Attention, des NAS Synology sont touchés par le rançongiciel C3RB3R : ce qu’il faut vérifier sur votre NAS

Depuis début octobre, le service anti-rançongiciel de 360, un éditeur chinois de logiciels de sécurité, reçoit des appels à l’aide de propriétaires de NAS Synology. Plusieurs utilisateurs signalent avoir été victimes d’un rançongiciel : les données sur leur NAS sont chiffrées par des malfaiteurs qui demandent une rançon en échange de la clé de déchiffrement.

Dans une alerte publiée le 29 octobre, l’entreprise explique avoir analysé des échantillons prélevés sur les appareils touchés. Elle y a trouvé C3RB3R, une variante de Cerber, une famille de rançongiciels qui s’attaque aux NAS depuis des années. Les fichiers chiffrés prennent l’extension .L0CK3D (parfois écrite .LOCK3D, avec un O), et une note de rançon read-me3.txt apparaît dans les dossiers. Quand les photos, les documents de travail et les sauvegardes sont sur le même NAS, on peut tout perdre d’un coup.

Synology a répondu le même jour. Dans un communiqué, le fabricant taïwanais affirme que les pirates exploitent une faille corrigée en décembre 2024. Selon lui, ils visent les appareils restés sur une ancienne version de DSM, le système d’exploitation installé sur ses NAS. Le bulletin auquel il renvoie porte sur une faille notée 9,8 sur 10, qui permet de prendre la main sur le boîtier à distance sans identifiant. Sur X, la filiale japonaise assure que les clients déjà passés sur une version corrigée ne sont pas concernés.

Une victime sous la dernière version de DSM

Le rapport de 360 donne pourtant une autre version. L’entreprise attribue les attaques qu’elle a traitées à deux failles critiques, révélées et corrigées par Synology le 18 septembre 2026. Ces failles permettent de lire ou d’écrire n’importe quel fichier du NAS sans même se connecter. Un boîtier mis à jour depuis décembre 2024, mais pas depuis septembre, resterait donc exposé.

Plus troublant encore, Solar, une équipe chinoise qui intervient chez les victimes après une attaque, a publié sur Zhihu la capture d’écran d’un NAS chiffré sous DSM 7.4.1-90080 Update 1, la version la plus récente au moment de son analyse.

Solar reste prudente. Tant que le point d’entrée n’est pas confirmé, l’équipe refuse d’affirmer que DSM cache une faille encore inconnue du fabricant, ce qu’on appelle une faille 0-day. Elle n’écarte ni un paquet tiers installé sur le NAS, ni des identifiants volés, ni un autre service compromis. Elle ne sait pas non plus si la mise à jour a été installée avant ou après l’intrusion. Pour l’instant, personne n’a établi que 360, Synology et Solar décrivent la même chaîne d’attaque.

Pendant ce temps, les victimes se retrouvent sur le forum r/synology de Reddit. L’une demande quoi faire avant de restaurer ses données, une autre a ouvert un fil intitulé « Qu’est-ce qui se passe ? ».

Ce qu’il faut vérifier sur votre Synology dès maintenant

Il y a trois contrôles qui prennent quelques minutes pour vérifier l’état de votre NAS : vos fichiers s’ouvrent-ils encore, une extension inconnue est-elle apparue, l’interface d’administration est-elle accessible depuis internet ? Voici comment procéder :

• Cherchez des fichiers en .L0CK3D ou .LOCK3D et des read-me3.txt dans vos dossiers partagés.
• Ouvrez le Panneau de configuration, rubrique « Mise à jour et restauration », et installez la version la plus récente proposée. Attention, sur une ancienne branche comme DSM 7.1, l’interface peut afficher « à jour » alors qu’une branche plus récente existe. Activez ensuite l’installation automatique des mises à jour.
• Coupez l’accès aux ports d’administration 5000 et 5001 depuis l’extérieur et désactivez l’UPnP de votre box, qui laisse les appareils ouvrir eux-mêmes des accès vers internet. Limitez ou désactivez QuickConnect et activez la double authentification.
• Si vous êtes touché, débranchez le câble réseau, ne payez pas la rançon et contactez le support de Synology en lui donnant votre version de DSM et vos journaux d’événements.

Au 30 octobre, aucun outil de déchiffrement gratuit n’a été publié pour C3RB3R. Le site No More Ransom, soutenu par Europol et la police néerlandaise, recense les déchiffreurs disponibles. On peut y envoyer un fichier chiffré et la note de rançon pour savoir si un outil existe.