Des NAS Synology sont la cible d'une vague d'attaques par ransomware, qui chiffre les fichiers de leurs propriétaires et réclame plusieurs milliers de dollars pour leur restitution.
Depuis la mi-octobre, les témoignages d'internautes désemparés affluent sur les Reddit et autre forums d'entraide. Photos, documents personnels, sauvegardes professionnelles… Les fichiers qu'ils avaient confiés à leur NAS sont désormais illisibles, flanqués d’une note de rançon. Dans un communiqué publié le 29 octobre, Synology a confirmé les attaques et exhorté ses clients à mettre à jour leur système d'exploitation sans attendre.
C3RB3R, un ransomware qui n'en est pas à son coup d'essai
Sur les appareils compromis, les fichiers portent désormais l'extension .L0CK3D et s'accompagnent d'un document intitulé read-me3.txt. Les pirates y expliquent avoir chiffré les données et exigent l'achat de C3rb3r Decryptor, un logiciel de déchiffrement proposé sur un portail du dark web contre plusieurs milliers de dollars. Pour convaincre leurs victimes de payer, ils offrent même de restaurer gratuitement un fichier de leur choix.
Cet outil emprunte son nom à C3RB3R, également appelé CerberImposter. Déjà repéré sur des serveurs Atlassian Confluence et GitLab, il a été déployé par le passé dans des opérations exploitant des vulnérabilités connues. Cette fois, les cybercriminels ciblent des NAS Synology exécutant d'anciennes versions de DiskStation Manager (DSM), le système qui assure leur fonctionnement.
Les analyses divergent toutefois sur la façon dont les pirates parviennent à compromettre ces appareils. Synology évoque une vulnérabilité corrigée en décembre 2024, sans la nommer, et renvoie à un bulletin qui en recense trois. La plus grave, CVE-2024-10441 (CVSS 9,8/10), permet d'exécuter du code à distance sans authentification. Les équipes de 360, qui ont examiné des NAS infectés par C3RB3R, attribuent quant à elles les intrusions à deux autres failles critiques, CVE-2026-13639 et CVE-2026-13684, corrigées en septembre dernier.
On ne sait pas encore combien de NAS ont été infectés. Toujours est-il qu’au 1er novembre, Shadowserver recensait plus de 380 000 appareils Synology accessibles depuis Internet, dont près de 200 000 en Europe.
Mettre DSM à jour et sécuriser les accès distants
Face à ces attaques, Synology appelle les propriétaires de NAS à installer sans délai la dernière version de DSM compatible avec leur appareil et à activer les mises à jour automatiques. Une précaution qui concerne aussi les machines ayant reçu les correctifs de 2024, puisque les deux failles pointées par 360 n'ont été corrigées que récemment. Pour vérifier les mises à jour disponibles, il suffit de se rendre dans le Panneau de configuration de DSM, puis dans la rubrique « Mettre à jour et restaurer ».
Les utilisateurs et utilisatrices sont également invités à vérifier les accès ouverts sur Internet, à commencer par l'interface d'administration de DSM, qui ne devrait pas être directement accessible depuis l'extérieur. Cela suppose de contrôler les éventuelles redirections de ports configurées sur le routeur. Pour accéder à son NAS à distance, un VPN ou le service d'accès sécurisé du fabricant constitue une meilleure option. La désactivation du compte administrateur par défaut et l'activation de la double authentification peuvent compléter ces précautions.
Une sauvegarde indépendante, conservée hors ligne ou protégée contre les modifications, offre enfin une possibilité de récupération si les pirates parviennent malgré tout à chiffrer les données du NAS. Car une mise à jour installée après l'infection pourra corriger la vulnérabilité exploitée, mais ne permettra pas de déchiffrer les fichiers déjà pris en otage.
