Muchas personas ven un dispositivo doméstico de almacenamiento conectado a la red (NAS) como un gran disco duro conectado al router. Guardan en él videos, fotos, documentos y copias de seguridad y, después, apenas vuelven a pensar en el dispositivo durante años. Es un grave error.
En octubre, los atacantes empezaron a infectar dispositivos NAS Synology con el ransomware C3RB3R (Cerber). Muchos usuarios informan de que ya no pueden abrir archivos de su almacenamiento de red y de que en sus carpetas aparecen archivos de texto con exigencias de rescate. Y esto no ocurre porque alguien haya descargado accidentalmente un archivo malicioso: cualquiera que no haya actualizado a tiempo su almacenamiento de red está en riesgo.
En este artículo explicamos exactamente quién está en riesgo y cómo proteger tus datos.
A quién ataca C3RB3R y cómo funciona el ataque
Estamos acostumbrados a pensar que el malware llega a un dispositivo después de que alguien descargue un archivo sospechoso o siga las instrucciones de un atacante. Sin embargo, la gran mayoría de las infecciones por C3RB3R se producen sin ninguna interacción del usuario: al atacante le basta con poder acceder a un servicio NAS vulnerable. Es probable que utilice escáneres especializados para localizar automáticamente sistemas NAS Synology y comprobar qué versión de DiskStation Manager (DSM) ejecutan.
El mes pasado, muchos propietarios de Synology empezaron a informar de ataques de C3RB3R. Synology confirmó oficialmente el problema y afirmó que los atacantes estaban explotando una vulnerabilidad que ya se había corregido en diciembre de 2024. Por la descripción, parece tratarse de CVE-2024-10441, una vulnerabilidad que permite a un atacante ejecutar código arbitrario en el sistema operativo del NAS sin autenticarse.
Al mismo tiempo, investigadores de 360.cn informaron de que los ataques de C3RB3R que analizaron también implicaban otras dos vulnerabilidades críticas, ambas con una puntuación de 9,8: CVE-2026-13639 y CVE-2026-13684. Estas vulnerabilidades permiten la lectura o escritura arbitraria de archivos y ataques de denegación de servicio (DoS). Synology no ha confirmado que estas vulnerabilidades se hayan utilizado en esta campaña. La empresa las corrigió en su actualización de DSM de septiembre.
En cualquier caso, las vulnerabilidades mencionadas permiten a los atacantes dirigirse de forma remota a un NAS. Para acceder al almacenamiento, introducir ransomware y ejecutarlo, solo tienen que cumplirse dos condiciones:
- No has actualizado tu almacenamiento conectado a la red desde hace mucho tiempo
- La interfaz de Synology DiskStation Manager (DSM) es accesible desde Internet (o desde la red local)
Eso es todo. El atacante no necesita tu contraseña ni que hagas nada. Todos los propietarios de un NAS Synology que no hayan actualizado el sistema a tiempo están en riesgo.
Si no has instalado actualizaciones manualmente hace poco y no recuerdas si las actualizaciones automáticas están activadas, te recomendamos bloquear primero el acceso del NAS a Internet y, después, actualizar el dispositivo manualmente cuanto antes; de lo contrario, podrías acabar fácilmente entre las víctimas.
Ten en cuenta que, hasta que se instalen las actualizaciones, el dispositivo seguirá siendo vulnerable a ataques desde la red local. Por tanto, si otros usuarios de la LAN pueden acceder a tu NAS Synology —por ejemplo, porque lo compartes con vecinos o está conectado a la red de una universidad, una oficina o una residencia estudiantil—, lo más seguro es desconectar el cable Ethernet y desactivar el Wi-Fi si tu modelo de NAS lo admite. Después, descarga los archivos de actualización en el computadora, desconecta el computadora tanto de la red cableada como del Wi-Fi, conecta el NAS directamente al computadora mediante un cable Ethernet y actualiza el sistema operativo y las aplicaciones en un entorno completamente aislado.
Otro motivo para actualizar tu almacenamiento de red son las vulnerabilidades de PHP descubiertas recientemente. Synology ya ha publicado actualizaciones urgentes para su sistema operativo y para las aplicaciones Mail Station y Synology Calendar.
