In diesem Artikel erkl\u00e4ren wir genau, wer gef\u00e4hrdet ist und wie du deine Daten sch\u00fctzen kannst.<\/p>\n
Wen C3RB3R ins Visier nimmt und wie der Angriff funktioniert<\/h2>\n
Wir sind daran gew\u00f6hnt zu denken, dass Malware auf ein Ger\u00e4t gelangt, nachdem jemand eine verd\u00e4chtige Datei heruntergeladen oder Anweisungen eines Angreifers befolgt hat. Doch die \u00fcberwiegende Mehrheit der C3RB3R-Infektionen erfolgt ganz ohne Zutun des Nutzers \u2013 der Angreifer muss lediglich einen anf\u00e4lligen NAS-Dienst erreichen k\u00f6nnen. Spezialisierte Scanner helfen wahrscheinlich dabei, solche Ger\u00e4te zu finden, indem sie automatisch nach Synology-NAS-Systemen suchen und deren Version von DiskStation Manager (DSM) pr\u00fcfen.<\/p>\n
Im vergangenen Monat meldeten viele Synology-Besitzer C3RB3R-Angriffe. Synology hat das Problem offiziell best\u00e4tigt<\/a> und erkl\u00e4rt, dass die Angreifer eine Schwachstelle ausnutzen, die bereits im Dezember 2024 behoben wurde. Der Beschreibung zufolge handelt es sich offenbar um CVE-2024-10441<\/a> \u2013 eine Schwachstelle, \u00fcber die ein Angreifer ohne Authentifizierung beliebigen Code im Betriebssystem des NAS ausf\u00fchren kann.<\/p>\n Gleichzeitig berichteten<\/a> Forscher von 360.cn, dass bei den von ihnen untersuchten C3RB3R-Angriffen auch zwei weitere kritische Schwachstellen ausgenutzt wurden \u2013 beide mit einem Schweregrad von 9,8: CVE-2026-13639<\/a> und CVE-2026-13684<\/a>. Diese Schwachstellen erm\u00f6glichen das beliebige Lesen oder Schreiben von Dateien sowie Denial-of-Service-Angriffe (DoS). Synology hat nicht best\u00e4tigt, dass diese Schwachstellen in dieser Kampagne tats\u00e4chlich ausgenutzt wurden. Das Unternehmen hat sie mit dem DSM-Update vom September behoben.<\/p>\n In jedem Fall erm\u00f6glichen die oben genannten Schwachstellen einen Remote-Angriff auf ein NAS. Damit Angreifer auf deinen Speicher zugreifen, Ransomware darauf einschleusen und ausf\u00fchren k\u00f6nnen, m\u00fcssen nur zwei Bedingungen erf\u00fcllt sein:<\/p>\n Das ist alles. Der Angreifer braucht weder dein Passwort noch irgendeine Aktion von dir. Jeder<\/em> Synology-NAS-Besitzer, der sein System nicht rechtzeitig <\/strong>aktualisiert hat<\/strong><\/a>, ist gef\u00e4hrdet<\/strong>.<\/p>\n Wenn du in letzter Zeit keine Updates selbst installiert hast und nicht wei\u00dft, ob automatische Updates aktiviert sind, empfehlen wir, zuerst den Internetzugriff auf dein NAS zu blockieren und das Ger\u00e4t anschlie\u00dfend so schnell wie m\u00f6glich manuell zu aktualisieren \u2013 sonst k\u00f6nntest du sehr leicht zu den Opfern geh\u00f6ren.<\/p>\n Beachte, dass das Ger\u00e4t bis zur Installation der Updates weiterhin f\u00fcr Angriffe aus dem lokalen Netzwerk anf\u00e4llig ist. Wenn dein Synology NAS also f\u00fcr andere Nutzer im LAN erreichbar ist \u2013 etwa weil du es mit Nachbarn teilst oder es mit einem Universit\u00e4ts-, B\u00fcro- oder Wohnheimnetz verbunden ist \u2013, ist es am sichersten, das Ethernet-Kabel abzuziehen und WLAN zu deaktivieren, sofern dein NAS-Modell WLAN unterst\u00fctzt. Lade anschlie\u00dfend die Update-Dateien auf deinen Computer herunter, trenne den Computer sowohl vom kabelgebundenen Netzwerk als auch vom WLAN, verbinde das NAS per Ethernet-Kabel direkt mit dem Computer und aktualisiere Betriebssystem und Anwendungen in einer vollst\u00e4ndig isolierten Umgebung.