IT / Télécom
Rançongiciel C3RB3R : les NAS Synology pas à jour sont visés, sauvegardes comprises
Depuis début octobre, des NAS Synology se retrouvent avec tous leurs fichiers renommés en .L0CK3D et une note de rançon read-me3.txt dans chaque dossier. Le 29 octobre, l’éditeur de sécurité chinois 360 a publié son analyse, et Synology a alerté ses clients le même jour. La porte d’entrée : deux failles critiques de DSM corrigées… le 18 septembre. Autrement dit, ce sont les NAS qui n’ont pas été mis à jour qui tombent.
Les faits
- Le rançongiciel : C3RB3R, une variante de la vieille famille Cerber. Selon 360, il chiffre les fichiers en ChaCha8, protège les clés en RSA-2048 et évite 27 répertoires système pour ne pas faire planter la machine.
- Les failles exploitées : CVE-2026-13639 (entropie insuffisante dans la logique de connexion) et CVE-2026-13684 (défaut d’encodage dans SCGI), toutes deux notées 9,8 par Synology. Elles permettent, à distance et sans authentification, de lire et d’écrire des fichiers arbitraires.
- Le correctif : avis Synology-SA-26:13 du 18 septembre 2026. Versions minimales : DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12. Aucun contournement n’est proposé : c’est la mise à jour ou rien.
Prudence tout de même : un intervenant cité par la presse rapporte un cas sur un DSM 7.4.1 récent. D’autres portes d’entrée (paquet tiers, conteneur, identifiants volés) ne sont donc pas exclues. Par ailleurs, Synology a dû corriger plusieurs de ses paquets touchés par les failles PHP dites « PHP2Shell » (avis SA-26:14).
Pourquoi ça nous concerne aussi côté sûreté
Le NAS Synology, on le trouve partout : serveur de fichiers de la PME, cible de sauvegarde, et très souvent enregistreur vidéo avec Surveillance Station sur les petites installations. Combien de ces boîtiers ont une redirection de port ouverte sur la box « pour que le client voie ses caméras depuis son téléphone » ? C’est exactement le scénario que ces campagnes exploitent.
Le point qui me fait le plus grincer des dents : C3RB3R chiffre aussi les sauvegardes stockées sur le même NAS. Un NAS en RAID protège contre la panne d’un disque, pas contre un rançongiciel. Si la seule copie des données ou des enregistrements vidéo est sur la machine attaquée, il n’y a plus de copie.
La liste de contrôle que je recommande
- Mettre à jour DSM vers une version corrigée, puis activer les mises à jour automatiques de sécurité.
- Fermer les redirections de ports vers DSM et désactiver l’UPnP sur la box ou le routeur. L’accès distant passe par un VPN, ou à défaut par le service relais du constructeur.
- Durcir les comptes : désactiver le compte admin par défaut, imposer la double authentification, activer le blocage automatique des adresses IP.
- Activer les instantanés des dossiers partagés avec protection contre la modification, et vérifier qu’ils se créent réellement.
- Garder une copie hors ligne, déconnectée du NAS et du réseau entre deux sauvegardes.
- Faire le ménage dans les paquets, conteneurs et liens de partage inutilisés, et mettre à jour ceux qui restent.
- Surveiller le Centre des journaux : connexions inhabituelles, pics de modifications, apparition de fichiers
.L0CK3D.
En cas d’infection, Synology et 360 donnent les mêmes réflexes : débrancher le NAS du réseau, conserver la note et les journaux, ne pas réinstaller à la hâte, et ne pas payer.
Mon avis
Je ne vais pas tirer sur Synology : le correctif est sorti six semaines avant l’analyse, l’avis est détaillé et l’alerte client a suivi. Le problème est ailleurs, dans ces NAS installés une fois puis oubliés, que personne n’administre vraiment. Sur un réseau d’entreprise, un NAS se traite comme un serveur : il a un responsable, une fenêtre de mise à jour, et il n’est jamais exposé directement sur Internet. Si vous en installez pour la vidéo, prévoyez-le dans le contrat de maintenance, et expliquez au client pourquoi un VPN vaut mieux qu’un port ouvert. Il vous remerciera le jour où son voisin de zone d’activité se fera chiffrer 🙂
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.