[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar":3,"prev-/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar":430,"next-/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar":407,"related-/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar":433,"author-Diego Herrera":452},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":383,"cta":384,"date":390,"dateModified":390,"description":391,"draft":392,"extension":393,"faq":394,"featured":392,"howto":407,"image":408,"imageAlt":409,"intent":410,"keywords":411,"meta":416,"navigation":417,"path":418,"publishedTime":419,"readingTime":420,"seo":421,"seoTitle":422,"stem":423,"tags":424,"__hash__":429},"blog/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar.md","Synology alerta por ransomware C3RB3R contra NAS con DSM sin actualizar: la falla se parchó en 2024 y la siguen explotando","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":373},"minimark",[11,40,43,48,130,137,148,152,155,224,231,238,241,245,299,307,311,314,328,340,344,356,364],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,39],"p",{},"Synology publicó el ",[16,17,18],"strong",{},"29 de octubre de 2026"," un comunicado poco común: pide a todos sus usuarios con versiones vulnerables de ",[16,21,22],{},"DSM"," (el sistema operativo de sus NAS) que actualicen de inmediato, porque detectó a atacantes que explotan una falla \"parchada en diciembre de 2024\" para ",[16,25,26],{},"cifrar datos y pedir rescate",". BleepingComputer, que publicó los detalles el 2 de noviembre, identifica la campaña como ",[16,29,30],{},"C3RB3R",", un ransomware que deja los archivos con la extensión ",[16,33,34],{},".L0CK3D"," y una nota llamada ",[16,37,38],{},"read-me3.txt",".",[12,41,42],{},"Para una PyME mexicana esto pega donde más duele: en muchas oficinas el NAS Synology es a la vez el servidor de archivos, la carpeta de contabilidad y \"el respaldo\". Si el equipo lleva meses o años sin actualizarse, hoy es el día.",[44,45,47],"h2",{"id":46},"qué-se-sabe","Qué se sabe",[49,50,51,64],"table",{},[52,53,54],"thead",{},[55,56,57,61],"tr",{},[58,59,60],"th",{},"Dato",[58,62,63],{},"Detalle",[65,66,67,76,84,92,100,114,122],"tbody",{},[55,68,69,73],{},[70,71,72],"td",{},"Comunicado de Synology",[70,74,75],{},"29 oct 2026: falla parchada en dic 2024, ataques contra DSM desactualizado",[55,77,78,81],{},[70,79,80],{},"Aviso de referencia",[70,82,83],{},"Synology-SA-24:20 (Pwn2Own 2024), publicado el 5 nov 2024",[55,85,86,89],{},[70,87,88],{},"CVE más grave",[70,90,91],{},"CVE-2024-10441, 9.8, ejecución remota de código en el demonio de plugins del sistema",[55,93,94,97],{},[70,95,96],{},"Otras CVE del aviso",[70,98,99],{},"CVE-2024-50629 (5.3, lectura limitada de archivos) y CVE-2024-10445 (4.3, escritura limitada)",[55,101,102,105],{},[70,103,104],{},"Huella del ataque",[70,106,107,108,111,112],{},"Archivos ",[109,110,34],"code",{},", nota ",[109,113,38],{},[55,115,116,119],{},[70,117,118],{},"Equipos expuestos",[70,120,121],{},"Más de 380,000 NAS Synology visibles en internet, según Shadowserver citado por BleepingComputer",[55,123,124,127],{},[70,125,126],{},"Catálogo KEV de CISA",[70,128,129],{},"Ninguna de las tres CVE aparece (feed consultado el 2 nov 2026)",[12,131,132,133,136],{},"Synology ",[16,134,135],{},"no dice cuál de las tres fallas"," se está explotando; solo enlaza al aviso SA-24:20. BleepingComputer señala además una discrepancia de fechas: el comunicado habla de diciembre de 2024, pero el aviso es de noviembre. La explicación probable está en el historial del propio aviso: la corrección para DSM 6.2 se agregó el 5 de diciembre de 2024.",[12,138,139,140,143,144,147],{},"Según los reportes que recoge el medio, las primeras víctimas aparecieron en foros y en Reddit ",[16,141,142],{},"más de dos semanas antes"," del comunicado, y los rescates pedidos rondan ",[16,145,146],{},"miles de dólares",". La nota promete un descifrador vendido en la red oscura y amenaza con que el software de recuperación de terceros dañará los