시놀로지 NAS를 노린 C3RB3R 랜섬웨어 유포 주의 및 DSM 보안 업데이트 권고

생성형 AI 제작 이미지

  

시놀로지(Synology) NAS 사용자를 노린 신종 랜섬웨어 공격이 2026년 10월 하순부터 국내외에서 집중적으로 보고되고 있습니다.

 

이번 공격에 사용된 랜섬웨어는 오랜 기간 활동해 온 Cerber 랜섬웨어의 변종인 'C3RB3R'로, NAS에 저장된 파일을 암호화한 뒤 확장자를 .L0CK3D로 변경하고, 각 폴더에 랜섬노트(read-me3.txt)를 생성해 금전을 요구합니다.

 

공격자는 NAS 운영체제인 DSM(DiskStation Manager)의 취약점을 악용해 침투한 것으로 추정됩니다. 인증 없이 원격에서 악용 가능한 취약점이 거론되고 있어, 관리자(admin) 계정 비활성화, 국가별 IP 차단, 로그인 실패 시 자동 차단 등 일반적인 계정 보호 설정만으로는 공격을 막기 어렵다는 점에서 주의가 필요합니다.

 

ESRC 분석 결과, 해당 랜섬웨어는 ChaCha8과 RSA-2048을 결합한 하이브리드 암호화 방식을 사용해 공격자의 개인키 없이는 현재까지 파일 복구가 불가능한 것으로 확인되었습니다. 따라서 DSM 관리 페이지를 인터넷에 노출해 원격으로 NAS를 사용 중인 사용자분들께서는 즉시 보안 업데이트 적용 및 외부 노출 여부를 점검하시기를 권고 드립니다.

 

 

취약점 개요

 

CVE	CVE-2026-13639, CVE-2026-13684 (Synology-SA-26:13) ※ 시놀로지는 공식 발표에서 이전 보안 권고 Synology-SA-24:20의 취약점 악용도 함께 언급
취약점 유형	CVE-2026-13639: 로그인 로직의 엔트로피 부족 - CWE-331(Insufficient Entropy) CVE-2026-13684: SCGI 컴포넌트의 출력 인코딩 결함 - CWE-116(Improper Encoding or Escaping of Output)
심각도	Critical (CVSS v3.1 9.8) - 2건 모두
영향 대상	보안 업데이트가 적용되지 않은 시놀로지 DSM 7.2.1 / 7.2.2 / 7.3 / 7.4 (SA-26:13) DSM 7.1 ~ 7.2.2 구버전·BeeStation OS(Critical), DSM 6.2(Moderate) (SA-24:20)
인증 필요 여부	불필요 - 인증 없이 원격에서 임의 파일 읽기·쓰기 및 서비스 거부(DoS) 가능
실제 악용	악용 확인 - C3RB3R 랜섬웨어 (Cerber 변종)
조치	DSM 7.4-90075 / 7.3.2-86009-4 / 7.2.2-72806-9 / 7.2.1-69057-12 이상으로 즉시 업데이트

 

■ 사용자 권고 사항

• NAS의 DSM 버전을 확인하고, 패치 버전 미만이면 즉시 업데이트합니다.
• 공유기(라우터)의 포트포워딩에서 DSM 관리 포트(기본 5000/5001)를 제거하고, 원격 접속은 VPN을 통해서만 이용합니다.
• 패키지 센터에서 설치된 패키지(PHP, Synology Calendar, Mail Station)를 최신 버전으로 업데이트하고, 사용하지 않는 패키지·컨테이너(Container Manager)·공유 링크는 제거합니다.
• 공유 폴더에 변경할 수 없는 스냅샷(Immutable Snapshot)을 설정하고, NAS와 분리된 오프라인 백업을 최소 1개 이상 유지합니다.

 

취약점 발생 원인

 

DSM은 시놀로지 NAS에 탑재된 리눅스 기반 운영체제로, 사용자는 웹 브라우저를 통해 DSM 관리 페이지에 접속해 파일 공유, 계정, 패키지 설치 등 NAS 전체를 관리합니다. 이번에 문제가 된 취약점은 모두 DSM 자체에 존재하며, DSM 관리 페이지에 원격으로 접근할 수 있는 공격자라면 로그인하지 않고도 악용할 수 있는 것으로 알려져 있습니다.

CVE	취약 컴포넌트	원인 및 결과
CVE-2026-13639	로그인 로직	로그인 로직의 엔트로피(무작위성)가 부족해, 원격 공격자가 인증 없이 임의 파일을 읽고 쓰거나 서비스 거부를 일으킬 수 있음
CVE-2026-13684	SCGI	출력 데이터의 인코딩·이스케이프 처리가 미흡해, 원격 공격자가 인증 없이 임의 파일을 읽고 쓰거나 서비스 거부를 일으킬 수 있음

 

 

영향 및 공격 시나리오

 

공격 조건	인증 불필요, 인터넷에서 DSM 관리 페이지(웹 포트)에 접근할 수 있으면 공격 가능
발생 가능한 피해	NAS 내 임의 파일 읽기·쓰기, 랜섬웨어 설치 및 저장 데이터 전체 암호화
고위험 환경	공유기 포트포워딩으로 DSM 관리 포트(5000/5001 또는 변경한 포트)를 외부에 개방한 NAS
효과가 제한적인 방어	admin 계정 비활성화, 국가별 IP 차단, 로그인 실패 자동 차단, 비밀번호 강화 (인증 자체를 우회하는 취약점이므로 무차별 대입(Brute-force) 공격 대응 설정만으로는 차단할 수 없음)

 

■ C3RB3R 랜섬웨어 주요 특징

구분	내용
랜섬웨어	C3RB3R (Cerber 랜섬웨어 변종)
대상	시놀로지 NAS (리눅스 ELF 실행 파일)
암호화 방식	ChaCha8(파일 암호화) + RSA-2048(파일 암호화 키 보호) 하이브리드 방식 (공격자의 RSA 개인키 없이는 복호화 불가)
암호화 확장자	.L0CK3D
랜섬노트	read-me3.txt (각 폴더마다 생성, 토르(Tor) 사이트로 접속 유도)
복호화 도구	현재까지 공개된 무료 복호화 도구 없음

[표 1] C3RB3R 랜섬웨어 주요 특징

 

■ 침투 경로에 대한 분석 현황

현재 침투 경로에 대해서는 출처별로 분석 결과가 다르며, 아직 확정되지 않았습니다.

출처	추정 침투 경로
Qihoo 360 (중국 보안업체)	Synology-SA-26:13의 CVE-2026-13639, CVE-2026-13684 (2026년 9월 패치)
시놀로지 공식 발표 (2026. 10. 29.)	Synology-SA-24:20의 취약점을 이용해 구버전 DSM을 공격 (2024년 12월 패치)
기타	최신 DSM 7.4.1 사용 장비의 피해 사례도 보고되었으나, 신규 취약점·패키지·컨테이너·계정 정보 탈취 중 어떤 경로인지는 확인되지 않음

특정 취약점 하나만 패치하지 말고, DSM을 최신 버전으로 업데이트하는 동시에 DSM 관리 페이지가 인터넷에 직접 노출되지 않도록 차단하는 것이 가장 안전합니다.

 

 

영향 받는 버전 및 패치 버전

 

제품	영향 받는 버전	패치 버전
DSM 7.4	7.4-90075 미만	7.4-90075 이상
DSM 7.3	7.3.2-86009-4 미만	7.3.2-86009-4 이상
DSM 7.2.2	7.2.2-72806-9 미만	7.2.2-72806-9 이상
DSM 7.2.1	7.2.1-69057-12 미만	7.2.1-69057-12 이상
DSM 7.2 / 7.1 / 6.2, BeeStation OS	지원 종료 또는 구버전	지원 중인 최신 DSM 버전으로 업그레이드 권고

[표 2] 영향 받는 버전 및 패치 버전

 

※ 위 패치 버전은 Synology-SA-26:13 기준이며, DSM 업데이트는 누적 방식이므로 Synology-SA-24:20 을 비롯한 이전 보안 패치가 함께 적용됩니다.

 

 

조치 방법

 

① 사용 중인 버전 확인

• DSM 웹 화면에서 확인

DSM 관리 페이지 접속 → DSM 제어판 → 정보 센터 → 일반 탭의 'DSM 버전' 항목에서 확인합니다. 화면에는 DSM 7.2.2-72806 Update 9와 같이 'DSM 버전-빌드 번호 Update 업데이트 번호' 형식으로 표시되며, 이는 보안 권고문의 7.2.2-72806-9와 같은 버전입니다.

• SSH 접속 시 확인

cat /etc.defaults/VERSION

productversion(DSM 버전), buildnumber(빌드 번호), smallfixnumber(업데이트 번호) 값을 [표 2]의 패치 버전과 비교합니다. 예를 들어 7.2.2-72806-9는 productversion="7.2.2", buildnumber="72806", smallfixnumber="9"입니다.

 

② 보안 업데이트 적용

구분	적용 방법
DSM 업데이트	DSM 제어판 → 업데이트 및 복원 → DSM 업데이트에서 '지금 다운로드' 후 설치 (인터넷 연결이 불가한 환경은 시놀로지 다운로드 센터에서 모델에 맞는 .pat 파일을 받아 '수동 DSM 업데이트'로 설치)
자동 업데이트 설정	같은 화면의 '업데이트 설정'에서 ' 중요 업데이트 자동 설치 활성화'
패키지 업데이트	패키지 센터 → 설치됨에서 '모두 업데이트' 실행

DSM 업데이트 중에는 NAS가 재부팅될 수 있으므로, 업무 시간을 고려해 진행하시기 바랍니다.
재부팅 후 정보 센터에서 버전이 정상적으로 변경되었는지 다시 확인합니다.

 

③ 외부 노출 차단 및 피해 최소화

※ 최신 버전에서도 피해 사례가 보고된 만큼, 업데이트와 함께 아래 조치를 반드시 병행하시기 바랍니다.

조치 항목	설정 위치 및 방법	중요도
관리 페이지 외부 노출 차단	공유기(라우터) 관리 화면에서 DSM 관리 포트(5000/5001 또는 변경한 포트) 포트포워딩 삭제 DSM 제어판 → 외부 액세스 → 라우터 구성의 자동 포트 개방(UPnP) 규칙 삭제	최우선
VPN 경유 접속	원격 접속이 필요한 경우 VPN Server 패키지 또는 공유기·방화벽의 VPN 기능을 이용해 접속	최우선
QuickConnect 점검	DSM 제어판 → 외부 액세스 → QuickConnect에서 사용하지 않으면 비활성화, 사용 시 '고급' 설정에서 허용 서비스 최소화	높음
방화벽 설정	DSM 제어판 → 보안 → 방화벽에서 신뢰할 수 있는 IP 대역만 허용하고 나머지 차단	높음
변경할 수 없는 스냅샷	Snapshot Replication에서 공유 폴더별 스냅샷 예약을 설정하고, 변경할 수 없는 스냅샷(Immutable Snapshot)과 보호 기간을 지정	높음
오프라인 백업	Hyper Backup 등으로 외장 디스크에 백업 후 NAS와 분리 보관	높음
불필요한 원격 서비스 중단	DSM 제어판 → 파일 서비스에서 사용하지 않는 FTP·SFTP·rsync 서비스 비활성화 DSM 제어판 → 터미널 및 SNMP에서 사용하지 않는 Telnet·SSH 비활성화(사용 시 기본 포트 변경 및 특정 IP만 허용)	높음
계정 보호 및 2단계 인증	기본 admin 계정 비활성화, 자동 차단·계정 보호 활성화(DSM 제어판 → 보안 → 보호), 비밀번호 복잡도 강화 2단계 인증(2FA): DSM 제어판 → 사용자 및 그룹 → 고급에서 관리자 그룹 또는 전체 사용자 대상 강제 적용. 인증 수단은 Synology Secure SignIn 또는 OTP 앱(Google Authenticator 등)	높음

[표 3] DSM 외부 노출 차단 및 피해 최소화 조치

 

 

침해 여부 확인

 

※ 아래 항목은 모두 Windows PC가 아닌 NAS의 DSM 관리 페이지에서 확인합니다.

점검 항목	확인 내용
암호화 파일	공유 폴더에 .L0CK3D 확장자 파일 존재 여부
랜섬노트	각 폴더에 read-me3.txt 파일 생성 여부
로그	Log Center에서 알 수 없는 IP의 로그인, 대량 파일 변경·삭제, 스냅샷 삭제 기록
계정	DSM 제어판 → 사용자 및 그룹에서 새로 생성되었거나 관리자 그룹에 추가된 계정
예약 작업	DSM 제어판 → 작업 스케줄러에 등록된 의심스러운 스크립트
스냅샷	Snapshot Replication에서 기존 스냅샷이 삭제되었는지 여부

• SSH 접속 시 암호화 파일 및 랜섬노트 검색

find /volume1 \( -name "*.L0CK3D" -o -name "read-me3.txt" \) 2>/dev/null | head -n 20

※ 볼륨이 여러 개인 경우 /volume2, /volume3 등 각 볼륨 경로를 지정해 검색합니다.

 

 

취약점 공개 경과

 

일자	내용
2024. 11. 05	시놀로지, Synology-SA-24:20 보안 권고 공개 (Pwn2Own 2024 / 이후 버전별 패치 순차 배포) ※ 2026년 10월 29일 시놀로지 공식 발표에서 이번 랜섬웨어 사건의 침투 경로로 지목
2026. 09. 18	시놀로지, Synology-SA-26:13 보안 권고 공개 (CVE-2026-13639, CVE-2026-13684 등 8건)
2026. 10. 28~29	다수 시놀로지 NAS에서 파일이 .L0CK3D로 암호화되는 피해 집중 발생
2026. 10. 29	Qihoo 360 안티랜섬웨어 서비스, C3RB3R 랜섬웨어의 시놀로지 NAS 공격 경보 발표
2026. 10. 29	시놀로지, 구버전 DSM 대상 랜섬웨어 공격 관련 업데이트 권고 발표

※ 일자는 각 출처의 공개 기준(현지 시각)입니다.

 

 

자사 제품 영향 및 대응 현황

 

알약 탐지 현황

A1375E0F82AE86DF528876C049B5A23C : Trojan.Ransom.Linux.Cerber E5CC0827446E1B664D47E452B0390CE2 : Trojan.Linux.Downloader B1BE3FA1F10563A4E72B3142DAC103B1 : Misc.HackTool.Linux.PermCheck

 

 

참고 용어

 

용어	설명
NAS	Network Attached Storage. 네트워크에 연결해 여러 사용자가 파일을 저장·공유하는 저장 장치
DSM	DiskStation Manager. 시놀로지 NAS에 탑재된 리눅스 기반 운영체제. 웹 브라우저로 접속해 NAS를 관리
SCGI	Simple Common Gateway Interface. 웹 서버와 애플리케이션 간 요청을 주고받는 인터페이스
CWE-331 / CWE-116	CWE-331(Insufficient Entropy): 무작위 값의 엔트로피가 부족해 예측 가능한 값이 생성되는 취약점 CWE-116(Improper Encoding or Escaping of Output): 출력 데이터를 올바르게 인코딩·이스케이프하지 않아 발생하는 취약점
포트포워딩	공유기로 들어오는 외부 접속을 내부 네트워크의 특정 장비·포트로 전달하는 설정
ChaCha8 / RSA-2048	ChaCha8: 고속 스트림 암호 알고리즘 / RSA-2048: 2048비트 키를 사용하는 공개키(비대칭) 암호 알고리즘
변경할 수 없는 스냅샷	Immutable Snapshot. 설정한 보호 기간 동안 삭제할 수 없도록 보호되는 스냅샷

 

참고 :

https://www.synology.com/en-global/company/news/article/C3RB3R/Synology%20urges%20users%20to%20update%20DSM%20following%20ransomware%20attacks%20on%20outdated%20DSM%20versions