Synology publie sa première alerte rançongiciel en sept ans. La faille qu'elle désigne a été corrigée en 2024
Synology n'est pas du genre à sonner l'alarme. La dernière fois qu'elle a publié un avertissement sur une attaque visant ses clients, c'était en août 2019. L'avis mis en ligne le 29 octobre, intitulé « Synology urges users to update DSM following ransomware attacks on outdated DSM versions », mérite donc d'être pris au pied de la lettre. Une souche baptisée C3RB3R, héritière de la vieille famille Cerber, chiffre des NAS Synology depuis début octobre. Les victimes retrouvent leurs fichiers affublés d'une extension .L0CK3D et une note nommée read-me3.txt dans chaque dossier. Selon Techaeris, la note réclame 0,03696 bitcoin, soit environ 2 950 $, et le prix double au bout de cinq jours. Aucun outil de déchiffrement gratuit n'existe.
L'explication de Synology est sans détour : les attaquants exploitent une faille corrigée en décembre 2024, couverte par l'avis SA-24:20, contre des appareils qui n'ont jamais installé la mise à jour. La société chinoise de sécurité 360 pointe plutôt deux bugs critiques corrigés par Synology le 18 septembre de cette année, et une équipe d'intervention affirme avoir vu une victime sur une version DSM 7.4.1 assez récente. Personne ne conteste le fond, cependant. Il s'agit de machines exposées sur internet avec un système d'exploitation obsolète et une page d'administration accessible depuis n'importe où. Shadowserver recense plus de 380 000 NAS Synology exposés en ligne.
Si vous en possédez un, ouvrez DSM, allez dans Panneau de configuration, Mise à jour & restauration, et installez ce qui attend. BleepingComputer liste comme versions minimales sûres 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 et 7.2.1-69057-12, selon la branche que vous utilisez. Activez les mises à jour automatiques pendant que vous y êtes, ce que Synology recommande désormais explicitement. Assurez-vous ensuite que l'interface d'administration n'est pas joignable depuis l'extérieur de chez vous : pas de redirection de port vers elle, pas de QuickConnect dont vous ne vous servez pas. Un détail de l'analyse mérite d'être répété. Le rançongiciel chiffre aussi toutes les sauvegardes stockées sur le même NAS. Un instantané sur la machine touchée n'est pas une sauvegarde.
La sauvegarde en un clic de Tendvane copie Documents, Images et Bureau vers un disque de votre choix, et une copie sur un disque que l'on peut débrancher est exactement celle que ce rançongiciel ne peut pas atteindre.