archivos.",[44,149,151],{"id":150},"versiones-que-debes-tener-como-mínimo","Versiones que debes tener como mínimo",[12,153,154],{},"Estas son las versiones corregidas que lista el aviso Synology-SA-24:20:",[49,156,157,170],{},[52,158,159],{},[55,160,161,164,167],{},[58,162,163],{},"Rama de DSM",[58,165,166],{},"Severidad",[58,168,169],{},"Actualiza a (o posterior)",[65,171,172,183,193,203,213],{},[55,173,174,177,180],{},[70,175,176],{},"DSM 7.2.2",[70,178,179],{},"Crítica",[70,181,182],{},"7.2.2-72806-1",[55,184,185,188,190],{},[70,186,187],{},"DSM 7.2.1",[70,189,179],{},[70,191,192],{},"7.2.1-69057-6",[55,194,195,198,200],{},[70,196,197],{},"DSM 7.2",[70,199,179],{},[70,201,202],{},"7.2-64570-4",[55,204,205,208,210],{},[70,206,207],{},"DSM 7.1",[70,209,179],{},[70,211,212],{},"7.1.1-42962-7",[55,214,215,218,221],{},[70,216,217],{},"DSM 6.2",[70,219,220],{},"Moderada",[70,222,223],{},"6.2.4-25556-8",[12,225,226,227,230],{},"Las descripciones de las CVE también mencionan ",[16,228,229],{},"BeeStation (BSM)"," anterior a la versión 1.1-65374, el equipo de Synology pensado para casa y oficinas muy pequeñas.",[12,232,233,234,237],{},"Para revisar tu versión: entra a DSM, abre ",[16,235,236],{},"Panel de control > Actualizar y restaurar"," y compara el número con la tabla. Si tu NAS es tan viejo que ya no recibe DSM 7, estás en la rama 6.2 y necesitas al menos la 6.2.4-25556-8; si el modelo ni siquiera llega ahí, ese equipo no debe estar conectado a internet.",[239,240],"ad-banner",{},[44,242,244],{"id":243},"qué-hacer-hoy-en-orden","Qué hacer hoy, en orden",[246,247,248,255,261,267,285],"ol",{},[249,250,251,254],"li",{},[16,252,253],{},"Saca la administración de DSM de internet."," Es la primera recomendación que resume BleepingComputer: bloquear el acceso a la interfaz web de administración desde fuera. Revisa en tu router o firewall si hay reenvío de puertos hacia el NAS y quítalo. Si alguien necesita entrar desde casa, que sea por VPN.",[249,256,257,260],{},[16,258,259],{},"Actualiza DSM"," a la versión de la tabla o posterior. Antes, confirma que tienes una copia reciente de lo crítico fuera del NAS.",[249,262,263,266],{},[16,264,265],{},"Activa las actualizaciones automáticas."," Synology lo pide expresamente en su comunicado.",[249,268,269,272,273,276,277,280,281,284],{},[16,270,271],{},"Endurece el acceso."," En su alerta de ransomware de 2019, Synology recomendó activar el firewall de DSM y abrir solo los puertos indispensables, encender la ",[16,274,275],{},"verificación en dos pasos",", activar el ",[16,278,279],{},"bloqueo automático"," de IP con demasiados intentos fallidos y correr ",[16,282,283],{},"Security Advisor"," para encontrar contraseñas débiles. Siguen vigentes.",[249,286,287,290,291,294,295,298],{},[16,288,289],{},"Ten una copia que el NAS no pueda borrar."," La base de conocimiento de Synology recomienda respaldos regulares con versiones mediante ",[16,292,293],{},"Hyper Backup"," y ",[16,296,297],{},"Snapshot Replication",". Las instantáneas ayudan a recuperar rápido, pero si el atacante controla el equipo pueden caer con él: necesitas además una copia en otro equipo o en la nube, idealmente desconectada o inmutable.",[300,301,304],"callout",{"icon":302,"title":303},"i-lucide-triangle-alert","Si ya ves archivos .L0CK3D",[12,305,306],{},"Desconecta el NAS de la red (cable de red, no el de corriente) y no lo formatees ni restaures encima. Revisa qué copias tienes fuera del equipo y en qué fecha se hicieron. Pagar no garantiza recuperar nada, y el equipo debe considerarse comprometido hasta que se reinstale y se cambien todas las contraseñas que vivían en él o en la red.",[44,308,310],{"id":309},"por-qué-los-nas-son-blanco-fácil","Por qué los NAS son blanco fácil",[12,312,313],{},"C3RB3R no es nuevo. BleepingComputer lo detectó por primera vez en diciembre de 2021 atacando servidores de Confluence y GitLab sin parches; el nombre recuerda a Cerber, una familia de ransomware que dominó el mercado entre 2016 y 2019. Lo que cambia ahora es el objetivo: equipos que muchas empresas instalan una vez y olvidan.",[12,315,316,317,322,323,327],{},"Un NAS reúne tres condiciones que buscan los atacantes: guarda los archivos más valiosos de la empresa, suele estar expuesto a internet para \"entrar desde fuera\" y rara vez se actualiza. Ya lo vimos en octubre con ",[318,319,321],"a",{"href":320},"/blog/noticias/plex2shell-plex-media-server-explotado-nas","Plex2Shell, la falla de Plex explotada en NAS",", y con ",[318,324,326],{"href":325},"/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido","PHP2Shell, que alcanzó firewalls, conmutadores y NAS con PHP incluido",". Synology rara vez emite este tipo de alertas; la anterior fue en 2019, por el ransomware eCh0raix.",[12,329,330,331,334,335,339],{},"El otro problema es conceptual: ",[16,332,333],{},"un NAS no es un respaldo si es la única copia",". Si el ransomware cifra el NAS, cifra también las carpetas compartidas que el contador, ventas y almacén usaban todos los días. La regla 3-2-1 (tres copias, en dos medios, una fuera del sitio) que explicamos en ",[318,336,338],{"href":337},"/blog/tutorial/respaldo-sobrevivir-ransomware","cómo sobrevivir a un ransomware con respaldos"," existe justo para esto.",[44,341,343],{"id":342},"lo-que-viene","Lo que viene",[12,345,346,347,351,352,39],{},"Synology no ha publicado una cifra de equipos afectados ni ha dicho si hay más fallas involucradas, y las tres CVE del aviso no están en el catálogo de CISA, así que es posible que el aviso cambie en los próximos días. Mientras tanto, el panorama general no ayuda: el ",[318,348,350],{"href":349},"/blog/noticias/ransomware-record-tercer-trimestre-2026","tercer trimestre de 2026 cerró con récord de ataques de ransomware",", y las PyMEs siguen siendo el blanco más común, como resumimos en ",[318,353,355],{"href":354},"/blog/tendencias/ransomware-2026-pymes","ransomware 2026 para PyMEs",[12,357,358,359,363],{},"Si tu empresa no tiene por escrito quién respalda qué, cada cuánto y dónde queda la copia externa, usa nuestra ",[318,360,362],{"href":361},"/blog/recurso/template-politica-respaldos-empresa","plantilla de política de respaldos"," y aprovecha este aviso para llenarla.",[365,366],"call-to-action",{"description":367,"eyebrow":368,"icon":369,"label":370,"title":371,"to":372},"Verificamos la versión de DSM, cerramos la exposición a internet, activamos 2FA y dejamos una copia de respaldo fuera del NAS con prueba de restauración.","Ciberseguridad","i-lucide-shield-check","Agendar revisión","Revisa tu NAS antes de que lo haga el ransomware","/contacto",{"title":374,"searchDepth":375,"depth":376,"links":377},"",2,3,[378,379,380,381,382],{"id":46,"depth":375,"text":47},{"id":150,"depth":375,"text":151},{"id":243,"depth":375,"text":244},{"id":309,"depth":375,"text":310},{"id":342,"depth":375,"text":343},"noticias",{"title":385,"description":386,"label":387,"to":388,"icon":389},"¿Tu NAS es también tu único respaldo?","Revisamos versión, exposición a internet y respaldos de tu NAS, y te dejamos una copia fuera del equipo que el ransomware no pueda tocar.","Ver servicio de ciberseguridad","/servicios/ciberseguridad","i-lucide-hard-drive","2026-11-02","Synology pide actualizar DSM ya: el ransomware C3RB3R cifra NAS sin parches con extensión .L0CK3D. Versiones mínimas, cómo saber si estás expuesto y qué hacer.",false,"md",[395,398,401,404],{"question":396,"answer":397},"¿Qué versión de DSM necesito para estar protegido de esta campaña?","Según el aviso Synology-SA-24:20, las versiones corregidas son DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 y 6.2.4-25556-8, o cualquier posterior de su rama. Si tu NAS tiene una versión anterior a la de su rama, actualiza hoy.",{"question":399,"answer":400},"¿Cómo sé si mi NAS ya fue atacado?","Los archivos cifrados por C3RB3R terminan en la extensión .L0CK3D y en las carpetas aparece una nota de rescate llamada read-me3.txt. Si ves cualquiera de los dos, desconecta el equipo de la red y no lo reinicies ni borres nada antes de revisar qué copias de respaldo