HKEPC에 따르면 다수의 Synology NAS가 랜섬웨어 공격을 받아 파일이 암호화되는 피해가 발생한 것으로 알려졌다. 공격에 사용된 랜섬웨어는 파일 확장자를 **.L0CK3D 또는 .L0CK3D.**로 변경하며, read-me3.txt라는 이름의 랜섬노트를 생성하는 것으로 전해졌다. 랜섬노트에는 **‘C3RB3R INSTRUCTIONS’**라는 문구가 포함된 것으로 알려졌다.
보도에 따르면 피해를 입은 사용자들은 File Station에서 공유 폴더, 기업 개발 문서, 데이터베이스 이미지, 일반 백업 파일 등 다양한 파일이 암호화된 것을 확인했다. Synology는 해당 L0CK3D 랜섬웨어 공격을 확인한 것으로 전해졌으며, 모든 사용자에게 DSM을 즉시 최신 버전으로 업데이트할 것을 강력히 권고했다.
이번 공격은 감염된 Windows PC가 SMB 공유를 통해 NAS로 랜섬웨어를 확산시키는 방식이 주된 경로는 아닌 것으로 보인다. 보안 대응 관계자들은 공격이 인터넷에 직접 노출된 Synology NAS를 대상으로 이뤄졌다는 사실을 확인한 것으로 전해졌다.
공격자는 CVSS 점수 10.0에 해당하는 원격 코드 실행(RCE) 취약점 2개를 악용해 자동화된 공격을 수행한 것으로 알려졌다.
이 가운데 한 가지 공격 경로로는 NAS에서 실행되는 Docker 컨테이너가 지목됐다. 일부 조직에서는 Container Manager를 이용해 GitLab, Confluence 등 웹 서비스를 운영하면서 관련 포트를 외부 네트워크에 개방하고 있다.
HKEPC는 최근 확인된 GitLab의 무단 RCE 취약점인 CVE-2026-110264와 CVE-2026-97229를 사례로 들었다. 공격자는 높은 권한을 가진 컨테이너 마운트 설정이나 호스트 탈출(host escape) 취약점을 악용해 Linux의 crond 예약 작업에 악성 스크립트를 기록할 수 있는 것으로 전해졌다.
이렇게 등록된 악성 코드는 즉시 실행되지 않고 예약된 작업이 실행되는 시점까지 잠복할 수 있어, 공격자가 NAS에 장기간 접근할 수 있는 환경을 만들 가능성이 있다.
두 번째 공격 경로로는 Synology의 기본 패키지 취약점이 지목됐다. HKEPC는 Synology가 보안 권고문 Synology-SA-26:14를 통해 PHP 코어 원격 코드 실행(RCE) 취약점 CVE-2026-109618 및 CVE-2026-109619를 확인했으며, 이른바 ‘PHP2Shell’ 취약점이 MailStation, Synology Calendar 등 일부 기본 패키지에 영향을 미친다고 전했다.
보도에 따르면 공격자는 별도의 계정이나 비밀번호 없이도 외부에 노출된 포트를 통해 DSM 계층에 접근해 랜섬웨어 암호화 페이로드를 심을 수 있는 것으로 알려졌다.
해당 랜섬웨어는 Linux 루트 디렉터리에서 실행을 시작한 뒤 /volume1, /volume2를 포함해 시스템에 마운트된 모든 저장 공간을 검색하는 것으로 전해졌다. 같은 NAS에 저장된 로컬 백업도 예외가 아니다. 특히 다중 버전 잠금이나 외부 분리 기능이 적용되지 않은 Hyper Backup 디렉터리 역시 일반 파일과 동일하게 취급돼 암호화될 수 있는 것으로 알려졌다.
암호화에는 RSA-4096과 AES 또는 ChaCha20을 조합한 방식이 사용되는 것으로 전해졌으며, 현재 일반 사용자가 무료로 사용할 수 있는 범용 복호화 도구는 제공되지 않는다고 HKEPC는 설명했다.
HKEPC는 아직 NAS가 감염되지 않은 사용자에게 즉시 네트워크 케이블을 분리하거나 공유기에서 외부 및 내부 SMB 접근을 차단할 것을 권고했다. 관리 인터페이스에 계속 접근할 수 있는 경우에는 Container Manager에서 실행 중인 모든 컨테이너를 중지하고, Hyper Backup과 Cloud Sync를 일시 중지하는 것이 좋다고 설명했다. 또한 감염 여부를 확인하는 과정에서 파일 삭제, 저장 공간 재구성, 불필요한 파일 정리 등은 피해야 한다고 덧붙였다.
이미 감염된 시스템의 경우에는 랜섬노트, SSH 로그, 컨테이너 로그를 보존해야 하며, 포렌식 분석이 이뤄지기 전에 시스템을 재설치하거나 드라이브를 초기화해서는 안 된다고 권고했다. 해당 자료는 암호화 과정과 공격에 악용된 취약점을 추적하고, Synology에 피해 사실을 신고하는 데 중요한 자료가 될 수 있기 때문이다.
SECURITY ADVISORY
L0CK3D 랜섬웨어 보안 위협 정보 안내표
항목 (Item)[cite: 15] 세부 내용 (Detail)[cite: 15]
랜섬웨어 이름 (Ransomware name)[cite: 15] L0CK3D / C3RB3R[cite: 15]
파일 확장자 (File extension)[cite: 15] .L0CK3D 또는 .L0CK3D.[cite: 15]
랜섬 노트 (Ransom note)[cite: 15] read-me3.txt[cite: 15]
보고된 감염 경로 (Reported vectors)[cite: 15] 도커 컨테이너 RCE, 시놀로지 기본 패키지 PHP2Shell[cite: 15]
관련 취약점 (Reported CVEs)[cite: 15] CVE-2026-110264, CVE-2026-97229, CVE-2026-109618, CVE-2026-109619[cite: 15]
보안 권고 (Advisory)[cite: 15] Synology-SA-26:14[cite: 15]
암호화 방식 (Encryption)[cite: 15] 보고서에 따르면 AES 또는 ChaCha20을 사용하는 RSA-4096[cite: 15]
출처: Guru3D
※ 해당 기사는 퀘이사존 공식 기사가 아닌 해외 뉴스/기사를 번역한 기사입니다.
퀘이사존 견해와 주관은 포함되어 있지 않습니다.
