Un rançongiciel chiffre les serveurs de stockage Synology restés sans mise à jour

Des fichiers qui se terminent soudain par .L0CK3D, et dans chaque dossier une note de rançon nommée read-me3.txt, qui porte la mention C3RB3R. Ces derniers jours, des propriétaires de NAS Synology, ces serveurs de stockage très répandus dans les PME et chez les particuliers, découvrent leurs données chiffrées.

Le 29 octobre, Synology a confirmé ces attaques dans un communiqué. Selon le fabricant taïwanais, les pirates exploitent une faille corrigée fin 2024 et visent les appareils qui tournent encore sur une version dépassée de DSM, le système d'exploitation de ses NAS. Leur but : chiffrer les données et réclamer une rançon. Synology demande de mettre DSM à jour immédiatement et d'activer les mises à jour automatiques.

Quelle faille ouvre la porte aux pirates ?

Synology renvoie à son bulletin SA-24:20, publié le 5 novembre 2024 après le concours de piratage Pwn2Own. La faille la plus grave, CVE-2024-10441, est notée 9,8 sur 10 : elle permet d'exécuter du code à distance. Elle est corrigée à partir de DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4 et 7.1.1-42962-7.

L'éditeur de sécurité chinois 360 avance une autre piste. Dans une alerte du 29 octobre, il attribue les attaques qu'il a analysées à deux failles plus récentes, CVE-2026-13639 et CVE-2026-13684, corrigées par Synology en septembre (bulletin SA-26:13). Elles sont elles aussi notées 9,8 et, selon l'agence de cybersécurité de Singapour, permettraient à un attaquant distant de lire ou d'écrire des fichiers. À ce stade, le point d'entrée exact n'est pas tranché.

Les premiers cas de NAS touchés, dont un Zyxel, sont apparus le 17 octobre sur le forum de BleepingComputer, selon un recensement publié par un blog technique taïwanais. Les témoignages de propriétaires de Synology ont suivi sur Reddit le 28 octobre, au moins quatre en douze heures. Dans ces récits, des instantanés ont été supprimés et des disques de sauvegarde branchés en permanence ont été chiffrés eux aussi. Aucun outil de déchiffrement public n'est signalé pour l'instant.

Que faire si vous avez un NAS Synology ?

Pas de sophistication ici : des appareils exposés sur Internet et restés sur une version dépassée. Les mesures sont donc simples.

• Vérifiez la version exacte de DSM, numéro de mise à jour compris, et installez au minimum les versions qui corrigent les deux bulletins : 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12. Selon le blog taïwanais, les mises à jour automatiques ne font pas passer d'une version majeure à la suivante (de 7.1 à 7.2, par exemple) : faites-le à la main.
• Retirez le NAS d'Internet : supprimez les redirections de ports sur la box ou le routeur, désactivez l'UPnP, et passez par un VPN pour l'accès à distance.
• Protégez les sauvegardes : instantanés Btrfs non modifiables et au moins une copie déconnectée ou hors site. Un disque USB branché en permanence n'est pas une sauvegarde contre un rançongiciel.
• En cas d'infection : débranchez le réseau sans redémarrer, ne supprimez rien, conservez la note de rançon et les journaux, puis restaurez depuis une sauvegarde antérieure. Ne payez pas.

Une mise à jour suffira-t-elle ?

Pas forcément. Le blog taïwanais rapporte des cas encore inexpliqués, dont un appareil sous DSM 7.4.1 en cours d'analyse. Ces témoignages ne sont pas vérifiés, mais ils invitent à ne pas se contenter du correctif : un NAS qui n'est plus joignable depuis Internet reste la meilleure protection. Comme l'a montré le rançongiciel SafePay, qui efface les sauvegardes avant de chiffrer, les pirates savent où frapper pour empêcher une restauration.

Reste à savoir quelle faille sert vraiment. Si l'hypothèse de 360 se confirme, des appareils à jour de 2024 mais pas de septembre 2026 seraient exposés eux aussi.