Un rançongiciel cible les NAS Synology

Une vague d'attaques par rançongiciel vise les dispositifs de stockage en réseau (NAS) de Synology, chiffrant les fichiers des utilisateurs et exigeant plusieurs milliers de dollars pour leur déchiffrement. Depuis la mi-octobre, des utilisateurs signalent que leurs fichiers (photos, documents et sauvegardes) ont été verrouillés et accompagnés d'une note de rançon.

Synology confirme les attaques

Le 29 octobre, Synology a reconnu les attaques et a exhorté les utilisateurs à mettre à jour leur système d'exploitation immédiatement. Le rançongiciel identifié est C3RB3R, également connu sous le nom de CerberImposter, qui a déjà été associé à des attaques contre des serveurs et qui exploite des vulnérabilités connues.

Les pirates exigent un paiement pour le déchiffrement

Les pirates ont chiffré les fichiers avec l'extension .L0CK3D et laissé un document intitulé read-me3.txt expliquant le chiffrement. Ils réclament un paiement pour un outil de déchiffrement appelé C3rb3r Decryptor, disponible sur le dark web, et proposent même de restaurer un fichier gratuitement pour inciter au paiement.

Des vulnérabilités exploitées lors des attaques

Synology a mentionné une faille corrigée en décembre 2024, sans la nommer. Cependant, des chercheurs en cybersécurité de 360 ont relié les attaques à deux autres failles critiques, CVE-2026-13639 et CVE-2026-13684, corrigées en septembre 2026. Ces failles permettaient un accès non autorisé et l'exécution de code sur les appareils.

De nombreux dispositifs Synology restent exposés

Au 1er novembre, la Shadowserver Foundation a signalé plus de 380 000 dispositifs Synology accessibles depuis Internet, dont près de 200 000 en Europe. Cette exposition accroît le risque d'attaques, en particulier pour les appareils dont les logiciels ne sont pas à jour.

Synology conseille aux utilisateurs de mettre à jour et de sécuriser leurs appareils

Synology recommande aux utilisateurs d'installer la dernière version de DiskStation Manager (DSM) compatible avec leur appareil et d'activer les mises à jour automatiques. L'entreprise conseille également de vérifier si l'interface DSM est accessible depuis Internet et d'utiliser des méthodes sécurisées, comme un VPN ou le service du fabricant, pour l'accès à distance.

Mesures de sécurité supplémentaires pour les utilisateurs

Les utilisateurs sont invités à désactiver le compte administrateur par défaut, à activer l'authentification à deux facteurs et à conserver une sauvegarde indépendante hors ligne. Ces mesures peuvent aider à prévenir les accès non autorisés et offrir une solution de récupération si les fichiers sont chiffrés malgré les précautions.

Les mises à jour ne déchiffrent pas les fichiers déjà verrouillés

Même si les utilisateurs mettent à jour leurs appareils après une infection, les mises à jour ne feront que corriger la vulnérabilité. Elles ne déchiffreront pas les fichiers déjà chiffrés par le rançongiciel, ce qui souligne l'importance de sauvegardes régulières.