Le rançongiciel C3RB3R chiffre les fichiers des NAS Synology non mis à jour

Des pirates s’en prennent aux NAS Synology restés sur d’anciennes versions de DSM, le système de ces boîtiers. Un NAS est un serveur de stockage branché sur le réseau local, qui centralise documents et photos. Dans un communiqué publié le 29 octobre 2026, Synology a confirmé ces attaques, qui visent à chiffrer les données puis à réclamer une rançon. TPE, associations et familles qui y confient leurs archives sont directement concernées.

Le logiciel malveillant s’appelle C3RB3R. Il ajoute l’extension .L0CK3D aux fichiers chiffrés et dépose à côté une note de rançon, read-me3.txt. Les pirates y exigent l’achat d’un outil de déchiffrement, proposé contre plusieurs milliers de dollars sur un portail du dark web. Ce nom reprend celui de Cerber, un rançongiciel loué à des affiliés et apparu en 2016. Depuis la mi-octobre 2026, les témoignages de victimes affluent sur Reddit et des forums d’entraide. Le nombre de NAS infectés reste inconnu.

L’exposition est massive. Au 1er novembre 2026, la fondation Shadowserver, qui recense les équipements accessibles en ligne, comptait plus de 380 000 NAS Synology joignables depuis Internet, dont près de 200 000 en Europe. Ce relevé ne dit pas combien ont déjà été sécurisés ou servent de leurres pour piéger les attaquants, précise BleepingComputer. Synology publie rarement ce type d’alerte : la précédente remonte à août 2019, après des attaques massives par force brute, c’est-à-dire des essais de mots de passe en série.

Synology exhorte vivement tous les utilisateurs de versions vulnérables à mettre à jour DSM immédiatement pour protéger leurs systèmes.

Des failles déjà corrigées

Synology ne nomme pas la faille exploitée. L’éditeur indique seulement qu’elle a été corrigée en décembre 2024 et renvoie au bulletin de sécurité Synology-SA-24:20. Celui-ci décrit notamment la faille CVE-2024-10441, qui permet à un attaquant distant d’exécuter du code arbitraire, c’est-à-dire n’importe quel programme, sur l’appareil. Le 29 octobre 2026, IT-Connect signalait qu’un code de démonstration de cette faille venait d’être publié sur GitHub.

Les équipes de la société 360, qui ont examiné des NAS infectés, avancent une autre explication. Elles attribuent les intrusions à deux failles plus récentes, CVE-2026-13639 et CVE-2026-13684. Notées 9,8 sur 10 sur l’échelle de gravité CVSS, elles permettent à un attaquant distant de lire ou d’écrire des fichiers à sa guise. Synology les a corrigées le 18 septembre 2026 dans son bulletin Synology-SA-26:13, qui regroupe plusieurs vulnérabilités de DSM. Si cette piste se confirme, un NAS resté sans mise à jour depuis cette date demeure exposé.

Le centre d’alerte de Hong Kong, HKCERT, relaie l’avertissement en évoquant des versions de DSM en fin de vie, c’est-à-dire abandonnées. Synology a par ailleurs publié des correctifs contre les failles PHP2Shell, qui touchent certains paquets dépendant de PHP. Les paquets sont les applications que l’on ajoute au NAS. L’éditeur n’a pas confirmé le rôle de ces failles dans les attaques. Pour les systèmes antérieurs à DSM 6.2, HKCERT conseille de désactiver temporairement les paquets touchés.

Mettre à jour DSM et fermer l’accès

Synology demande d’installer sans attendre la version corrigée de DSM et d’activer les mises à jour automatiques. Couper l’accès à l’interface d’administration depuis Internet reste, à notre avis, la parade la plus urgente. HKCERT et BleepingComputer donnent le même conseil. Pour travailler à distance, un VPN, c’est-à-dire un tunnel chiffré vers le réseau local, évite d’exposer cette page. IT-Connect préconise en outre de désactiver le compte admin par défaut, d’activer la double authentification et le blocage automatique des adresses IP. Le site invite enfin à supprimer les paquets inutilisés.

La sauvegarde hors ligne, dernier recours

Une mise à jour faite après l’infection ne déchiffre pas les fichiers déjà touchés. Seule une sauvegarde indépendante, conservée hors ligne ou protégée contre les modifications, offre alors une chance de récupérer ses données. Même avec un stockage en RAID, qui répartit l’information sur plusieurs disques, un NAS ne remplace pas une copie de secours, souligne IT-Connect. Le site conseille d’activer sur les dossiers partagés des instantanés protégés contre la modification, c’est-à-dire des images de l’état des fichiers à un moment donné. HKCERT recommande de garder des copies hors ligne ou immuables et de tester régulièrement leur restauration.

Nous retenons trois gestes pour les particuliers et les petites structures équipés d’un NAS Synology. D’abord, vérifier sans attendre la version de DSM installée et appliquer les correctifs. Ensuite, contrôler sur la box qu’aucune redirection de port, ce réglage qui ouvre un accès depuis Internet, ne mène au NAS. Enfin, garder une copie de ses fichiers sur un disque que l’on débranche après chaque sauvegarde, et tester régulièrement une restauration. Un outil libre comme BorgBackup, que nous avons présenté avec son interface Borg UI, peut s’en charger. Un NAS privé de mises à jour ne devrait plus être joignable depuis Internet.