Se você possui um dispositivo NAS da Synology, será melhor atualizar seu dispositivo o mais rápido possível. Como foi relatado pela primeira vez pela Wired, um grupo de pesquisadores de segurança holandeses identificou recentemente uma vulnerabilidade zero-click no aplicativo Fotos da Synology. Para quem não sabe, esses bugs permitem que hackers comprometam um sistema sem que o usuário precise clicar em algo primeiro. Para piorar a situação, o aplicativo vem pré-instalado e ativado por padrão na linha de dispositivos de armazenamento em rede Bee da Synology. Também é um download popular entre aqueles que usam os sistemas DiskStation da empresa.
A Midnight Blue, a empresa de cibersegurança que descobriu a vulnerabilidade, estima que milhões de usuários da Synology podem estar em risco. Embora a empresa tenha lançado um patch de segurança para corrigir o bug, seus dispositivos NAS não baixam atualizações automaticamente. “Não é trivial encontrar [a vulnerabilidade] por conta própria, de forma independente”, disse Carlo Meijer, um dos pesquisadores, à Wired. “Mas é bastante fácil descobrir e conectar os pontos quando o patch é realmente liberado e você faz a engenharia reversa do patch.”
De acordo com a Midnight Blue, o zero-click é encontrado em uma parte do aplicativo Fotos da Synology que não requer autenticação. Como resultado, os atacantes podem explorar o bug diretamente pela internet e sem precisar contornar um gateway primeiro. Eles podem então obter acesso root e instalar código malicioso no dispositivo comprometido. Nesse ponto, não há muito que um indivíduo malicioso não possa fazer, com a empresa observando que seria até possível transformar o dispositivo infectado em um botnet. A possibilidade de um grupo de ransomware poder atacar dispositivos Synology não é apenas teórica. No início deste ano, usuários do DiskStation relataram que foram alvos de um ataque de ransomware.