Les NAS Synology visés par des ransomwares exploitant d'anciennes failles. Les experts alertent sur des fichiers chiffrés et appellent à des contrôles de sécurité immédiats.
Des attaques par rançongiciel ciblent les NAS Synology
Depuis début octobre, 360 Anti-Ransomware Service, une entreprise chinoise de cybersécurité, aide les utilisateurs de NAS Synology infectés par un rançongiciel. Ces attaques ont chiffré les données des utilisateurs, les criminels exigeant un paiement en échange de la clé de déchiffrement.Identification du rançongiciel C3RB3R
Dans un rapport publié le 29 octobre, 360 a identifié le rançongiciel comme étant C3RB3R, une variante de la famille Cerber. Ce type de logiciel malveillant cible les NAS depuis plusieurs années. Les fichiers chiffrés reçoivent l'extension .L0CK3D, et une note de rançon intitulée read-me3.txt apparaît dans les dossiers touchés.Synology confirme une vulnérabilité connue
Synology, le fabricant taïwanais des NAS, a indiqué que des pirates exploitent une vulnérabilité corrigée en décembre 2024. L'entreprise précise que les attaques visent des appareils qui fonctionnent encore avec une version plus ancienne de DSM, le système d'exploitation utilisé sur ses NAS.De nouvelles vulnérabilités pourraient également être en cause
Le rapport de 360 suggère que les attaques pourraient aussi impliquer deux vulnérabilités critiques divulguées et corrigées par Synology le 18 septembre 2026. Ces failles permettent d'accéder sans autorisation aux fichiers du NAS, sans avoir besoin d'identifiants de connexion.Incertitude sur l'origine des attaques
Solar, une équipe chinoise de cybersécurité, a partagé une capture d'écran d'un appareil Synology chiffré fonctionnant avec DSM 7.4.1-90080 Update 1, la version la plus récente à ce moment-là. Toutefois, Solar n'a pas confirmé l'existence d'une faille zero-day ni déterminé si un paquet tiers ou des identifiants volés ont été impliqués.Les victimes cherchent de l'aide en ligne
Les victimes de ces attaques se tournent vers des forums en ligne comme r/synology sur Reddit pour obtenir des conseils. Certaines demandent quelles mesures prendre avant de restaurer leurs données, tandis que d'autres tentent de comprendre ce qui arrive à leurs appareils.Comment vérifier votre NAS Synology
Les utilisateurs doivent vérifier trois points : si leurs fichiers sont toujours accessibles, si des extensions de fichiers inconnues sont apparues, et si l'interface d'administration est accessible depuis Internet. Ils doivent rechercher les fichiers portant les extensions .L0CK3D ou .LOCK3D ainsi que la note read-me3.txt dans les dossiers partagés.Mesures de sécurité à prendre
Les utilisateurs doivent mettre à jour leur système d'exploitation DSM vers la dernière version disponible via le Panneau de configuration, en veillant à ne pas rester sur une branche obsolète. Ils doivent désactiver les ports d'accès à distance et l'UPnP sur leur routeur, limiter QuickConnect et activer l'authentification à deux facteurs. En cas d'infection, ils doivent déconnecter l'appareil du réseau, éviter de payer la rançon et contacter le support Synology en fournissant leur version de DSM et leurs journaux.Aucun outil de déchiffrement gratuit pour l'instant
Au 30 octobre, aucun outil de déchiffrement gratuit n'a été publié pour C3RB3R. Le site No More Ransom, soutenu par Europol et la police néerlandaise, propose une ressource permettant de vérifier si un outil de déchiffrement existe pour un rançongiciel donné. Les utilisateurs peuvent y téléverser un fichier chiffré et la note de rançon afin de rechercher d'éventuelles solutions.