¿Qué les ocurre a los archivos después de la infección?
Cuando el ransomware C3RB3R entra en un almacenamiento conectado a la red, empieza a recorrer todas las carpetas accesibles que contienen datos de usuario y cifra los archivos que hay dentro —fotos, documentos, archivos comprimidos, videos y grabaciones de audio—, añadiendo la extensión .L0CK3D a los archivos cifrados. Si un usuario intenta abrir uno, el sistema informa de que el archivo está dañado o tiene un formato desconocido. Por desgracia, cambiar simplemente el nombre del archivo no elimina el cifrado.
Así se ven los archivos después de que C3RB3R los cifre
Los atacantes también tienen el detalle de dejar un archivo de texto llamado read-me3.txt en las carpetas que contienen archivos cifrados, con instrucciones para descifrar los datos del almacenamiento. Al parecer, solo tienes que… abrir el nada sospechoso Tor Browser y pagar a los atacantes por un descifrador que, supuestamente, restaurará todos tus archivos. Ni que decir tiene que no hay ninguna garantía de que recuperes los archivos intactos.
C3RB3R deja una nota de rescate como esta en cada carpeta que contiene archivos cifrados. Una oferta realmente generosa: descifra un archivo gratis y paga por el resto
Perder todos o la mayoría de tus archivos puede no ser la única consecuencia desagradable. Los atacantes suelen chantajear a las víctimas amenazándolas con publicar los datos robados: credenciales de cuentas, fotos íntimas, documentos de trabajo y otra información confidencial. Si la víctima se niega a pagar el rescate, los delincuentes amenazan con hacer públicos todos esos datos. Pueden enviarte estas exigencias por correo electrónico o a través de redes sociales.
A menudo, estas amenazas no son más que una estafa, y explicamos en detalle estos esquemas —y qué hacer si te están chantajeando— en nuestro artículo Cómo usan el correo electrónico los estafadores para el chantaje y la extorsión. Pero si tu NAS realmente ha sido cifrado, por desgracia no puedes descartar que también hayan robado datos.
Qué hacer si el ransomware ya ha infectado tu NAS Synology
Si el ransomware ya ha atacado tu NAS, puedes encontrarte en una de estas dos situaciones:
- Has sorprendido al ransomware en plena actividad y ves con horror cómo cada vez se cifran y renombran más archivos ante tus ojos.
- Las carpetas de usuario ya se han cifrado y se ha añadido la extensión .L0CK3D a todos tus archivos.
¿Qué debes hacer?
1. Desconecta inmediatamente el NAS de todas las redes (pero no lo apagues)
El NAS debe quedar completamente aislado de Internet y del resto de tu red doméstica. Desconecta todos los cables del NAS excepto el cable de alimentación. Si tu modelo de NAS se conecta a la red local por Wi-Fi, desactiva también la conexión inalámbrica. Puedes hacerlo en el propio NAS (algunos modelos de Synology tienen un botón Wi-Fi que desactiva la red inalámbrica al mantenerlo presionado) o, sencillamente, desconectar el router de la corriente. Así interrumpes el acceso remoto de los atacantes al dispositivo y evitas que el NAS infectado se conecte a otros computadoras y dispositivos de almacenamiento.
Si hay unidades USB externas conectadas al NAS para ampliar su capacidad de almacenamiento, desconéctalas también: existe la posibilidad de que el ransomware aún no haya llegado a ellas.
Pausa en los computadoras y servicios en la nube las tareas de sincronización y copia de seguridad asociadas al NAS. Así evitarás que los archivos dañados se propaguen a otras copias y sobrescriban versiones que aún estén intactas.
2. Decide si debes apagar el NAS
Si sorprendes a Cerber en plena actividad, tu primer impulso puede ser tirar del cable de alimentación del NAS, pero no deberías hacerlo: una pérdida repentina de alimentación puede dañar los datos que se estén escribiendo en el disco. Es mejor utilizar el procedimiento normal de apagado del NAS, pero ten en cuenta que hacerlo elimina una posible vía para recuperar archivos que ya se hayan cifrado. Con algo de suerte, un especialista podría extraer una clave de recuperación de la RAM del dispositivo. Cuando se corta la alimentación, la RAM se borra.
