarang dan mengganggu layanan. Synology tidak menyediakan solusi sementara, jadi satu-satunya cara menutupnya adalah memperbarui DSM.
Versi yang sudah diperbaiki adalah DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9, dan 7.2.1-69057-12, atau yang lebih baru di cabang masing-masing. Semua build di bawah angka itu terdampak.
Jalur masuk ransomware belum bisa dipastikan. Menurut 360, serangan memakai dua celah DSM tadi. Techaeris justru menulis bahwa Synology mengaitkan serangan dengan CVE-2024-10441, celah lama yang ditambal pada Desember 2024 dan punya kode uji publik di GitHub sejak 25 Oktober 2026. Satu tim penanggap insiden juga menemukan korban yang sudah memakai DSM 7.4.1 versi baru, sehingga paket tambahan, kontainer, atau kredensial curian belum bisa dikesampingkan. Perbedaan ini perlu dicatat: sebagian detail, termasuk waktu mulai serangan, masih bersumber dari satu laporan.
Cara kerja ransomware
Laporan yang sama menyebut C3RB3R mengenkripsi tiap berkas dengan kunci sendiri memakai ChaCha8, lalu membungkus kuncinya dengan RSA-2048. Sampel yang dianalisis melewati 27 direktori sistem. Cadangan yang tersimpan di perangkat yang sama ikut terenkripsi. Belum ada alat dekripsi gratis yang dikonfirmasi, dan jumlah korban belum diumumkan. Techaeris mencatat badan keamanan siber Korea Selatan, KISA, sudah menerima laporan tetapi tidak membuka skalanya.
Langkah yang perlu Anda ambil
Periksa nomor build DSM lengkap, termasuk angka terakhir, lalu pasang pembaruan dan aktifkan pembaruan otomatis untuk DSM serta paket. Hapus aturan port forwarding ke port pengelola NAS di router, dan gunakan VPN atau relay resmi untuk akses jarak jauh. Nyalakan firewall dengan daftar alamat tepercaya, verifikasi dua langkah, pemblokiran IP otomatis, dan matikan akun admin bawaan.
Simpan minimal satu salinan cadangan yang terputus dari NAS dan jaringan, karena snapshot di perangkat yang sama tidak aman dari ransomware. Cari berkas berekstensi .L0CK3D dan catatan read-me3.txt, serta periksa Log Center untuk login janggal dan lonjakan perubahan berkas. Bila perangkat sudah terinfeksi, putuskan dari jaringan dan simpan buktinya sebelum menyalakan ulang atau memasang ulang sistem. Pengguna di Indonesia yang memakai NAS untuk arsip kantor atau usaha kecil perlu memeriksa ini sekarang, bukan menunggu laporan korban lokal.
Sumber: CyberExperts, TrebSec, Techaeris, dan advisori Synology-SA-26:13. Gambar: Techaeris.