Ransomware C3RB3R en NAS Synology: qué versión instalar y cuándo apagar un equipo cifrado

Un ransomware llamado C3RB3R lleva desde octubre cifrando archivos en NAS de Synology, esos discos en red que muchas casas y pymes usan como depósito de fotos, documentos y copias de seguridad. Renombra tus archivos a .L0CK3D, deja un read-me3.txt en cada carpeta y te manda a pagar por un portal anónimo. Este 9 de noviembre, Kaspersky publicó una guía con qué hacer antes de que sea tarde y, sobre todo, cuando ya lo es.

Si tu NAS Synology todavía abre tus archivos: cortale el acceso desde internet y actualizá DiskStation Manager (DSM, su sistema operativo) a lo último que admita tu modelo. Es gratis y va antes que el café. Si ya ves archivos .L0CK3D: sacalo de la red, no lo reinicies y andá directo a la decisión de apagarlo o no. Si sigue cifrando, no te demores: cada minuto cuenta.

Si no tenés un NAS Synology, esta no te toca, con una excepción: las instalaciones caseras de DSM en hardware propio, conocidas como XPEnology.

Qué versión mirar hoy

La entrada no necesita tu contraseña. Kaspersky lo resume en dos condiciones: que el NAS lleve tiempo sin actualizarse y que su interfaz sea alcanzable desde internet o desde la red local. Por eso una clave larguísima no te salva de esto, aunque sirva para otras cosas: dejala puesta igual.

«La gran mayoría de las infecciones de C3RB3R ocurren sin ninguna interacción del usuario: al atacante solo le hace falta llegar a un servicio vulnerable del NAS.»Kaspersky, 9 de noviembre de 2026 (traducción de TCD)

Buscá el número instalado en la pantalla de actualización de DSM. Apuntá a la columna de la derecha o a algo posterior dentro de tu rama. El último número es el de la actualización menor: Synology escribe -9 en sus avisos y en el sistema suele aparecer como «Update 9».

Fuentes: avisos Synology-SA-24:20 y Synology-SA-26:13. Son los mínimos de cada aviso, dentro de cada rama.

«No figura» quiere decir eso y nada más: el aviso no lista esa rama. No es una constancia de que esté a salvo ni de que esté afectada. Si tu modelo no admite una rama con número en la columna derecha, instalá al menos el mínimo de la izquierda y dejalo sin acceso externo y con la red local limitada a los equipos que lo necesitan. Eso último es recomendación nuestra: para esas ramas, el aviso de septiembre no dice nada.

Si el equipo está en una oficina, un edificio compartido o una red donde entra cualquiera, tené en cuenta que hasta terminar la actualización sigue expuesto desde adentro. Para ese caso, Kaspersky aconseja desconectarlo, bajar la actualización en una computadora, aislar esa computadora y conectarla directo al NAS con un cable de red para instalarla ahí. Y actualizá también las aplicaciones: Synology publicó arreglos de PHP para paquetes como WordPress, phpMyAdmin o Calendar, por el Centro de paquetes.

Qué falla usan: Synology apunta a una, 360 a otras

El comunicado global de Synology, del 29 de octubre, dice que detectó atacantes explotando una falla parcheada en diciembre de 2024 en equipos con versiones «desactualizadas» de DSM. La versión para Estados Unidos, del mismo día, habla de equipos con versiones «end-of-life», en fin de vida. Al mencionar sus parches de PHP, esa versión llama así a DSM 7.2, 7.1, 7.0 y 6.2, sin aclarar si «7.2» incluye a 7.2.1 y 7.2.2. Si estás en cualquier 7.2, instalá lo de la tabla y fijate si tu modelo admite una rama superior.

Ninguno de los dos nombra al ransomware ni dice cuál es la falla. Remiten al aviso SA-24:20, de noviembre de 2024, con correcciones que salieron por rama hasta diciembre. Reúne tres fallas. Cuando BleepingComputer le preguntó cuál era, un vocero la mandó de vuelta al mismo aviso. Kaspersky escribe que, por la descripción, «parece ser» CVE-2024-10441, un agujero de gravedad 9,8 sobre 10 que deja ejecutar código a distancia sin iniciar sesión.

Ese mismo día, la firma china 360 publicó otra lectura. Después de recibir pedidos de ayuda desde octubre y analizar muestras, afirmó que el punto de entrada fueron dos fallas de 9,8 divulgadas este año, CVE-2026-13639 y CVE-2026-13684, corregidas por Synology el 18 de septiembre. Kaspersky aclara que Synology no confirmó que se usen en esta campaña.

