[주의] 시놀로지 NAS 쓰시는 분들 랜섬웨어 조심하세요! (비밀번호, 2FA 무력화)
조회 2,080 · 공감 4 · 댓글 41
지난주부터 국내외 관련 커뮤니티에서 시끌벅적 한데 클리앙엔 조용한 듯 하여 글 남깁니다.
시놀로지, 헤놀로지 무관하게, 보안 패치 되지 않은 시스템이 외부에 노출 (포트포워딩, 리버스프록싱 등) 되어 있다면 비밀번호나 2FA 가 설정되어 있다 하더라도 이를 완전히 "우회" 하여 시스템을 점유하고 파일들을 암호화시킨다고 합니다.
실제로 많은 유저들이 피해를 호소하고 있고요... 외부 노출된 시놀을 사용중이시라면 아래 글 읽어 보시고 꼭 한번 점검해 보시기 바랍니다.
저도 업데이트 뿐만 아니라 리버스프록싱도 닫고 조금 번거로워도 Wireguard나 Tailscale을 통해 접근하는 것으로 한정하려 합니다.
[[아래는 AI요약]]
■ 세 줄 요약
1. 인터넷에서 DSM이 열리는 NAS를 로그인 없이 뚫는 공격으로 알려져 있습니다. 비밀번호나 2단계 인증으로는 막을 수 없습니다.
2. DSM을 아래 버전 이상으로 올리고, 외부에 열린 DSM 포트를 닫으세요.
3. 파일 이름이 .L0CK3D로 바뀌었거나 read-me3.txt가 생겼다면 바로 랜선을 뽑으세요.
■ 어떤 랜섬웨어인가
- Cerber 계열 변종입니다. 10월 초부터 활동했고, 10월 29일 전후로 보도가 크게 늘었습니다.
- 파일을 암호화한 뒤 확장자를 .L0CK3D(숫자 0)로 바꾸고, 폴더마다 비트코인 몸값을 요구하는 read-me3.txt를 남깁니다.
- 복구는 백업과 스냅샷이 사실상 유일한 수단이라고 보셔야 합니다.
■ 어떻게 들어오나 ? 원인 취약점이 엇갈립니다
- 시놀로지 공식 공지(10/29): 2024년 12월에 고친 취약점(Synology-SA-24:20)을 지목했습니다.
- 보안업체 360: 9월 18일에 고친 DSM 취약점 2개(CVE-2026-13639, CVE-2026-13684, 위험도 9.8, Synology-SA-26:13)를 지목했습니다.
- 일부 보도: PHP 패키지 취약점 "PHP2Shell"(Synology-SA-26:14)을 원인으로 봅니다.
→ 어느 쪽이 맞든 셋 다 막아 두면 됩니다.
■ 1. DSM 버전 확인 (제어판 > 정보 센터)
아래 버전 이상이면 SA-26:13과 SA-24:20이 둘 다 막힙니다.
- DSM 7.2.1 : 7.2.1-69057 Update 12 이상
- DSM 7.2.2 : 7.2.2-72806 Update 9 이상
- DSM 7.3.2 : 7.3.2-86009 Update 4 이상
- DSM 7.4 : 7.4-90075 이상 (현재 최신은 7.4.1-90080 Update 1)
업데이트 알림이 안 뜨면 시놀로지 다운로드 센터에서 모델에 맞는 .pat 파일을 받아 수동으로 올리면 됩니다.
위 목록에 없는 버전은 공식 보안 공지에서 해당 버전의 수정판을 확인하세요.
■ 2. 외부 노출 닫기 (가장 중요)
업데이트만 믿지 말고, DSM이 인터넷에서 아예 안 보이게 하는 것이 근본 대책입니다.
- 공유기 포트포워딩에서 5000/5001(또는 바꿔 둔 DSM 포트)을 지우세요.
- DSM 제어판 > 외부 액세스 > 공유기 구성(UPnP)이 자동으로 만든 포워딩 규칙도 확인하세요.
- 역방향 프록시(NPM, DSM 내장 역방향 프록시 등)로 DSM을 연결해 둔 것도 똑같이 노출된 상태입니다.
- 포트 번호만 바꾸는 것은 스캐너에 금방 찾히기 때문에 대책이 되지 않습니다.
- QuickConnect도 밖에서 DSM에 닿는 경로입니다. 이번 공격이 이 경로를 쓰는지는 확인되지 않았지만, 안 쓰신다면 꺼 두세요.
- 밖에서 NAS를 써야 한다면 VPN(WireGuard, Tailscale 등) 뒤에 두세요.
- Drive나 Photos 공유 링크 때문에 꼭 열어야 한다면, 공유 링크 경로만 열어서는 완전히 막히지 않습니다.
공유 페이지도 내부적으로 DSM API(webapi)를 호출하기 때문입니다.
필요할 때만 잠깐 열고, DSM 방화벽의 국가 제한과 자동 차단을 함께 켜 두세요.
■ 3. 패키지 업데이트 (PHP2Shell, SA-26:14)
패키지 센터에서 "모두 업데이트"를 하고, 아래 패키지가 설치돼 있다면 버전을 확인하세요.
- PHP 7.4 : 7.4.33-0131 이상
- PHP 8.0 : 8.0.30-0122 이상
- PHP 8.1 : 8.1.34-0120 이상
- PHP 8.2 : 8.2.35-0171 이상
- PHP 8.3 : 8.3.36-0051 이상
- PHP 8.4 : 8.4.27-0051 이상
- Calendar : 3.0.4-21435 이상
- Mail Station : 30000002.3.19-20333 이상
- PHP 7.3 : 수정판이 없습니다 → 안 쓰면 삭제
※ PHP 7.3을 지울 때, 그것을 쓰는 패키지가 같이 지워질 수 있습니다.
제 경우 Hyper Backup이 같이 지워진 것 같습니다. 지우기 전에 목록을 꼭 확인하세요.
백업 데이터는 백업 대상 쪽에 그대로 남아 있으니, Hyper Backup을 다시 설치한 뒤 기존 백업에 다시 연결하면 됩니다.
■ 4. 감염 흔적 확인
- File Station에서 L0CK3D, LOCK3D, read-me3.txt를 검색하세요. (숫자 0과 영문 O 표기가 섞여서 보고되고 있습니다.)
- 제어판 > 사용자에 모르는 계정이 있는지 보세요.
- 작업 스케줄러에 모르는 작업이 있는지 보세요.
- Container Manager에 모르는 컨테이너가 있는지 보세요.
- 로그 센터에서 낯선 로그인이나 대량 파일 변경 기록이 있는지 보세요.
- 역방향 프록시 로그가 있다면 외부 IP의 /webapi/ 요청, 특히 entry.cgi POST 흔적을 찾아보세요.
제 로그에도 10/28~29에 외부 IP 하나가 query.cgi를 조회한 뒤 entry.cgi POST를 반복한 흔적이 있었습니다.
(이번 공격과 같은 것인지는 확인할 수 없었습니다.)
■ 5. 백업
- 백업은 NAS와 떨어진 곳에 두세요. 백업할 때만 연결하는 외장 디스크, 다른 장소, 클라우드 등입니다.
같은 NAS에 늘 꽂혀 있는 USB나 같은 NAS 안의 다른 폴더는 함께 암호화될 수 있습니다.
- Btrfs 스냅샷을 쓰신다면 불변 스냅샷(Immutable Snapshot, DSM 7.2 이상)을 켜 두세요.
관리자 계정이 털려도 정한 기간 동안은 스냅샷을 지울 수 없습니다.
■ 이미 감염됐다면
- 랜선을 뽑거나 전원을 꺼서 암호화가 더 진행되지 않게 멈추세요.
- 몸값을 내도 복구된다는 보장은 없습니다.
- 시놀로지 기술 지원에 문의하고, 스냅샷이 남아 있다면 스냅샷으로 복구할 수 있는지 확인하세요.
- 같은 네트워크에 있는 PC들도 점검하고, NAS 계정 비밀번호를 전부 바꾸세요.
■ 참고
- 시놀로지 보안 공지: Synology-SA-24:20 / SA-26:13 / SA-26:14
https://www.synology.com/en-global/security/advisory
- GridinSoft (원인 엇갈림 정리): https://blog.gridinsoft.com/synology-c3rb3r-ransomware-nas-backups/
- IT-Connect (대응 방법): https://www.it-connect.tech/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours/
- SynoForum 정리 글: https://www.synoforum.com/threads/synology-lock3d-c3rb3r-ransomware-attack-everything-you-need-to-know.16468/
댓글 41
잘 하셨습니다.. AI덕에 아이러니하게 홈랩의 종말이 오는 건 아닌가 싶습니다 ㅠㅠ
감사합니다.