<\/p>\n Ein weiterer Grund, deinen Netzwerkspeicher zu aktualisieren, sind die k\u00fcrzlich entdeckten PHP-Schwachstellen<\/a>. Synology hat bereits dringende Updates f\u00fcr sein Betriebssystem sowie die Anwendungen Mail Station und Synology Calendar<\/a> ver\u00f6ffentlicht.<\/p>\n Sobald die Ransomware C3RB3R in den Netzwerkspeicher gelangt, durchsucht sie alle erreichbaren Ordner mit Nutzerdaten und verschl\u00fcsselt die darin enthaltenen Dateien \u2013 Fotos, Dokumente, Archive, Videos und Audioaufnahmen. Verschl\u00fcsselte Dateien erhalten die Erweiterung .L0CK3D<\/em>. Wenn ein Nutzer versucht, eine solche Datei zu \u00f6ffnen, meldet das System, dass sie besch\u00e4digt ist oder ein unbekanntes Format hat. Leider l\u00e4sst sich die Verschl\u00fcsselung nicht einfach durch Umbenennen der Datei entfernen.<\/p>\n So sehen Dateien aus, nachdem C3RB3R sie verschl\u00fcsselt hat<\/p><\/div>\n Die Angreifer hinterlassen au\u00dferdem ganz \u201ehilfreich\u201c in Ordnern mit verschl\u00fcsselten Dateien eine Textdatei namens read-me3.txt mit Anweisungen zur Entschl\u00fcsselung der Daten auf deinem Speicher. Angeblich musst du nur \u2026 den \u00fcberhaupt nicht verd\u00e4chtigen Tor Browser \u00f6ffnen und den Angreifern f\u00fcr ein Entschl\u00fcsselungstool bezahlen, das angeblich alle deine Dateien wiederherstellt. Nat\u00fcrlich gibt es keinerlei Garantie, dass du deine Dateien unbesch\u00e4digt zur\u00fcckbekommst.<\/p>\n C3RB3R hinterl\u00e4sst in jedem Ordner mit verschl\u00fcsselten Dateien eine solche L\u00f6segeldforderung. Ein wahrhaft gro\u00dfz\u00fcgiges Angebot: eine Datei kostenlos entschl\u00fcsseln, f\u00fcr den Rest bezahlen<\/p><\/div>\n Der Verlust aller oder eines Gro\u00dfteils deiner Dateien ist m\u00f6glicherweise nicht die einzige unangenehme Folge. Angreifer erpressen Opfer h\u00e4ufig mit der Drohung, gestohlene Daten zu ver\u00f6ffentlichen \u2013 Zugangsdaten, intime Fotos, Arbeitsdokumente und andere vertrauliche Informationen. Weigert sich das Opfer, das L\u00f6segeld zu zahlen, drohen die Kriminellen damit, all diese Daten \u00f6ffentlich zu machen. Mit solchen Forderungen k\u00f6nnen sie dich per E-Mail oder \u00fcber soziale Netzwerke kontaktieren.<\/p>\n Oft sind solche Drohungen nichts weiter als Betrug. Diese Maschen \u2013 und was du tun solltest, wenn du erpresst wirst \u2013 haben wir ausf\u00fchrlich in unserem Beitrag E-Mail-Betrug mit Drohungen und Erpressung<\/strong><\/a> beschrieben. Wenn dein NAS jedoch tats\u00e4chlich verschl\u00fcsselt wurde, l\u00e4sst sich ein Datendiebstahl leider nicht ausschlie\u00dfen.<\/p>\n Wenn Ransomware dein NAS bereits angegriffen hat, befindest du dich wahrscheinlich in einer von zwei Situationen:<\/p>\n Was solltest du tun?<\/p>\n Das NAS muss vollst\u00e4ndig vom Internet und vom restlichen Heimnetzwerk isoliert werden. Ziehe alle Kabel vom NAS ab \u2013 mit Ausnahme des Stromkabels<\/strong>. Wenn dein NAS-Modell \u00fcber WLAN mit dem lokalen Netzwerk verbunden ist, deaktiviere auch die drahtlose Verbindung. Du kannst sie entweder am NAS selbst ausschalten (bei einigen Synology-Modellen gibt es eine WLAN-Taste, die bei l\u00e4ngerem Dr\u00fccken das Funknetz deaktiviert) oder einfach den Router vom Strom trennen. Dadurch verlieren die Angreifer den Fernzugriff auf das Ger\u00e4t, und das infizierte NAS kann keine anderen Computer oder Speicherger\u00e4te mehr erreichen.<\/p>\n Wenn externe USB-Laufwerke am NAS angeschlossen sind, um die Speicherkapazit\u00e4t zu erweitern, trenne auch diese \u2013 m\u00f6glicherweise hat die Ransomware sie noch nicht erreicht.<\/p>\n Pausiere auf Computern und in Cloud-Diensten alle Synchronisierungs- und Backup-Auftr\u00e4ge, die mit dem NAS verbunden sind. So verhinderst du, dass besch\u00e4digte Dateien auf andere Kopien \u00fcbertragen und noch intakte Versionen \u00fcberschrieben werden.<\/p>\n Wenn du Cerber w\u00e4hrend der Verschl\u00fcsselung erwischst, ist dein erster Impuls vielleicht, das Stromkabel des NAS zu ziehen. Das solltest du jedoch nicht tun: Ein pl\u00f6tzlicher Stromausfall kann Daten besch\u00e4digen, die gerade auf die Festplatte geschrieben werden. Besser ist es, das NAS regul\u00e4r herunterzufahren. Bedenke aber, dass du damit eine m\u00f6gliche Methode zur Wiederherstellung bereits verschl\u00fcsselter Dateien verlierst. Mit etwas Gl\u00fcck kann ein Spezialist einen Wiederherstellungsschl\u00fcssel extrahieren<\/a>, der sich noch im RAM des Ger\u00e4ts befindet. Sobald die Stromversorgung unterbrochen wird, wird der RAM geleert.<\/p>\n Wenn die Ransomware die Dateien auf deinem NAS vollst\u00e4ndig verschl\u00fcsselt hat und du das Ger\u00e4t vom Internet getrennt hast, versuche, dich direkt mit dem NAS zu verbinden und eine Kopie der verschl\u00fcsselten Dateien sowie der Anweisungen der Angreifer auf einer leeren<\/strong> externen Festplatte zu speichern. Sicherheitsforscher k\u00f6nnten in Zukunft ein kostenloses Entschl\u00fcsselungstool f\u00fcr C3RB3R ver\u00f6ffentlichen.<\/p>\n Wenn du das NAS ausgeschaltet hast, w\u00e4hrend die Verschl\u00fcsselung noch lief, schalte es nicht wieder ein, nur um Prozesse zu pr\u00fcfen oder Dateien zu kopieren \u2013 die Verschl\u00fcsselung l\u00e4uft lokal und kann nach einem Neustart des Ger\u00e4ts fortgesetzt werden. Wende dich in diesem Fall an einen seri\u00f6sen Datenrettungsspezialisten, der die NAS-Laufwerke auslesen kann, ohne die infizierte DSM-Installation zu starten.<\/p>\n Wenn du das NAS gem\u00e4\u00df den vorherigen Schritten vom Netzwerk getrennt, in einer isolierten Umgebung direkt verbunden und die Ransomware-Prozesse gestoppt hast, kannst du alle noch unverschl\u00fcsselten Dateien sichern, die du retten m\u00f6chtest. Schlie\u00dfe das Backup-Laufwerk besser an den Computer an, der direkt mit dem NAS verbunden ist, und nicht an den USB-Anschluss des NAS \u2013 dadurch sinkt das Risiko, dass die Ransomware erneut startet und auch dieses Laufwerk verschl\u00fcsselt.<\/p>\n Schlie\u00dfe kein externes Laufwerk mit einem Backup an das infizierte NAS an und starte keine Wiederherstellung von Dateien aus einem Backup auf dem kompromittierten NAS. Die Ransomware k\u00f6nnte erneut ausgef\u00fchrt werden und das angeschlossene Laufwerk besch\u00e4digen.