Ransomware C3RB3R : pourquoi mettre à jour son NAS Synology ne peut plus attendre

Un rançongiciel baptisé C3RB3R (aussi écrit Cerber) cible les NAS Synology qui tournent encore sous une version ancienne de DSM, le système d'exploitation maison de ces serveurs de stockage. Synology a publié un avis officiel le 29 octobre pour alerter ses clients et leur demander de mettre à jour DSM sans attendre.

Pour une TPE, ce boîtier stocke souvent la facturation, les devis, la comptabilité ou les sauvegardes des postes de travail. Si vous gérez un NAS Synology accessible depuis l'extérieur, la question à vous poser aujourd'hui est simple : quand DSM a-t-il reçu sa dernière mise à jour ?

Qu'est-ce qui s'est passé, concrètement ?

Selon Synology, des attaquants exploitent une faille déjà corrigée en 2024, sur des appareils qui n'ont jamais reçu le correctif. L'éditeur ne détaille pas la vulnérabilité dans son communiqué public et renvoie vers un avis de sécurité technique interne, référencé SA-24:20. Synology situe cet avis en décembre 2024 ; la presse spécialisée, elle, le date plutôt de novembre 2024.

Les premiers signalements de victimes remontent à plus de deux semaines avant la publication de l'avis de Synology, selon BleepingComputer. L'éditeur n'avait pas émis d'alerte de cette ampleur depuis l'épisode du rançongiciel eCh0raix, en août 2019, toujours selon la même source.

La documentation publique ne confirme pas que des NAS entièrement à jour aient été touchés. Mais deux pistes circulent sans se recouper : Synology évoque une faille corrigée en 2024, tandis qu'un chercheur de Qihoo 360, relayé par The Hacker News, pointe plutôt deux failles plus récentes — CVE-2026-13684 et CVE-2026-13639, notées 9,8 sur 10 sur l'échelle de gravité CVSS — corrigées en septembre dernier. Je retiens de cette divergence qu'il vaut mieux viser la toute dernière version disponible pour son modèle, plutôt qu'un simple plancher minimal.

Comment agit le rançongiciel une fois sur le NAS ?

Une fois actif, C3RB3R chiffre les fichiers et leur ajoute l'extension .L0CK3D. Il dépose dans chaque dossier touché une note de rançon nommée read-me3.txt, qui renvoie vers un outil de déchiffrement payant proposé sur un site caché. Selon des victimes citées par BleepingComputer, le prix se chiffrerait en milliers de dollars — un montant exact non confirmé.

Le logiciel malveillant évite volontairement certains répertoires système et certaines extensions de fichiers pour ne pas faire planter l'appareil pendant le chiffrement. L'objectif est de maximiser les dégâts sur les fichiers utiles, sans bloquer le NAS au point d'empêcher la victime de lire la demande de rançon.

Quelles versions de DSM sont concernées ?

Synology indique que les branches suivantes, dans leurs versions corrigées, ou toute version ultérieure, ferment la faille visée par son communiqué :

Ces branches sont des repères, pas des cibles figées : mieux vaut installer la toute dernière version proposée pour votre modèle. Pour les numéros de build exacts, consultez le résumé publié par The Hacker News ou vérifiez directement dans DSM, plutôt que de vous fier à un chiffre recopié ailleurs.

Pourquoi un NAS de TPE est-il une cible de choix ?

Plus de 380 000 NAS Synology seraient exposés directement sur Internet, selon un chiffre de Shadowserver relayé début novembre par BleepingComputer. On ignore combien d'entre eux sont réellement vulnérables ou déjà à jour, mais ce chiffre donne la mesure de la surface disponible pour ce type de campagne.

Dans beaucoup de petites structures, le NAS a été rendu accessible depuis l'extérieur via une redirection de port ouverte sur la box ou le routeur, pour consulter ses fichiers en déplacement. C'est exactement ce type d'ouverture que les attaquants recherchent en scannant Internet à la recherche d'appareils vulnérables.

Un NAS vieux de plusieurs années qui ne reçoit plus de mises à jour devient, de fait, un point faible permanent. Sans sauvegarde indépendante du NAS — un disque externe débranché après copie, par exemple — les conséquences d'un chiffrement dépassent la simple gêne technique : facturation bloquée, historiques clients perdus.

Comment mettre à jour et protéger son NAS dès maintenant ?

La priorité est de vérifier la version installée et de la mettre à jour sans attendre. Voici dans quel ordre procéder :

1. Se connecter à l'interface DSM depuis le réseau local, pas depuis Internet.
2. Ouvrir le Panneau de configuration puis la section dédiée aux mises à jour pour relever le numéro de version DSM installé.
3. Comparer ce numéro à la branche correspondante ci-dessus, en visant la toute dernière version proposée pour le modèle.
4. Faire une sauvegarde avant toute mise à jour, si possible.
5. Installer la mise à jour, puis activer les mises à jour automatiques.
6. Dans le Centre de paquets, mettre à jour PHP et les paquets associés — une recommandation complémentaire de HKCERT.
7. Si aucune version récente n'est proposée pour l'appareil, c'est probablement qu'il est en fin de vie : sortez-le d'Internet et envisagez son remplacement.

Vérifiez aussi les redirections de port ouvertes sur la box ou le routeur, et supprimez celles qui exposent l'administration du NAS. Pour l'accès à distance, un VPN est une piste plus prudente qu'une ouverture directe, même si son efficacité n'est pas confirmée par une source officielle sur ce point précis.

Pour une entreprise qui suit plusieurs appareils, ce type de vérification régulière relève plus largement des pratiques qu'une infogérance couvre en général, au-delà du seul cas Synology.

Et si le NAS est déjà chiffré ?

HKCERT, l'organisme public de cybersécurité de Hong Kong, qui a aussi publié un bulletin sur cette campagne, recommande une démarche précise si un NAS semble déjà touché :

1. Débrancher immédiatement le NAS du réseau, et suspendre toute synchronisation ou sauvegarde en cours.
2. Conserver la note de rançon et des échantillons de fichiers chiffrés sans les supprimer : ils serviront à l'analyse.
3. Ne pas réinitialiser ni reformater l'appareil sans nécessité.
4. Faire appel à un professionnel pour l'analyse et, si besoin, un service de récupération de données.
5. Ne restaurer les sauvegardes que sur un appareil assaini, mis à jour, avec des mots de passe changés.

Je déconseille de payer la rançon : rien ne garantit que l'outil de déchiffrement fonctionnera, et la note elle-même prévient qu'une tentative de restauration par un tiers risque de détruire les fichiers — une menace qui vise surtout à dissuader les victimes de chercher une alternative.

Que votre NAS tourne encore sans incident ou qu'il affiche déjà une note de rançon, la question reste la même : quand a-t-il reçu sa dernière mise à jour ? Si la réponse vous échappe, mieux vaut vérifier aujourd'hui que le lendemain d'un chiffrement. En cas de doute sur votre installation, un échange avec un informaticien à Agen permet d'y voir plus clair, sur place ou à distance, dans un rayon de 20 km autour de la ville.

Questions fréquentes

Sources

• Synology — communiqué sur les attaques C3RB3R
• HKCERT — bulletin de sécurité sur les attaques ciblant les NAS Synology
• BleepingComputer — Synology warns customers of ongoing C3RB3R ransomware attacks
• The Hacker News — Synology NAS devices targeted in ransomware campaign