Bảo vệ NAS Synology khỏi ransomware C3RB3R: 6 việc cần làm ngay

Từ cuối tháng 10/2026, ransomware C3RB3R mã hoá file trên NAS Synology lộ ra Internet thành đuôi .L0CK3D. Làm theo thứ tự dưới đây, mỗi việc chỉ mất vài phút.

1. Ngắt NAS khỏi Internet

Tắt chuyển tiếp cổng (port forwarding) trên router cho các cổng 5000, 5001, 80, 443 và các cổng dịch vụ khác của NAS. Tắt QuickConnect, reverse proxy, Cloudflare Tunnel nếu không thật sự cần. Mọi đường tấn công đã biết đều cần NAS lộ ra Internet.

2. Cập nhật DSM lên bản mới nhất của model

Vào Control Panel → Update & Restore, rồi đối chiếu với Download Center của Synology. Cập nhật tự động không nâng nhánh DSM, nên máy có thể báo "đã mới nhất" dù vẫn ở nhánh cũ. Bản mới nhất hiện là DSM 7.4.1-90080 Update 1; máy chỉ lên được DSM 7.1 hoặc 6.2 thì tải bản cuối và cài thủ công. Bảng bản DSM theo từng nhánh.

3. Cập nhật các gói trong Package Center

Cập nhật mọi gói, nhất là các gói chạy web như Web Station, MailPlus Server, Synology Calendar. Gỡ các gói không dùng.

4. Kiểm tra máy đã bị cài mã độc chưa

  • Chạy Security Advisor.
  • Xem Task Scheduler có tác vụ lạ không; nếu dùng SSH, kiểm tra các file /etc/cron.d/synot*.
  • Xem User & Group có tài khoản quản trị lạ không.
  • Tìm file đuôi .L0CK3D hoặc file read-me3.txt.

Có một trong các dấu hiệu trên thì xử lý như máy đã nhiễm: cập nhật DSM thôi không gỡ được tác vụ đã cài sẵn.

5. Bật snapshot và giữ một bản sao lưu ngoại tuyến

Bật snapshot cho các thư mục chia sẻ quan trọng (ổ Btrfs, gói Snapshot Replication); snapshot chỉ đọc nên mã độc không sửa được. Chép thêm một bản ra ổ cứng rời rồi rút ổ ra khỏi NAS.

6. Truy cập từ xa an toàn hơn

Cần dùng NAS khi ở xa thì dùng VPN như Tailscale, WireGuard, hoặc RocketZero: không cần mở cổng router và có lớp bảo vệ riêng đứng trước NAS.

Đã bị mã hoá?

  • Đừng tắt hay khởi động lại máy nếu tiến trình mã hoá còn chạy: khoá giải mã chỉ còn trong bộ nhớ. Rút dây mạng.
  • Không xoá file .L0CK3D, không ghi thêm dữ liệu vào ổ, không cài lại DSM.
  • Kiểm tra snapshot trước, kể cả khi thư mục #snapshot trông trống.
  • Kiểm tra file còn cứu được bao nhiêu bằng công cụ cứu dữ liệu .L0CK3D (chạy trên máy bạn, không tải file lên).

Diễn biến, các cách cứu dữ liệu và nguồn tham khảo: bài theo dõi đợt tấn công C3RB3R.