Ransomware Kembali Menargetkan Perangkat NAS

Ransomware Kembali Menargetkan Perangkat NAS – Perangkat penyimpanan yang terhubung ke jaringan atau Network Attached Storage (NAS) kembali menjadi sasaran serangan ransomware.

Synology memperingatkan bahwa penyerang mengeksploitasi kerentanan pada perangkat NAS yang masih menjalankan versi DiskStation Manager (DSM) lama dan belum mendapatkan pembaruan keamanan.

Dalam pernyataannya, Synology mengungkap bahwa serangan tersebut bertujuan mengenkripsi data dan meminta tebusan. Kerentanan yang dimanfaatkan diketahui telah mendapatkan perbaikan sejak Desember 2024.

Artinya, perangkat yang masih rentan berpotensi menjadi sasaran serangan siber berikutnya karena pembaruan keamanan yang tersedia belum diterapkan.

Kasus ini menjadi pengingat bahwa perangkat NAS bukan sekadar media penyimpanan tambahan. Perangkat tersebut sering menyimpan:

Dokumen perusahaan.
Data pelanggan.
Cadangan sistem.
Hingga informasi pribadi yang penting.

Jika perangkat tersebut berhasil disusupi, dampaknya dapat meluas ke ketersediaan dan kerahasiaan data.

Mengapa Perangkat NAS Menjadi Sasaran?

NAS memungkinkan pengguna menyimpan dan mengakses file melalui jaringan lokal maupun internet.

Perangkat ini banyak digunakan di rumah, kantor, dan organisasi untuk mengelola dokumen bersama, melakukan pencadangan, serta menyediakan akses data bagi beberapa pengguna sekaligus.

Karena berfungsi sebagai pusat penyimpanan, NAS sering memuat informasi dalam jumlah besar. Jika penyerang berhasil mengambil alih perangkat, mereka dapat mengganggu akses terhadap file yang tersimpan di dalamnya.

Dalam serangan ransomware, penyerang mengenkripsi file sehingga pemilik tidak dapat mengakses data seperti biasa.

Korban kemudian diminta membayar tebusan untuk memperoleh alat atau kunci dekripsi. Namun, membayar tebusan tidak menjamin data akan dipulihkan atau tidak disalahgunakan.

Pada kasus terbaru, Synology menyatakan bahwa perangkat dengan versi DSM yang belum diperbarui menjadi sasaran.

Perusahaan tersebut mengaitkan peringatannya dengan sejumlah kerentanan yang telah diumumkan pada November 2024, meskipun tidak menyebutkan secara spesifik celah mana yang digunakan dalam serangan terbaru.

Salah satu kerentanan dalam pemberitahuan tersebut adalah CVE-2024-10441 dengan skor CVSS 9.8.

Celah ini berkaitan dengan penanganan output yang tidak tepat pada komponen system plugin daemon DSM dan berpotensi memungkinkan eksekusi kode jarak jauh. Dua kerentanan lain yang tercantum adalah CVE-2024-50629 dan CVE-2024-10445.

Penting untuk tidak langsung menyimpulkan bahwa seluruh serangan terbaru menggunakan CVE-2024-10441.

Synology merujuk pada beberapa kerentanan dalam advisori keamanan, tetapi belum mengungkapkan secara pasti celah yang dieksploitasi dalam setiap insiden.

C3RB3R dan Dampak Enkripsi Data

Serangan terhadap perangkat NAS juga dikaitkan dengan ransomware C3RB3R. Analisis peneliti keamanan menyebutkan bahwa ransomware ini telah lama menargetkan perangkat NAS, termasuk dengan memanfaatkan kerentanan pada DSM.

Dalam sejumlah sampel yang dianalisis, file yang berhasil dienkripsi diberi ekstensi .L0CK3D. Ransomware juga meninggalkan catatan tebusan bernama read-me3.txt pada direktori yang terdampak.

Pola tersebut dapat menjadi petunjuk awal bagi administrator ketika memeriksa perangkat yang diduga terinfeksi. Namun, nama file dan ekstensi saja tidak cukup untuk memastikan bahwa suatu perangkat telah diserang oleh varian ransomware tertentu.