- Si no eres un usuario técnico, no conoces a nadie que pueda ayudarte con la recuperación y el cifrado sigue en curso, apaga el NAS mediante el procedimiento normal; si el dispositivo no responde, desconecta el cable de alimentación. Así conservarás al menos los archivos que todavía no se hayan cifrado.
- Si eres un usuario avanzado, conecta el NAS directamente a un computadora aislado mediante un cable Ethernet e intenta iniciar sesión en el NAS por SSH. Comprueba los procesos en ejecución (
sudo ps -ef), identifica el proceso del ransomware, determina su PID (identificador del proceso) y pausa el cifrado sin finalizar el proceso (sudo kill -STOP PID, donde PID es el identificador del proceso del ransomware). Después, comprueba que todos los hilos del proceso estén detenidos (estadoT) y sigue las instrucciones de rescate para C3RB3R / ransomware .L0CK3D con el fin de guardar un volcado de memoria. Si no puedes detener el cifrado, apaga el NAS. - Si los archivos de tu NAS ya se han cifrado y lo has desconectado de la red local, puedes dejarlo encendido e intentar conservar el contenido de la memoria y recuperar los datos siguiendo las instrucciones de rescate para C3RB3R / ransomware .L0CK3D.
3. Guarda los archivos cifrados y la nota de rescate
Si el ransomware ha terminado de cifrar los archivos del NAS y lo has desconectado de Internet, intenta conectarte directamente al NAS y guardar una copia de los archivos cifrados y de las instrucciones de los atacantes en un disco duro externo vacío. Los investigadores de seguridad podrían publicar en el futuro un descifrador gratuito para C3RB3R.
Si apagaste el NAS mientras el cifrado estaba en curso, no vuelvas a encenderlo solo para inspeccionar procesos o copiar archivos: el cifrado se realiza localmente y puede reanudarse después de reiniciar el dispositivo. En este caso, ponte en contacto con un especialista confiable en recuperación de datos que pueda leer las unidades del NAS sin iniciar la instalación de DSM infectada.
Si, siguiendo los pasos anteriores, desconectaste el NAS de la red, lo conectaste directamente en un entorno aislado y detuviste los procesos del ransomware, puedes guardar los archivos sin cifrar que necesites rescatar. Es preferible conectar la unidad de copia de seguridad al computadora conectado directamente al NAS, y no al puerto USB del NAS: así se reduce la posibilidad de que el ransomware vuelva a iniciarse y cifre también esa unidad.
4. No restaures archivos ni conectes unidades con copias de seguridad hasta haber eliminado el ransomware
No conectes al NAS infectado una unidad externa que contenga una copia de seguridad y no empieces a restaurar archivos desde una copia de seguridad en el NAS comprometido. El ransomware podría volver a ejecutarse y dañar la unidad conectada.
5. Una vez detenido el ataque, comprueba tus instantáneas en Snapshot Replication
Si configuraste Snapshot Replication con antelación y los atacantes no destruyeron las instantáneas, puedes recuperar los datos a partir de ellas; pero no tiene sentido restaurarlos en el NAS comprometido. Necesitarás una unidad independiente para la copia de seguridad.
Primero, comprueba si las instantáneas siguen ahí. Una vez detenido el malware, abre Snapshot Replication desde el menú principal de DSM en el NAS que sigue encendido. Selecciona la carpeta compartida, abre Instantánea → Lista de instantáneas, busca una instantánea creada antes de la infección y haz clic en Examinar para inspeccionar su contenido. Desde ahí también puedes copiar datos de la instantánea a un medio externo sin restaurarlos en el volumen infectado. Para obtener más información sobre el uso de Snapshot Replication, consulta las instrucciones de Synology.
6. Borra el NAS comprometido y reinstala DSM
Después de guardar todo lo que puedas —incluidos los datos cifrados y sin cifrar, así como los registros—, restablece el NAS a la configuración de fábrica antes de volver a utilizarlo (Restablecimiento a configuración de fábrica → Borrar todos los datos).
Ten en cuenta que esto elimina por completo todos los datos, aplicaciones y ajustes del almacenamiento de red. Antes de restablecerlo, comprueba las copias de seguridad que hayas creado y asegúrate de que los archivos intactos que copiaste se pueden abrir, de que has guardado las versiones necesarias de los archivos procedentes de las instantáneas y de que los archivos cifrados, las notas de rescate, los registros y cualquier volcado de memoria que hayas obtenido están almacenados en otro dispositivo y no en el NAS. Si falta algo, conserva las unidades originales o imágenes completas de los discos para un especialista en recuperación de datos. Si puedes prescindir del NAS durante un tiempo, no te apresures a borrarlo: más adelante podrían aparecer herramientas gratuitas de descifrado.
Si utilizabas el NAS poco más que como un lugar donde acumular archivos y no contiene nada realmente valioso que no puedas reemplazar, borra por completo el almacenamiento como se ha descrito anteriormente antes de volver a utilizarlo y reinstala DSM desde una fuente oficial siguiendo las instrucciones para instalar DSM sin conexión a Internet.
No restaures la configuración desde una copia de seguridad creada después de la infección: podría contener cambios realizados por los atacantes. Lo mejor es configurar el NAS desde cero.
7. Comprueba las cuentas potencialmente comprometidas
Reinstalar DSM no invalida contraseñas robadas, sesiones ni otros secretos de servicios cuyas credenciales pudieran estar almacenadas en el dispositivo. Piensa qué servicios utilizabas en el NAS, qué paquetes adicionales estaban instalados y a qué podían acceder. Revisa todos esos servicios, finaliza las sesiones sospechosas, revoca las claves y los tokens afectados, cambia las contraseñas y activa la autenticación de dos factores. Recomendamos guardar todas las credenciales en la bóveda segura de un administrador de contraseñas. Hazlo antes de volver a conectar el almacenamiento a la red.
8. Antes de volver a conectar el NAS a la red, desactiva el acceso remoto innecesario
Desactiva QuickConnect
Este servicio te permite conectarte al NAS a través de Internet. Para desactivarlo en DSM 7, abre Panel de control → Acceso externo → QuickConnect, desmarca la casilla Habilitar QuickConnect y haz clic en Aplicar. En versiones anteriores, la sección QuickConnect se encuentra directamente en el Panel de control.
Comprueba si el NAS está expuesto a Internet a través del router
Es posible que el router esté configurado para reenviar las conexiones entrantes de Internet directamente al NAS, lo que se denomina reenvío de puertos. Primero, localiza la dirección IP local del NAS. En DSM puedes verla en Panel de control → Red → Interfaz de red.
A continuación, abre la configuración de tu router doméstico. Normalmente se hace introduciendo su dirección local en un navegador; la dirección exacta y las credenciales de inicio de sesión suelen aparecer en una etiqueta del router o en la aplicación de tu proveedor de Internet.
En la configuración del router, busca una sección con un nombre como Reenvío de puertos, Reenvío o Redirección de puertos. Revisa las reglas existentes. Si un campo como IP interna, IP local, Destino o Dispositivo contiene la dirección IP de tu NAS, elimina esa regla.
Comprueba también la sección DMZ, Host DMZ o Host expuesto. Si aparece allí la dirección IP del NAS, desactiva esta función.
Desactiva la apertura automática de puertos mediante UPnP
UPnP permite que las aplicaciones y los dispositivos soliciten al router que abra puertos automáticamente. Si no necesitas UPnP, desactívalo.
Ten en cuenta que este ajuste afecta a todo el router, por lo que desactivarlo puede repercutir en otros dispositivos de tu red doméstica. Si quieres mantener UPnP activado para ellos, revisa al menos las reglas creadas mediante UPnP y asegúrate de que ninguna apunte a la dirección IP del NAS. Si alguna lo hace, elimínala y, si tu router lo permite, bloquea la apertura automática de puertos para el NAS.
Comprobaciones adicionales
Si utilizas IPv6, revisa también sus reglas: deben bloquearse las conexiones entrantes innecesarias hacia el NAS. Desactiva asimismo los túneles, las VPN y otros servicios de acceso remoto que no utilices. Después de realizar estos cambios, comprueba si se puede acceder al NAS desde una red externa, por ejemplo mediante una conexión de datos móviles.