역시나 보안과 불편함은 상충관계라는건 절대불변의 진리 같아요
아이고...
피해자가 워낙 광범위하니 곧 언락툴들도 진전이 있지 않을까요?
귀한 자료들 잘 복구 되시길 바랍니다.
헛...
일단 쓸만한 복구 도구나 방법이 나오기 전까지는 최대한 건드리지 않으시길 바랍니다.
자체복구 시도가 오히려 차후 복구를 망치는 원인이 되기도 하니..
잘 복구 되시길 바랍니다.
저도 화들짝 놀라 급히 점검 했습니다...
다행입니다.
AI의 힘을 빌어 공격방법이 점차 날카로워 지고 있으니 업데이트 하셨더라도 외부노출되어 있으시다면 한번 점검해 보세요~
물론 한국에 해커가 없냐, 한국 경유 VPN 은 어떻게 막냐 등의 우려가 있지만....
솔직히 로그 보면 특정 몇국가들에서 들어오는 공격이 대부분이거든요..
이 이슈는 지금 처음 알았지만 지난 주말에 4대 모두 아스트라 시켜서 보안점검 시켰었네요..
맞습니다.
다만 과거엔 충분하다 여겨 졌던 여러 보안조치들이(geoip, fail2ban 등) 상술하였듯 대AI시대 안에서 한낱 sh명령 한줄로 전락해 버리는 경우가 많으니 저는 당분간은 외부노출 자체를 막아 두려 합니다.
VPN밑에 두는게 맘 편합니다.
이러다 VPN도 취약점 나올까봐 걱정이긴합니다.
맞습니다. Wireguard 취약점이라도 나오는 날엔 거의 재앙에 가까울 것 같아요.
일단 업뎃만해놨는데, 나머지는 어찌할지 고민되네요
되도록 외부 노출을 숨기는것이 최선인 것 같습니다.
돌리던 서비스도 이제 그냥 외부 호스팅을 해야겠어요.
바이낸스같은 대형 서비스들도 뚫리는데 시놀로지가 SW를 얼마나 신경 쓸지 모르겠어요
Tailscale도 꺼둬야 하나 싶습니다
그러게요..
바이낸스 털리는(?) 것 보고 생각이 많아 집니다.
'네가 안전한건 단지 털어서 건질 것이 없기 때문이다' 의 세상인 것 같아요.
ㅠㅠ 외부공개를 삼가고 운용하셔야 할 것 같습니다.
웹관리페이지는 VPN으로 특정 IP로만 노출해봐야 겠어요
다만 퀵커넥트는 계속 써야 하는데 이걸 어떻게 해야 하나 고민은좀 해봐야 겠네요.
퀵커넥트도 큰 통로가 될 수 있으니 불특정 다수를 위한 서비스나 배포가 필요한 것이 아니라면 VPN(Tailscale, Wireguard 등) 을 고려하심이 심신의 평안을 연장하는 길이 아닐까 합니다..
애매허네요.
그렇다면 외부 노출 하지 마시고 wireguard 등의 vpn으로 서비스하시길 강력 권장 드립니다.
wireguard 하에서도 시놀로지 드라이브나 기타 서비스들은 정상운용이 가능하니까요.
큐냅은 예전 AI시절 이전 랜섬으로 시끌벅적 하긴 했는데 이번엔 아직 별다른 말이 없네요.
그래도 메이커 무관 공격자의 의지의 문제라 보일 정도로 AI 조력을 받은 공격이 매서우니 보안조치 철저히 하시기 바랍니다.
감사합니다
도움이 되었다니 다행입니다.
저도 정말 아차 싶었습니다.
이제는 뚫린 서비스 vs 뚫릴 서비스만 남은 대 수냉의 시대(?) 가 뉴노멀이 될 것 같습니다.....
워드프레스, 회사 공홈 등등 몽땅 업뎃하고 보안점검했는데, 나스는 생각도 못했네요. 당장 점검 돌리고 밥먹으러 갑니다.
감사합니다.
감사합니다!