Cela faisait longtemps que les NAS n’avaient pas subi une attaque d’une telle ampleur… Synology a envoyé un e-mail à tous ses utilisateurs enregistrés. Les pirates ciblent des boîtiers qui n’ont pas reçu les dernières mises à jour, avec à la clé un ransomware (C3RB3R) qui vient chiffrer les fichiers et réclamer ensuite une rançon. Si vous possédez un NAS Synology, prenez 10 minutes pour mettre à jour DSM..
Faille connue et corrigée
Les attaquants s’appuient sur une vulnérabilité déjà corrigée en novembre 2024 (Synology-SA-24:20). Elle avait été découverte (avec d’autres) lors du Pwn2Own 2024 et classée comme critique par Synology. La faille permet à un attaquant distant d’exécuter du code sur le NAS…
A l’époque, le fabricant avait bien précisé qu’il n’existait aucune mesure d’atténuation. Seule la mise à jour corrige le problème. Si votre NAS n’a pas été mis à jour, il est donc vulnérable !
Comment se déroule l’attaque ?
Le scénario est malheureusement classique :
- Le pirate repère un NAS accessible depuis Internet, avec une version vulnérable de DSM ;
- Il exploite la faille pour exécuter du code à distance ;
- Un outil de chiffrement va verrouiller les fichiers ;
- Une rançon est demandé pour débloquer la situation…
Faut-il payer la rançon ?
Non, c’est la recommandation des autorités et des spécialistes. Rien ne garantit que vous recevrez une clé de déchiffrement qui fonctionne, ni que les pirates ne conserveront pas une copie de vos données. Payer, c’est aussi financer l’attaque suivante et encourager les criminels à recommencer…
Pourquoi autant de NAS non mis à jour ?
Il y a plusieurs réponses à cette question :
- L’utilisation de Xpenology ou autre alternative non officielle ;
- La crainte de tout casser ;
- Un NAS oublié dans un coin ;
- Non compétence…
Que faire dès maintenant ?
La bonne nouvelle, c’est qu’il existe un correctif DSM 6.2, 7.1, 7.2.1 et 7.2.2. Même les boîtiers anciens peuvent être mis à jour, avec les versions minimums :
- DSM 7.2.2-72806-1
- DSM 7.2.1-69057-6
- DSM 7.2-64570-4
- DSM 7.1.1-42962-7
- DSM 6.2.4-25556-8
Si vous n’êtes pas sûr de vous, ou que votre NAS ne peut pas recevoir la mise à jour : coupez l’accès depuis l’extérieur, en désactivant les redirections de ports sur votre box/routeur. Un NAS inaccessible depuis Internet est la meilleure protection…
Et si je suis déjà victime ?
Ne payez pas la rançons. Débranchez-le du réseau, ne le réinitialisez pas et ne supprimez rien. Les fichiers chiffrés peuvent servir plus tard. Restaurez ensuite vos données grâce à une sauvegarde. Vous pouvez aussi la plateforme cybermalveillance.gouv.fr et signaler les faits aux autorités.
En synthèse
Cette attaque rappelle une règle simple : un NAS exposé et non mis à jour est une cible facile. La faille exploitée ici est connue depuis 2 ans et le correctif est disponible pour quasiment tous les boîtiers.
Mettez à jour votre NAS et fermez ce qui n’a pas besoin d’être ouvert et vérifiez que vos sauvegardes fonctionnent. C’est moins coûteux que de découvrir un jour tous ses fichiers verrouillés.