tienes.",{"question":402,"answer":403},"¿Basta con no usar QuickConnect o abrir puertos?","Ayuda mucho, pero no sustituye la actualización. BleepingComputer resume la recomendación como bloquear el acceso a la interfaz de administración de DSM desde internet, actualizar y activar las actualizaciones automáticas. Un NAS sin parches dentro de la red sigue siendo vulnerable si un atacante entra por otro equipo.",{"question":405,"answer":406},"¿Synology confirmó cuál es la vulnerabilidad explotada?","No por nombre. Su comunicado del 29 de octubre de 2026 habla de una falla parchada en diciembre de 2024 y remite al aviso Synology-SA-24:20, que agrupa tres CVE de Pwn2Own 2024; la más grave es CVE-2024-10441, con calificación 9.8 y ejecución remota de código.",null,"/images/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar.jpg","Servidor NAS de escritorio con cuatro discos en un rack de oficina, con un aviso de archivos cifrados en la pantalla de administración","informational",[412,413,414,415],"synology ransomware c3rb3r","actualizar dsm synology","ransomware nas synology l0ck3d","synology-sa-24:20 cve-2024-10441",{},true,"/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar","2026-11-02T15:30:00-06:00",5,{"title":5,"description":391},"Synology: ransomware C3RB3R ataca NAS con DSM viejo","blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar",[425,426,427,428],"ciberseguridad","ransomware","nas","respaldos","INJiH2Ro5TKm1sSo9Ft2plEwwHHaB7gF5DD3yfP9Txw",{"path":431,"title":432},"/blog/noticias/pagos-octubre-vencen-martes-17-noviembre-diot-quinto-bimestre","Pagos de octubre: vencen el martes 17 de noviembre, no el 18; la DIOT, hasta el 30",[434,440,446],{"path":435,"title":436,"description":437,"date":390,"category":383,"image":438,"imageAlt":439,"readingTime":420},"/blog/noticias/openai-voz-realtime-tts-transcripcion-apagado-enero-febrero-2027","Tu agente de voz con OpenAI tiene tres fechas de apagado en siete semanas: 6 de enero, 20 de enero y 26 de febrero de 2027","OpenAI retira tts-1 el 6 de enero, gpt-realtime el 20 de enero y whisper-1 el 26 de febrero de 2027: qué cambia en tu bot de voz y dónde no basta cambiar el nombre.","/images/blog/noticias/openai-voz-realtime-tts-transcripcion-apagado-enero-febrero-2027.jpg","Diadema de call center junto a una laptop que muestra una línea de tiempo con tres fechas de enero y febrero de 2027 marcadas en los modelos de voz",{"path":441,"title":442,"description":443,"date":390,"category":383,"image":444,"imageAlt":445,"readingTime":420},"/blog/noticias/nom-em-023-cemento-norma-emergencia-certificacion-ferreterias","Norma de emergencia para el cemento: Economía exigirá certificado por planta y nuevos datos en saco y remisión","El DOF del 2 de noviembre publicó la NOM-EM-023-SE-2026 para cementos. Qué pide a fabricantes, importadores y ferreterías, y cuándo será exigible.","/images/blog/noticias/nom-em-023-cemento-norma-emergencia-certificacion-ferreterias.jpg","Tarimas con sacos de cemento apilados en la bodega de una casa de materiales, junto a un montacargas y una mesa con remisiones",{"path":447,"title":448,"description":449,"date":390,"category":383,"image":450,"imageAlt":451,"readingTime":420},"/blog/noticias/ews-exchange-online-apagado-1-abril-2027-integraciones","Si tu CRM dejó de ver el correo en octubre, es EWS: Microsoft lo bloquea por defecto y el 1 de abril de 2027 lo apaga sin excepciones","Exchange Online bloquea EWS por defecto desde el 1 de octubre y lo retira el 1 de abril de 2027. Qué se rompe y cómo ganar tiempo con la lista de apps.","/images/blog/noticias/ews-exchange-online-apagado-1-abril-2027-integraciones.jpg","Pantalla del centro de administración de Microsoft 365 con un reporte de aplicaciones que usan Exchange Web Services y una fecha de abril de 2027 marcada",{"id":453,"avatar":407,"bio":454,"entityType":455,"expertise":456,"extension":457,"meta":458,"name":6,"role":459,"slug":460,"social":407,"stem":461,"url":7,"__hash__":462},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]