<\/p>\n Wenn du Snapshot Replication im Voraus eingerichtet hast und die Angreifer die Snapshots nicht zerst\u00f6rt haben, kannst du Daten daraus wiederherstellen \u2013 eine Wiederherstellung auf dem kompromittierten NAS ist jedoch sinnlos. F\u00fcr das Backup ben\u00f6tigst du ein separates Laufwerk.<\/p>\n Pr\u00fcfe zuerst, ob die Snapshots noch vorhanden sind. Nachdem die Malware gestoppt wurde, \u00f6ffne Snapshot Replication \u00fcber das Hauptmen\u00fc von DSM auf dem laufenden NAS. W\u00e4hle den freigegebenen Ordner aus, \u00f6ffne Schnappschuss<\/em> \u2192 Schnappschussliste<\/em>, suche einen Snapshot, der vor der Infektion erstellt wurde, und klicke auf Durchsuchen<\/em>, um seinen Inhalt zu pr\u00fcfen. Von dort kannst du Daten aus dem Snapshot auch auf ein externes Medium kopieren, ohne sie auf dem infizierten Volume wiederherzustellen. Einzelheiten zur Verwendung von Snapshot Replication findest du in der Anleitung von Synology<\/a>.<\/p>\n Nachdem du alles gesichert hast, was m\u00f6glich ist \u2013 einschlie\u00dflich verschl\u00fcsselter und unverschl\u00fcsselter Daten sowie Protokolle \u2013, setze das NAS auf die Werkseinstellungen zur\u00fcck, bevor du es erneut verwendest (Zur\u00fccksetzen auf Werkseinstellungen<\/em> \u2192 Alle Daten l\u00f6schen<\/em>).<\/p>\n Beachte, dass dadurch s\u00e4mtliche Daten, Anwendungen und Einstellungen auf dem Netzwerkspeicher vollst\u00e4ndig gel\u00f6scht werden. Pr\u00fcfe vor dem Zur\u00fccksetzen deine Backups und stelle sicher, dass sich die kopierten intakten Dateien \u00f6ffnen lassen, die ben\u00f6tigten Dateiversionen aus den Snapshots gesichert wurden und verschl\u00fcsselte Dateien, L\u00f6segeldforderungen, Protokolle sowie eventuell erstellte Speicher-Dumps auf einem anderen Speichermedium und nicht auf dem NAS liegen. Falls etwas fehlt, bewahre die urspr\u00fcnglichen Laufwerke oder vollst\u00e4ndige Datentr\u00e4ger-Images f\u00fcr einen Datenrettungsspezialisten auf. Wenn du eine Weile ohne das NAS auskommst, l\u00f6sche es nicht vorschnell: Sp\u00e4ter k\u00f6nnten kostenlose Entschl\u00fcsselungstools erscheinen.<\/p>\n Wenn du das NAS im Wesentlichen nur als Ablage f\u00fcr Dateien genutzt hast und sich darauf nichts wirklich Wertvolles befindet, das du nicht ersetzen kannst, l\u00f6sche den Speicher wie oben beschrieben vollst\u00e4ndig, bevor du ihn wieder verwendest, und installiere DSM aus einer offiziellen Quelle neu. Befolge dazu die Anleitung zur Installation von DSM ohne Internetverbindung<\/a>.<\/p>\n Stelle keine Einstellungen aus einem Backup wieder her, das nach der Infektion erstellt wurde: Es k\u00f6nnte \u00c4nderungen enthalten, die von den Angreifern vorgenommen wurden. Am besten konfigurierst du das NAS von Grund auf neu.<\/p>\n Durch eine Neuinstallation von DSM werden gestohlene Passw\u00f6rter, Sitzungen oder andere Geheimnisse f\u00fcr Dienste, deren Zugangsdaten m\u00f6glicherweise auf deinem Ger\u00e4t gespeichert waren, nicht ung\u00fcltig. \u00dcberlege, welche Dienste auf deinem NAS genutzt wurden, welche zus\u00e4tzlichen Pakete installiert waren und worauf sie zugreifen konnten. Gehe all diese Dienste durch, beende verd\u00e4chtige Sitzungen, widerrufe betroffene Schl\u00fcssel und Token, \u00e4ndere Passw\u00f6rter und aktiviere die Zwei-Faktor-Authentifizierung. Wir empfehlen, alle Zugangsdaten im sicheren Tresor von einem Passwort-Manager<\/a> zu speichern. Erledige das, bevor du den Speicher wieder mit dem Netzwerk verbindest.<\/p>\n Mit diesem Dienst kannst du \u00fcber das Internet auf dein NAS zugreifen. Um ihn in DSM 7 zu deaktivieren, \u00f6ffne Systemsteuerung \u2192 Externer Zugriff \u2192 QuickConnect<\/em>, entferne das H\u00e4kchen bei QuickConnect aktivieren<\/em> und klicke auf \u00dcbernehmen<\/em>. In \u00e4lteren Versionen befindet sich der Bereich QuickConnect<\/em> direkt in der Systemsteuerung<\/em>.<\/p>\n Dein Router kann so konfiguriert sein, dass eingehende Verbindungen aus dem Internet direkt an das NAS weitergeleitet werden. Das nennt man Portweiterleitung. Ermittle zuerst die lokale IP-Adresse des NAS. In DSM findest du sie unter Systemsteuerung \u2192 Netzwerk \u2192 Netzwerkschnittstelle<\/em>.<\/p>\n \u00d6ffne anschlie\u00dfend die Einstellungen deines Heimrouters. Normalerweise gibst du dazu seine lokale Adresse in einen Browser ein; die genaue Adresse und die Anmeldedaten stehen h\u00e4ufig auf einem Aufkleber am Router oder werden in der App deines Internetanbieters angezeigt.<\/p>\n Suche in den Routereinstellungen nach einem Bereich mit einer Bezeichnung wie Portweiterleitung<\/em>, Weiterleitung<\/em> oder Portumleitung<\/em>. Pr\u00fcfe die vorhandenen Regeln. Wenn ein Feld wie Interne IP<\/em>, Lokale IP<\/em>, Ziel<\/em> oder Ger\u00e4t<\/em> die IP-Adresse deines NAS enth\u00e4lt, l\u00f6sche diese Regel.<\/p>\n Pr\u00fcfe au\u00dferdem die Bereiche DMZ, DMZ-Host oder Exposed Host. Wenn dort die IP-Adresse des NAS eingetragen ist, deaktiviere die Funktion.<\/p>\n UPnP erm\u00f6glicht Anwendungen und Ger\u00e4ten, den Router automatisch um das \u00d6ffnen von Ports zu bitten. Wenn du UPnP nicht ben\u00f6tigst, deaktiviere es.<\/p>\n Beachte, dass dies eine routerweite Einstellung ist und das Deaktivieren daher auch andere Ger\u00e4te in deinem Heimnetzwerk betreffen kann. Wenn UPnP f\u00fcr diese Ger\u00e4te aktiviert bleiben soll, pr\u00fcfe zumindest die \u00fcber UPnP erstellten Regeln und stelle sicher, dass keine davon auf die IP-Adresse des NAS verweist. Falls doch, l\u00f6sche die Regel und blockiere \u2013 sofern dein Router das unterst\u00fctzt \u2013 das automatische \u00d6ffnen von Ports f\u00fcr das NAS.<\/p>\n Wenn du IPv6 verwendest, pr\u00fcfe auch die entsprechenden Regeln: Unn\u00f6tige eingehende Verbindungen zum NAS sollten blockiert sein. Deaktiviere au\u00dferdem nicht verwendete Tunnel, VPNs und andere Fernzugriffsdienste, falls du solche eingerichtet hast. Pr\u00fcfe nach diesen \u00c4nderungen, ob das NAS aus einem externen Netzwerk erreichbar ist \u2013 zum Beispiel \u00fcber eine mobile Datenverbindung.<\/p>\n Cybersicherheitsforscher ver\u00f6ffentlichen regelm\u00e4\u00dfig kostenlose Entschl\u00fcsselungstools zur Wiederherstellung von Dateien. Bedenke, dass es lange dauern kann, bis ein solches Tool erscheint. Vertraue in der Zwischenzeit keinen Angeboten unbekannter \u201eForscher\u201c oder Websites, die behaupten, deine Daten nach einem Angriff durch eine neue Ransomware-Variante sofort wiederherstellen zu k\u00f6nnen.<\/p>\n Viele Menschen verwenden Loader von Drittanbietern f\u00fcr DiskStation Manager \u2013 inoffizielle Tools aus dem XPenology<\/a>-Projekt, mit denen Synologys Betriebssystem auf Hardware ausgef\u00fchrt werden kann, f\u00fcr die es urspr\u00fcnglich nicht vorgesehen war, etwa auf einem PC oder einem selbst gebauten Server. Beispiele sind Arc, RR (RedPill Recovery) und M-Shell.<\/p>\n Wenn du DSM auf diese Weise betreibst, kann C3RB3R auch dein System angreifen. Aktualisiere DSM aber nicht vorschnell: Pr\u00fcfe zuerst, ob die neue Version sowohl mit deinem Loader als auch mit deiner Hardware kompatibel ist. Andernfalls k\u00f6nnten deine Dateien besch\u00e4digt werden.<\/p>\n Wenn du die neueste Systemversion noch nicht installieren kannst, beschr\u00e4nke den Zugriff auf den Netzwerkspeicher: Deaktiviere den externen Zugriff und erlaube Verbindungen aus dem lokalen Netzwerk nur von Ger\u00e4ten, die tats\u00e4chlich Zugriff ben\u00f6tigen. Platziere das NAS nach M\u00f6glichkeit in einem separaten Netzwerksegment. Die Funktion Smart Home-Monitor<\/a> in Kaspersky Plus<\/a> und Kaspersky Premium<\/a> kann dein Heimnetzwerk zus\u00e4tzlich sch\u00fctzen \u2013 sie zeigt alle Ger\u00e4te in deinem lokalen Netzwerk an und erkennt, wenn neue, unbekannte Ger\u00e4te eine Verbindung herstellen.<\/p>\n Wie solltest du deine Daten speichern und sch\u00fctzen? Lies auch unsere anderen Artikel:<\/p>\n Die Ransomware C3RB3R greift Synology-NAS-Ger\u00e4te mit veralteten Betriebssystemversionen an und verschl\u00fcsselt die darauf gespeicherten Dateien. Wir erkl\u00e4ren, welche NAS-Ger\u00e4te gef\u00e4hrdet sind, wie du dich vor dem Angriff sch\u00fctzt und was du tun kannst, wenn deine Daten bereits verschl\u00fcsselt wurden.<\/p>\n","protected":false},"author":2698,"featured_media":33949,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2711],"tags":[2713,2714,1650,2819,4298,3018,535],"class_list":["post-33948","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-backups","tag-daten-sichern","tag-malware","tag-nas","tag-netzwerkspeicher","tag-personenbezogene-daten","tag-ransomware"],"hreflang":[{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/synology-c3rb3r-attack\/33948\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/synology-c3rb3r-attack\/31202\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/synology-c3rb3r-attack\/26233\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/synology-c3rb3r-attack\/13776\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/synology-c3rb3r-attack\/31044\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/synology-c3rb3r-attack\/29595\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/synology-c3rb3r-attack\/32578\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/synology-c3rb3r-attack\/31116\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/synology-c3rb3r-attack\/42962\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/synology-c3rb3r-attack\/15025\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/synology-c3rb3r-attack\/56663\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/synology-c3rb3r-attack\/24508\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/synology-c3rb3r-attack\/25429\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/synology-c3rb3r-attack\/36945\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/synology-c3rb3r-attack\/36613\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.de\/blog\/tag\/ransomware\/","name":"Ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33948","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/comments?post=33948"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33948\/revisions"}],"predecessor-version":[{"id":33954,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33948\/revisions\/33954"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media\/33949"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media?parent=33948"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/categories?post=33948"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/tags?post=33948"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Was passiert nach der Infektion mit den Dateien?<\/h2>\n
![\"C3RB3R-Ransomware](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/96\/2026\/11\/10162823\/synology-c3rb3r-attack-01.png\" "\\"C3RB3R-Ransomware")
<\/a>![\"C3RB3R-Ransomware](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/96\/2026\/11\/10162857\/synology-c3rb3r-attack-02.png\" "\\"C3RB3R-Ransomware")
<\/a>Was tun, wenn Ransomware dein Synology NAS bereits infiziert hat?<\/h2>\n
\n
1. Das NAS sofort von allen Netzwerken trennen (aber nicht ausschalten)<\/h3>\n
2. Entscheiden, ob das NAS ausgeschaltet werden soll<\/h3>\n
\n
sudo ps -ef<\/code>), identifiziere den Ransomware-Prozess, ermittle seine PID (Prozess-ID) und pausiere die Verschl\u00fcsselung, ohne den Prozess zu beenden (sudo kill -STOP PID<\/code>, wobei PID die Prozess-ID der Ransomware ist). Pr\u00fcfe anschlie\u00dfend, ob alle Prozess-Threads angehalten wurden (Status T<\/code>), und befolge die Rettungsanleitung f\u00fcr C3RB3R \/ .L0CK3D-Ransomware<\/a>, um einen Speicher-Dump zu sichern. Wenn du die Verschl\u00fcsselung nicht stoppen kannst, schalte das NAS aus<\/strong>.<\/li>\n3. Verschl\u00fcsselte Dateien und die L\u00f6segeldforderung sichern<\/h3>\n
4. Dateien erst wiederherstellen und Laufwerke mit Backups erst anschlie\u00dfen, wenn die Ransomware entfernt wurde<\/h3>\n
5. Nach dem Stoppen des Angriffs die Snapshots in Snapshot Replication pr\u00fcfen<\/h3>\n
6. Das kompromittierte NAS l\u00f6schen und DSM neu installieren<\/h3>\n
7. M\u00f6glicherweise kompromittierte Konten pr\u00fcfen<\/h3>\n
8. Vor dem erneuten Verbinden des NAS mit dem Netzwerk unn\u00f6tigen Fernzugriff deaktivieren<\/h3>\n
QuickConnect deaktivieren<\/h4>\n
Pr\u00fcfen, ob das NAS \u00fcber den Router aus dem Internet erreichbar ist<\/h4>\n
Automatische Port\u00f6ffnung \u00fcber UPnP deaktivieren<\/h4>\n
Weitere Pr\u00fcfungen<\/h4>\n
9. Weiter nach einem kostenlosen Entschl\u00fcsselungstool suchen<\/h3>\n
Was Besitzer selbst gebauter NAS-Systeme tun sollten<\/h2>\n
So sch\u00fctzt du dein NAS und deine pers\u00f6nlichen Daten<\/h2>\n
\n
\n