9. Sigue comprobando si aparece un descifrador gratuito
Los investigadores de ciberseguridad publican periódicamente descifradores gratuitos para recuperar archivos. Ten en cuenta que pueden tardar mucho tiempo en aparecer; mientras tanto, no te fíes de ofertas de “investigadores” desconocidos ni de sitios web que afirmen poder recuperar tus datos al instante tras un ataque de una nueva variante de ransomware.
Qué deben hacer los propietarios de sistemas NAS montados por ellos mismos
Muchas personas utilizan cargadores de terceros para DiskStation Manager: herramientas no oficiales del proyecto XPenology que permiten ejecutar el sistema operativo de Synology en hardware para el que no se diseñó originalmente, como un PC o un servidor montado a medida. Algunos ejemplos son Arc, RR (RedPill Recovery) y M-Shell.
Si ejecutas DSM de esta forma, C3RB3R también puede atacar tu sistema. Pero no te apresures a actualizar DSM: primero asegúrate de que la nueva versión sea compatible tanto con tu cargador como con el hardware. De lo contrario, tus archivos podrían resultar dañados.
Si todavía no puedes instalar la versión más reciente del sistema, restringe el acceso al almacenamiento de red desactivando el acceso externo y permitiendo conexiones desde la red local solo a los dispositivos que las necesiten. Si es posible, coloca el NAS en un segmento de red separado. La función Monitor de hogar inteligente de Kaspersky Plus y Kaspersky Premium puede proporcionar protección adicional para tu red doméstica: muestra todos los dispositivos de la red local y detecta cuándo se conectan dispositivos nuevos y desconocidos.
Cómo proteger tanto tu NAS como tus datos personales
- No pospongas las actualizaciones de software del NAS y comprueba que las actualizaciones automáticas estén activadas.
- No expongas los puertos 139 y 445 a Internet: son objetivos frecuentes de ataques automatizados. Estos puertos los utiliza el protocolo que permite a los computadoras abrir carpetas compartidas en un NAS. Es útil dentro de una red doméstica, pero no debería estar expuesto a todo Internet. Puedes comprobar si estos puertos están abiertos en la configuración del router.
- Si necesitas acceder al NAS de forma remota —mientras viajas o desde la oficina—, es mejor configurar primero una conexión remota a tu red doméstica y acceder después al almacenamiento desde dentro de esa red que exponer el NAS directamente a Internet.
- No guardes la única copia de archivos importantes en el NAS. Configura instantáneas periódicas con Snapshot Replication y realiza copias de seguridad con regularidad. Recuerda la regla 3-2-1: conserva tres copias de tus datos, dos en medios de almacenamiento distintos y una fuera del almacenamiento principal, en un disco duro desconectado.
- También puedes confiar tus documentos importantes a Kaspersky Password Manager. Puede almacenar credenciales de cuentas, notas de texto, escaneos de documentos personales, fotos, direcciones, datos de tarjetas bancarias y documentos PDF en la bóveda cifrada, protegida por una contraseña maestra que solo tú conoces. La bóveda se sincroniza entre todos tus dispositivos, por lo que los datos permanecen protegidos y accesibles tanto desde computadoras como desde smartphones.
- Utiliza una protección confiable que impida que se descarguen en tu computadora ransomware y otros tipos de malware.
- Protege la cuenta de administrador. Activa la autenticación de dos factores, utiliza una contraseña única y configura el bloqueo automático después de varios intentos fallidos de inicio de sesión, o utiliza claves de acceso (passkeys). Guarda las contraseñas, las claves de acceso y los tokens de 2FA en un administrador de contraseñas cifrado. Estas medidas no te protegerán frente al ataque actual de C3RB3R —porque Cerber explota vulnerabilidades que no requieren autenticación—, pero sí ayudarán si un atacante intenta comprometer tu cuenta o encuentra tu contraseña en una filtración de datos.
¿Cómo deberías almacenar y proteger tus datos? Lee nuestros otros artículos: