Attaques par rançongiciel contre les NAS Synology : C3RB3R, vulnérabilités de DSM et faits confirmés

Les signalements de rançongiciels visant des NAS Synology à la fin du mois d’octobre révèlent un problème de mise à jour et de récupération, mais les éléments publics ne permettent pas d’établir un point d’entrée unique pour tous les appareils touchés. Dans sa déclaration du 29 octobre, Synology fait référence à une vulnérabilité corrigée en décembre 2024. La société de sécurité 360 attribue les incidents qu’elle a examinés à deux vulnérabilités divulguées en septembre 2026. Ces déclarations doivent être examinées séparément, et non réunies en une chaîne d’attaque confirmée.

Les questions pratiques sont les suivantes : à quels services un attaquant pouvait-il accéder, quel accès a-t-il obtenu et quelles données cet accès lui permettait-il de modifier ? Cette analyse, vérifiée le 31 octobre 2026, distingue les déclarations du fabricant, les capacités des vulnérabilités publiées et les observations des chercheurs. Le guide associé explique pourquoi les configurations RAID, les instantanés et les sauvegardes ne garantissent pas à eux seuls la récupération.

Photo d’en-tête : DYVER / Wikimedia Commons, CC BY-SA 4.0. Recadrée et redimensionnée ; le recadrage photographique conserve cette licence. Photo de matériel NAS à titre illustratif, ne représentant ni un appareil touché confirmé ni une scène d’incident.

Que s’est-il passé lors des attaques par rançongiciel de 2026 contre les NAS Synology ?

L’avis de Synology du 29 octobre confirme que des installations DSM obsolètes ont été attaquées dans le but de chiffrer les données et d’exiger une rançon. Il fait référence à SA-24:20, un avis couvrant plusieurs vulnérabilités. L’avis lui-même ne précise pas quelle CVE a été exploitée dans ces attaques.

Par ailleurs, l’enquête de 360 publiée le 29 octobre identifie C3RB3R, une variante de Cerber, dans des incidents examinés et attribue l’accès initial aux CVE-2026-13639 et CVE-2026-13684. Il s’agit de l’attribution d’incidents par un chercheur, et non d’une déclaration de Synology confirmant que ces vulnérabilités ont constitué le point d’entrée dans tous les cas.

L’urgence opérationnelle ne dépend pas de la résolution préalable de toutes les questions d’attribution. Un administrateur peut immédiatement réduire l’exposition inutile et déterminer quels correctifs s’appliquent. Expliquer précisément comment un NAS particulier a été compromis nécessite des éléments de preuve propres à ce cas.

Qu’est-ce que le rançongiciel C3RB3R et quels sont ses effets sur les fichiers ?

Le comportement de l’échantillon décrit par 360 inclut des fichiers chiffrés renommés avec l’extension .L0CK3D, où le caractère zéro est le chiffre 0, et une note nommée read-me3.txt. L’analyse distingue le chiffrement intégral de certains types de fichiers du chiffrement sélectif d’autres fichiers. Il s’agit de caractéristiques rapportées pour l’échantillon, et non d’une garantie que chaque incident laisse des traces identiques.

Renommer un fichier touché pour lui rendre son extension d’origine n’annule pas les modifications apportées à son contenu. Un nom de fichier est une étiquette ; une application a aussi besoin que les octets sous-jacents conservent la structure attendue. Une photo peut encore apparaître dans la liste d’un répertoire sans pour autant contenir une image exploitable. De même, le chiffrement partiel peut rendre un fichier volumineux inutilisable sans modifier chaque octet.

Les indicateurs facilitent les enquêtes, mais ont leurs limites. L’absence de demande de rançon ne prouve pas qu’un NAS est sain, et une extension familière ne permet pas à elle seule d’identifier la vulnérabilité d’entrée. Conservez des artefacts représentatifs et les journaux pertinents sans considérer un nom de fichier comme un diagnostic complet.

Quelles vulnérabilités DSM sont concernées ?