Analisis yang sama juga mencatat bahwa C3RB3R pernah memanfaatkan dua kerentanan DSM lain, yaitu CVE-2026-13684 dan CVE-2026-13639. Keduanya telah mendapatkan perbaikan pada September 2026.

Informasi ini menunjukkan bahwa perangkat NAS perlu terus dipantau karena ancaman tidak hanya berasal dari satu kerentanan atau satu gelombang serangan.

Mengapa Pembaruan Keamanan Tidak Boleh Ditunda?

Salah satu persoalan yang terlihat dari serangan ini adalah pemanfaatan kerentanan yang telah diperbaiki jauh sebelum serangan terbaru dilaporkan. Perangkat yang tidak diperbarui tetap memiliki kelemahan yang dapat dimanfaatkan penyerang.

Dalam lingkungan bisnis, perangkat NAS terkadang jarang diperiksa karena dianggap hanya berfungsi sebagai tempat penyimpanan. Administrator mungkin lebih memprioritaskan server utama, komputer pengguna, atau perangkat jaringan lain. Padahal, NAS dapat menyimpan data penting dan terhubung dengan berbagai sistem internal.

Selain itu, perangkat NAS yang dapat diakses dari internet memiliki risiko tambahan. Jika antarmuka administrasi atau layanan lain terbuka tanpa pembatasan yang memadai, penyerang memiliki peluang lebih besar untuk menemukan dan mencoba mengeksploitasi perangkat tersebut.

Langkah Melindungi Perangkat NAS

Untuk mengurangi risiko serangan ransomware, pengguna dan administrator NAS perlu menerapkan beberapa langkah berikut:

Perbarui DSM ke versi yang telah diperbaiki. Periksa advisori resmi produsen dan pastikan perangkat menggunakan versi yang tidak lagi terdampak kerentanan. Jangan hanya mengandalkan jadwal pembaruan otomatis tanpa memeriksa apakah pembaruan benar-benar berhasil diterapkan.
Batasi akses dari internet. Hindari mengekspos antarmuka administrasi NAS secara langsung ke internet jika tidak diperlukan. Gunakan akses jarak jauh yang aman dan batasi koneksi hanya untuk pengguna atau jaringan yang berwenang.
Gunakan kata sandi administrator yang kuat. Hindari kredensial bawaan atau kata sandi yang digunakan pada beberapa layanan. Aktifkan autentikasi multifaktor jika perangkat mendukungnya.
Nonaktifkan layanan yang tidak digunakan. Periksa protokol, aplikasi, akun, dan layanan yang aktif pada NAS. Semakin banyak layanan yang terbuka, semakin luas pula permukaan serangan yang harus dilindungi.
Buat cadangan data secara terpisah. Jangan menyimpan seluruh salinan cadangan pada perangkat NAS yang sama. Gunakan media penyimpanan lain atau cadangan terisolasi yang tidak selalu terhubung ke jaringan utama.
Uji proses pemulihan data. Pastikan cadangan dapat digunakan untuk memulihkan file dan sistem. Pencadangan yang tidak pernah diuji belum tentu dapat diandalkan ketika insiden terjadi.
Pantau aktivitas perangkat. Periksa aktivitas login, perubahan konfigurasi, penggunaan akun administrator, dan perubahan file dalam jumlah besar. Lonjakan aktivitas yang tidak biasa dapat menjadi petunjuk adanya penyalahgunaan.
Siapkan prosedur respons insiden. Jika perangkat menunjukkan tanda-tanda ransomware, isolasi perangkat dari jaringan untuk membatasi penyebaran dan dampak lebih lanjut. Lakukan pemeriksaan sebelum memulihkan data dari cadangan.

Serangan terhadap NAS Synology memperlihatkan bahwa kerentanan lama tetap dapat menjadi ancaman selama perangkat yang rentan masih digunakan. Perbaikan yang telah tersedia tidak akan memberikan perlindungan jika tidak diterapkan pada perangkat yang terdampak.

Bagi organisasi maupun pengguna rumahan, NAS harus diperlakukan sebagai bagian penting dari infrastruktur keamanan data. Pembaruan rutin, pembatasan akses, dan pencadangan terpisah merupakan langkah mendasar untuk mengurangi risiko kehilangan data akibat ransomware.

Baca artikel lainnya: