Synology: Ransomware trifft NAS-Geräte mit seit 2024 ungepatchten DSM-Versionen

Synology meldet, dass Angreifer eine Ende 2024 behobene DSM-Lücke ausnutzen, um die Daten von NAS-Geräten mit veralteten Versionen zu verschlüsseln und Lösegeld zu fordern. Der Hersteller verweist auf seinen Hinweis Synology-SA-24:20 und fordert alle betroffenen Kunden auf, DSM sofort zu aktualisieren und automatische Updates einzuschalten.

Was geschah

In einer Mitteilung vom 29. Oktober 2026 erklärte Synology, Angreifer beobachtet zu haben, die eine im Dezember 2024 geschlossene Schwachstelle gegen NAS-Geräte mit alten Versionen seines Betriebssystems DSM ausnutzen. Ziel der Angriffe ist es, die gespeicherten Daten zu verschlüsseln und Lösegeld zu erpressen. Der Hersteller verweist auf seinen Sicherheitshinweis Synology-SA-24:20, erstmals im November 2024 nach dem Wettbewerb Pwn2Own 2024 veröffentlicht. Welche Lücke genau genutzt wird, welche Ransomware im Spiel ist und wie viele Opfer es gibt, sagt die Mitteilung nicht.

Wer betroffen ist

Der Hinweis SA-24:20 umfasst drei Schwachstellen. Die schwerste, CVE-2024-10441, mit 9,8 nach CVSS 3.1 bewertet, erlaubt einem entfernten Angreifer ohne Konto die Ausführung von Code über den Dienst für System-Plugins. CVE-2024-50629 (5,3) ermöglicht das Lesen bestimmter Dateien über die Web-API, und CVE-2024-10445 (4,3) erlaubt einem Angreifer im selben Netz das Schreiben begrenzter Dateien über den Update-Mechanismus. Synology nennt nicht, welche davon ausgenutzt wird. Verwundbar sind Versionen vor DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 und 6.2.4-25556-8. In der Praxis ist jedes NAS, das seit fast zwei Jahren kein Update erhalten hat, ein Ziel, erst recht, wenn seine Oberfläche aus dem Internet erreichbar ist.

Was jetzt zu tun ist

1. DSM-Version prüfen auf jedem NAS, auch auf vergessenen Geräten in Niederlassungen: Systemsteuerung, dann Infocenter.
2. Aktualisieren auf die korrigierte Version des jeweiligen Zweigs oder besser auf die neueste für das Modell verfügbare Version.
3. Automatische Updates einschalten, wie von Synology empfohlen, damit Sicherheitskorrekturen nicht mehr liegen bleiben.
4. Die DSM-Oberfläche (standardmäßig Ports 5000 und 5001) nicht mehr direkt ins Internet stellen: Zugriff über VPN und Einschränkung per Firewall.
5. Nach Spuren einer Kompromittierung suchen: unbekannte Administratorkonten, neue geplante Aufgaben, umbenannte oder verschlüsselte Dateien, ungewöhnliche Protokolleinträge.
6. Eine Kopie der Daten außerhalb des NAS aufbewahren, offline oder unveränderbar, und die Wiederherstellung testen: Ein NAS ist nicht seine eigene Sicherung.

Unsere Einschätzung

Ein NAS ist ein Server wie jeder andere, steht aber oft ohne Verantwortlichen und ohne Update-Routine im Schrank. Ein seit zwei Jahren verfügbarer Patch schützt nur die Geräte, auf denen er installiert wurde: Diese Geräte gehören in denselben Update- und Überwachungszyklus wie der Rest der Infrastruktur.

Quellen

• Synology — Synology urges users to update DSM following ransomware attacks on outdated DSM versions
• Synology — Synology-SA-24:20 DSM (PWN2OWN 2024)
• The Hacker News — Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM Flaw

Wie wir unsere Analysen auswählen, prüfen und schreiben →