La distinction entre les avis est importante sur le plan technique. SA-24:20 a été publié initialement en novembre 2024 et consigne les révisions ultérieures. Il inclut CVE-2024-10441, une vulnérabilité critique du démon system-plugin-daemon décrite comme permettant l’exécution de code à distance sans authentification. La référence ultérieure de Synology à un correctif de décembre ne doit pas être reformulée comme la date de publication initiale de l’avis.

SA-26:13 est daté du 18 septembre 2026. Les descriptions de CVE-2026-13639 et de CVE-2026-13684 qu'il contient portent respectivement sur une entropie insuffisante dans la logique de connexion et sur l'encodage de la sortie dans SCGI. Toutes deux décrivent un impact lié à la lecture et à l'écriture arbitraires de fichiers à distance, ainsi qu'à un déni de service. Ces capacités ne précisent pas, à elles seules, comment un exécutable de rançongiciel a été lancé.

Les versions corrigées mentionnées dans l'avis de septembre comprennent 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 et 7.2.1-69057-12. Ce sont les versions minimales propres à cet avis ; elles ne garantissent pas que tous les problèmes de sécurité ultérieurs soient corrigés. Vérifiez la version actuelle prise en charge par le modèle et les paquets concernés.

Comment un NAS obsolète peut-il devenir exploitable à distance ?

Un NAS est un serveur auquel est associé un espace de stockage. Son interface de navigateur, ses protocoles de partage, ses composants d'accès à distance et ses applications installées exposent différents chemins de traitement des requêtes. Une vulnérabilité ne peut être exploitée depuis l'extérieur que si ses conditions préalables sont réunies, notamment si le composant concerné est accessible. L'expression « connecté à Internet » est trop vague pour décrire cette situation avec précision.

La redirection de ports peut rendre un service d'administration accessible depuis l'extérieur du domicile ou du bureau. Un proxy inverse peut exposer la même application par un autre nom d'hôte et un point de terminaison TLS. Aucune de ces configurations ne corrige intrinsèquement une application située derrière elle. À l'inverse, les fonctionnalités d'accès à distance diffèrent dans leur acheminement et leur autorisation du trafic ; leur nom seul ne permet pas d'établir qu'une voie d'attaque existait.

Il existe aussi une voie par les terminaux : un logiciel malveillant exécuté avec le compte d'un utilisateur peut modifier un partage monté à l'aide des autorisations déjà détenues par ce compte. Il n'a pas besoin de compromettre DSM pour corrompre ces fichiers accessibles en écriture. Il s'agit d'un scénario de menace général, et non d'une attribution concernant les signalements d'octobre.

Pourquoi les appareils NAS restent-ils exposés après la publication de correctifs ?

La disponibilité d'un correctif et son déploiement sont deux événements distincts. Un fournisseur peut publier un correctif alors qu'une installation reste sur une version antérieure, en raison d'une politique de mise à jour différée ou d'une branche non prise en charge. Un NAS peut continuer à servir des fichiers normalement pendant toute cette période. La disponibilité du service renseigne donc peu le propriétaire sur l'état des correctifs de sécurité.

Parmi les obstacles opérationnels courants figurent les applications à la compatibilité incertaine, les administrateurs à distance qui ne disposent pas d’un créneau de maintenance et les appareils dont personne n’a été chargé de gérer les mises à jour. Ce sont des raisons plausibles de retard, et non des constats mesurés concernant les victimes de cette campagne. Pour une entreprise, une modification planifiée, assortie d’un plan de retour arrière et de récupération, est plus viable que le report répété de chaque redémarrage.

Notez la version complète de DSM, son numéro de build et son suffixe de mise à jour, et pas seulement « DSM 7 ». Les mises à jour de sécurité courantes et les migrations entre versions majeures nécessitent également des préparatifs différents. Vérifiez les versions prises en charge par le modèle et ce que la politique de mise à jour configurée installe réellement. Activer les mises à jour automatiques est utile, mais ne dispense pas de vérifier la prise en charge et la bonne installation des mises à jour.

Pourquoi un NAS est-il une cible attrayante pour les rançongiciels ?

Un NAS concentre des informations que les utilisateurs ne peuvent pas facilement recréer : photos de famille, archives de projets, travaux partagés, exports comptables et sauvegardes de terminaux. Un attaquant capable d’affecter cet ensemble peut interrompre plusieurs activités à la fois. Cette concentration explique le levier potentiel, sans présumer d’un montant de rançon, du nombre de victimes ou du modèle économique des criminels.

La disponibilité permanente crée une autre asymétrie. Le stockage doit rester accessible aux clients autorisés, souvent pendant des années, alors que les utilisateurs ne consultent sa configuration qu’en cas de problème. Chaque service supplémentaire peut entraîner des responsabilités distinctes en matière de mises à jour et de contrôle des accès. Il faut se demander quelles fonctions doivent réellement être accessibles, depuis où et avec quels identifiants.

Les rôles de stockage et de sauvegarde peuvent également se recouper. Un appareil utilisé pour restaurer un poste de travail peut contenir la seule copie restante d’anciens fichiers. Si la même compromission permet de modifier à la fois les données en cours d’utilisation et les copies de récupération, l’attaquant peut compromettre simultanément la disponibilité et la restauration.

Que se passe-t-il lorsque des attaquants accèdent au stockage NAS ?

Les conséquences dépendent des autorisations effectives, et pas simplement du fait qu’une personne ait « accédé au NAS ». Un compte ordinaire compromis peut affecter ses partages accessibles en écriture, tout en laissant intactes l’administration et les dossiers auxquels il ne peut pas accéder. Des privilèges plus étendus peuvent ouvrir des accès supplémentaires. Les dépôts de sauvegarde, les lecteurs connectés et les commandes des instantanés doivent chacun être évalués, plutôt que de supposer qu’ils subiront tous les mêmes conséquences.

C’est pourquoi « la MFA aurait empêché l’incident » et « la MFA ne sert à rien » sont toutes deux de mauvaises conclusions. La MFA protège les flux d’authentification pris en charge contre certaines attaques visant les comptes. Elle reste utile en complément des mises à jour et de la réduction de l’exposition. On ne peut pas supposer qu’elle s’interpose face à une opération vulnérable ne nécessitant aucune authentification.

Que savons-nous et qu’est-ce qui reste à confirmer ?

La présence d’une vulnérabilité corrigée, d’une version concernée et d’un rançongiciel sur le même appareil ne prouve pas automatiquement un lien de causalité. Les enquêteurs ont besoin d’une chronologie reliant l’exposition, l’accès et l’exécution ou la modification de fichiers. Le moment de l’installation compte également : un appareil mis à jour après la compromission initiale peut sembler à jour lors d’une inspection ultérieure.

L’affirmation qu’un NAS entièrement à jour a été touché mérite une enquête, mais ne suffit pas à établir l’existence d’une vulnérabilité de type « zero-day ». Les éléments pertinents comprennent la version complète au moment de l’entrée présumée, les versions des paquets, les journaux d’accès, l’activité des comptes et les services accessibles. Un identifiant volé ou un partage client accessible en écriture constitue une explication différente d’une nouvelle vulnérabilité de DSM.

Les informations publiques ne fournissent pas suffisamment d’éléments propres à chaque cas pour déterminer une voie d’entrée, un niveau de privilège ou un résultat de récupération pour chaque NAS touché. Cet article ne prétend donc pas que les instantanés ont été supprimés, que des données ont été exfiltrées, qu’un nombre précis d’appareils ont été infectés ou qu’une gamme entière de produits a été compromise.

Que révèle cet incident sur la sécurité des NAS ?

La leçon plus générale porte sur une chaîne de responsabilités opérationnelles : connaître l’appareil, connaître les services accessibles, maintenir les logiciels à jour et pris en charge, et disposer d’une voie de récupération indépendante des pouvoirs de l’attaquant. Ces responsabilités se renforcent mutuellement. Réduire l’exposition peut supprimer une voie d’entrée ; limiter les autorisations peut réduire les dommages ; une récupération indépendante peut atténuer les conséquences en cas d’échec de la prévention.

Pour un système apparemment non touché, vérifiez les versions et les paquets installés, et réduisez les accès inutiles. Si un système présente des signes suspects de chiffrement ou d’activité d’accès, passez à la réponse aux incidents plutôt que de considérer une mise à jour de routine comme un nettoyage. Le guide de la CISA sur les rançongiciels fournit des conseils de confinement et de récupération. Isolez les systèmes touchés lorsque c’est possible et préservez les preuves avec l’aide appropriée en réponse aux incidents.

Reconstruire un service propre et restaurer des données fiables sont deux tâches distinctes. Une mise à jour réussie ne prouve pas que les accès obtenus auparavant ont été supprimés. Le volet de la récupération est examiné dans l’analyse complémentaire des limites des sauvegardes NAS.

FAQ

Synology a-t-il confirmé que les deux CVE de septembre 2026 étaient le point d’entrée ?

Pas dans la déclaration du 29 octobre examinée ici. Elle fait référence à un correctif de décembre 2024 et à l’avis SA-24:20. Les deux CVE de septembre sont mentionnés dans l’attribution de 360. Ces observations doivent rester distinctes tant que des éléments supplémentaires ne les relient pas à l’incident.

L’incident prouve-t-il que tous les NAS Synology sont vulnérables ?

Non. L’applicabilité dépend de la branche logicielle, de la version complète, du composant concerné et des conditions d’accès. On ne peut pas tirer de conclusion générale concernant le fournisseur à partir de rapports d’incidents sélectionnés. Consultez l’avis de sécurité pertinent et les mises à jour prises en charge pour le modèle concerné.

L’authentification multifacteur empêchera-t-elle l’exploitation d’une vulnérabilité sans authentification ?

L’authentification multifacteur ne corrige pas une vulnérabilité accessible sans passer par le processus de connexion qu’elle protège. Elle reste toutefois utile contre les attaques prises en charge qui ciblent les comptes. Combinez-la à des logiciels à jour, à une exposition limitée des services et à des autorisations restreintes de manière appropriée.

Changer l’extension .L0CK3D permet-il de récupérer un fichier ?

Non. Restaurer le nom d’un fichier ne déchiffre pas son contenu et ne le répare pas. Conservez les fichiers affectés et étudiez les possibilités de récupération à partir d’un état antérieur fiable. Un indicateur peut orienter l’enquête, mais ne peut pas, à lui seul, déterminer la vulnérabilité exploitée pour l’accès initial.

L’installation de la dernière mise à jour élimine-t-elle une compromission existante ?

Pas nécessairement. L’application des correctifs corrige les comportements vulnérables concernés ; elle ne permet pas de savoir si un attaquant a déjà modifié des comptes, la configuration ou des données. Une installation affectée nécessite une mise en confinement, une enquête et un plan de récupération fiable, en plus des mises à jour prises en charge.

Pourquoi parler de l’architecture des sauvegardes en même temps que d’une vulnérabilité logicielle ?

L’accès initial et l’échec de la récupération sont deux problèmes différents. Un service vulnérable peut déclencher un incident, mais des identifiants partagés et des copies de récupération accessibles peuvent en aggraver les conséquences. Les sauvegardes indépendantes visent à préserver une possibilité de récupération lorsqu’une autre couche tombe en panne.

Conclusion

Les signalements de rançongiciels touchant Synology méritent une attention urgente, sans pour autant imposer un récit simplifié et non étayé. Distinguez la déclaration du fournisseur, les capacités de l’avis de sécurité et l’attribution aux chercheurs. Examinez ensuite le système réel : versions logicielles complètes, services exposés, autorisations et copies récupérables. Un correctif corrige une faille documentée ; une architecture de stockage résiliente limite également les dommages d’une compromission de compte ou d’une autre défaillance. Le prochain article explique comment évaluer cette architecture de récupération.