Las dos pueden ser ciertas a la vez, y esto ya es deducción nuestra: un equipo sin el parche de 2024 tampoco tiene el de 2026. El único análisis forense detallado que encontramos, publicado por un afectado sobre un solo equipo con DSM 7.2, considera a CVE-2024-10441 la explicación más fuerte, y aclara que no puede presentar toda la cadena como probada. Un caso no alcanza para saber cuál pesa más.

La consecuencia práctica sí es concreta. En 7.2.1 y 7.2.2, si solo llegaste al mínimo de 2024, corregiste lo del aviso al que remite Synology, pero seguís por debajo de lo que arregló en septiembre. Ahí la columna que vale es la derecha.

Tampoco hay un número de víctimas. BleepingComputer habló de una «ola masiva» de reportes de clientes y de un descifrador ofrecido por miles de dólares en un portal de la dark web, y fechó los primeros casos más de dos semanas antes de su nota del 2 de noviembre. Ni Synology ni 360 ni Kaspersky dan una cifra total.

Si ya ves archivos .L0CK3D: apagarlo o no

Lo primero no se discute: desconectá todos los cables salvo el de corriente, apagá el Wi-Fi si el modelo lo tiene, sacá los discos USB y pausá las sincronizaciones y copias contra la nube y las computadoras, para que lo cifrado no pise versiones sanas.

Lo segundo es donde el instinto falla. Tirar del cable de corriente parece lo lógico, y Kaspersky lo desaconseja como primera reacción, porque un corte brusco puede dañar lo que se está escribiendo en el disco. Lo mejor, dice, es el apagado normal del equipo. Pero avisa que eso también tiene un costo:

«Un especialista puede, con algo de suerte, extraer una clave de recuperación de la memoria RAM del equipo. Una vez que se corta la corriente, la RAM se borra.»Kaspersky, 9 de noviembre de 2026 (traducción de TCD)

Kaspersky no da una sola respuesta, y ahí está lo útil:

• Sigue cifrando, no sos técnico y no tenés a quién llamar: apagado normal, con el procedimiento que indique el manual de tu modelo. Si no responde, recién ahí, desenchufalo. Salvás lo que todavía no se cifró, y a partir de ahí rige el último caso de esta lista.
• Sigue cifrando y te manejás con SSH (acceso por línea de comandos): conexión directa desde una computadora aislada, pausar el proceso sin matarlo y guardar la memoria siguiendo la guía técnica. Si no podés frenarlo, apagá.
• Ya terminó y lo aislaste: podés dejarlo encendido e intentar preservar la memoria. Si no sabés hacerlo, pasale esto a alguien que sepa antes de tocar nada.
• Lo apagaste en pleno cifrado: no lo vuelvas a prender para mirar ni para copiar, porque el cifrado puede reanudarse. Buscá un especialista en recuperación que lea los discos sin arrancar ese DSM.

¿Cómo saber si sigue cifrando? Kaspersky distingue entre ver que los archivos se siguen renombrando y encontrarlos todos ya marcados, y la única comprobación firme que describe es por SSH. Si no podés saberlo y estás solo, nuestro criterio es tratarlo como si siguiera cifrando: la prioridad es lo que todavía está sano.

Por qué la memoria puede salvar archivos, y por qué puede que no

La guía técnica a la que remite Kaspersky es C3RB3R / .L0CK3D ransomware rescue, un proyecto comunitario creado el 29 de octubre, sin licencia declarada, pensado para la muestra que analizó su autor. No lo probamos. Es más tajante que Kaspersky: pide no reiniciar, no apagar, no actualizar ni reinstalar hasta preservar la memoria. Está escrito para quien va a hacer ese trabajo. Si ese no sos vos, no ejecutes nada de ahí: seguí el caso de la lista que te corresponda y pasale el enlace a alguien que sepa, que es lo que el propio repositorio sugiere.

Su idea es esta: el programa protege el material de cifrado de cada archivo con una clave de sesión, y esa clave puede seguir en la memoria del proceso. Si aparece, se abren los registros guardados al final de cada archivo sin la clave privada del atacante.

Reporta dos casos: una copia de GitLab de unos 49 GiB recuperada en un NAS virtualizado, que permitió restaurar 80 proyectos, y un equipo físico cuyo autor dice haber recuperado unos 84.500 archivos, comprobando una muestra. Para discos con el sistema de archivos Btrfs hay una segunda vía sin clave, que a veces reconstruye archivos a partir de datos viejos. El proyecto también avisa que hubo búsquedas sin ninguna clave y que, si el proceso ya terminó, no hay que dar por hecho que siga en memoria.

«No hay una clave universal.»C3RB3R / .L0CK3D ransomware rescue (traducción de TCD)

Desconfiá de quien aparezca ofreciéndote recuperación instantánea: Kaspersky advierte justamente sobre eso. Una herramienta de código abierto, gratuita, citada por un fabricante de seguridad y que no promete resultados está en otra categoría que un «investigador» que te escribe por privado. Sobre pagar, 360 lo escribe tres veces seguidas: no paguen. Kaspersky agrega que no hay garantía de recuperar los archivos intactos.

Después: copiar, borrar, reinstalar y cambiar claves

Si lo apagaste con el cifrado en marcha, estos pasos de copia no son para vos: van por el especialista. Si el cifrado ya terminó y el NAS está aislado, Kaspersky propone copiar a un disco externo vacío los archivos cifrados y la nota de rescate, porque algún día puede salir un descifrador gratuito. No conectes tus backups al equipo infectado. Si configuraste Snapshot Replication, la función de instantáneas de Synology, y sobrevivieron, buscá una anterior a la infección y copiá desde ahí a otro disco, sin restaurar sobre el NAS comprometido.

Recién cuando comprobaste que lo copiado se abre y que no te falta nada, tocá el restablecimiento de fábrica con borrado total y reinstalá DSM desde la fuente oficial. Si podés vivir sin el NAS un tiempo, no te apures a borrarlo. Y no restaures una copia de la configuración hecha después de la infección: puede traer cambios del atacante.

Reinstalar tampoco invalida lo que se hayan llevado. Antes de reconectar, cambiá contraseñas, cerrá sesiones y revocá llaves y tokens de todo servicio que el NAS tuviera guardado. Kaspersky dice que, si el equipo fue cifrado de verdad, no se puede descartar el robo de datos.

Cómo cerrarle internet, también si ya te atacaron

Un NAS es esa caja que nadie mira durante años hasta el día que importa. Este es el momento de mirarla.

Kaspersky recomienda revisar, en este orden:

• QuickConnect, el servicio de Synology para entrar desde afuera: desactivalo si no lo necesitás. En DSM 7 está en Panel de control → Acceso externo; en versiones anteriores, directamente en el Panel de control.
• Router: borrá las reglas de redirección de puertos que apunten a la dirección del NAS y sacalo de la DMZ, la zona del router que deja un equipo expuesto a internet.
• UPnP, la función que abre puertos sola: apagala. Afecta a toda tu red, así que, si otro equipo la necesita, al menos eliminá las reglas que apuntan al NAS. Si usás IPv6, revisá también esas reglas.
• Probá desde los datos móviles si el NAS sigue respondiendo desde afuera.

Para lo cotidiano: actualizaciones automáticas activas, como pide también Synology, y los puertos 139 y 445, los de las carpetas compartidas, fuera de internet. Si necesitás entrar desde lejos, conectate primero a tu red y recién ahí al NAS. Y que esa caja no guarde la única copia de nada: tres copias, en dos medios, una desconectada.

Si usás XPEnology, no actualices a ciegas: Kaspersky advierte que una versión incompatible con tu cargador o tu hardware puede dañar los archivos. Mientras tanto, sin acceso externo y con la red local limitada.

La guía de Kaspersky también sugiere productos propios, y es lógico que lo haga. Para esto en particular, lo que piden Synology y Kaspersky es actualizar y cerrar accesos, y eso no se compra.

Por qué mirarlo desde América Latina

No encontramos casos confirmados ni cifras de víctimas en la región, y decir lo contrario sería inventar. Lo que sí hay es un perfil fácil de reconocer: el estudio contable con el NAS que le configuró un técnico hace años, la pyme que abrió un puerto para ver archivos desde la casa, el fanático de las películas con acceso remoto prendido desde siempre. Si te suena, hoy pedí tres datos: qué versión de DSM corre, si se llega desde internet y dónde está la última copia que no esté enchufada a esa caja.

Fuentes

• Kaspersky, «C3RB3R attacks Synology: why you shouldn’t put off NAS updates» (en inglés), 9 de noviembre de 2026. Traducción de TCD.
• Synology, comunicado global (en inglés), 29 de octubre de 2026.
• Synology, comunicado para Estados Unidos (en inglés), 29 de octubre de 2026.
• Synology, aviso SA-24:20 (en inglés), publicado el 5 de noviembre de 2024 y actualizado el 28 de marzo de 2025.
• Synology, aviso SA-26:13 (en inglés), 18 de septiembre de 2026.
• 360, alerta sobre Cerber en NAS Synology (en chino), 29 de octubre de 2026. Traducción de TCD.
• Repositorio C3RB3R / .L0CK3D ransomware rescue (en inglés) y su análisis de la vía de ataque. Proyecto comunitario, no probado por TCD.
• BleepingComputer, «Synology warns of C3RB3R ransomware attacks targeting NAS devices» (en inglés), 2 de noviembre de 2026.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con el logo de Synology. La portada usa además una foto de archivo de un NAS Synology DS413j (Korrupt, Wikimedia Commons, CC BY 4.0, adaptada), sin relación con los ataques.