C3RB3R attaque les NAS Synology : comment protéger vos fichiers

Beaucoup de gens considèrent leur système de stockage en réseau (NAS) domestique comme un gros disque dur relié au routeur. Ils y stockent des vidéos, des photos, des documents et des sauvegardes, puis n’y pensent presque plus pendant des années. C’est une grave erreur.

En octobre, des attaquants ont commencé à infecter des NAS Synology avec le ransomware C3RB3R (Cerber). De nombreux utilisateurs indiquent qu’ils ne peuvent plus ouvrir les fichiers stockés sur leur NAS et que des fichiers texte contenant des demandes de rançon apparaissent dans leurs dossiers. Et cela n’arrive pas parce que quelqu’un a téléchargé par erreur un fichier malveillant : toute personne qui a oublié de mettre à jour son stockage en réseau à temps est exposée.

Dans cet article, nous expliquons précisément qui est exposé et comment protéger vos données.

Qui C3RB3R cible et comment fonctionne l’attaque

Nous avons l’habitude de penser qu’un malware arrive sur un appareil après que quelqu’un a téléchargé un fichier suspect ou suivi les instructions d’un attaquant. Pourtant, la grande majorité des infections par C3RB3R se produisent sans aucune intervention de l’utilisateur : il suffit à l’attaquant d’atteindre un service NAS vulnérable. Des scanners spécialisés l’aident probablement à repérer ces appareils en recherchant automatiquement les NAS Synology et en vérifiant leur version de DiskStation Manager (DSM).

Le mois dernier, de nombreux propriétaires de NAS Synology ont commencé à signaler des attaques C3RB3R. Synology a officiellement confirmé le problème et indiqué que les attaquants exploitaient une vulnérabilité corrigée dès décembre 2024. D’après la description, il s’agit vraisemblablement de CVE-2024-10441, une vulnérabilité qui permet à un attaquant d’exécuter du code arbitraire dans le système d’exploitation du NAS sans authentification.

Dans le même temps, les chercheurs de 360.cn ont indiqué que les attaques C3RB3R qu’ils ont analysées exploitaient également deux autres vulnérabilités critiques, toutes deux notées 9,8 : CVE-2026-13639 et CVE-2026-13684. Ces failles permettent la lecture ou l’écriture arbitraire de fichiers ainsi que des attaques par déni de service (DoS). Synology n’a pas confirmé l’exploitation de ces vulnérabilités dans cette campagne. L’entreprise les a corrigées dans sa mise à jour DSM de septembre.

Dans tous les cas, les vulnérabilités mentionnées ci-dessus permettent de cibler un NAS à distance. Pour qu’un attaquant accède à votre stockage, y dépose un ransomware et l’exécute, deux conditions seulement doivent être réunies :

• Vous n’avez pas mis à jour votre stockage en réseau depuis longtemps
• L’interface Synology DiskStation Manager (DSM) est accessible depuis Internet (ou le réseau local)

C’est tout. L’attaquant n’a besoin ni de votre mot de passe ni d’une quelconque action de votre part. Tout propriétaire d’un NAS Synology qui n’a pas mis son système à jour à temps est exposé.

Si vous n’avez pas installé vous-même de mises à jour récemment et ne vous souvenez plus si les mises à jour automatiques sont activées, nous vous recommandons d’abord de bloquer l’accès Internet de votre NAS, puis de mettre l’appareil à jour manuellement dès que possible. Sinon, vous pourriez très facilement rejoindre la liste des victimes.

Gardez à l’esprit que tant que les mises à jour ne sont pas installées, l’appareil reste vulnérable aux attaques provenant du réseau local. Si votre NAS Synology est accessible à d’autres utilisateurs du LAN, par exemple s’il est partagé avec des voisins ou connecté au réseau d’une université, d’un bureau ou d’une résidence étudiante, l’option la plus sûre consiste à débrancher le câble Ethernet et à désactiver le Wi-Fi si votre modèle de NAS le permet. Téléchargez ensuite les fichiers de mise à jour sur votre ordinateur, déconnectez celui-ci du réseau filaire et du Wi-Fi, reliez directement le NAS à l’ordinateur à l’aide d’un câble Ethernet, puis mettez à jour son système d’exploitation et ses applications dans un environnement totalement isolé.

Une autre raison de mettre à jour votre stockage en réseau est la découverte récente de vulnérabilités PHP. Synology a déjà publié des mises à jour urgentes pour son système d’exploitation ainsi que pour les applications Mail Station et Synology Calendar.

Que deviennent les fichiers après l’infection ?

Une fois que le ransomware C3RB3R s’est introduit dans le stockage en réseau, il parcourt tous les dossiers accessibles contenant des données utilisateur et chiffre les fichiers qu’ils renferment — photos, documents, archives, vidéos et enregistrements audio — en ajoutant l’extension .L0CK3D aux fichiers chiffrés. Si l’utilisateur tente d’en ouvrir un, le système indique que le fichier est endommagé ou dans un format inconnu. Malheureusement, renommer simplement le fichier ne supprimera pas le chiffrement.

Aspect des fichiers après leur chiffrement par C3RB3R

Les attaquants ont aussi la délicatesse de laisser un fichier texte nommé read-me3.txt dans les dossiers contenant des fichiers chiffrés, avec des instructions pour déchiffrer les données de votre stockage. Apparemment, il suffirait de… lancer le très peu suspect navigateur Tor et de payer les attaquants pour obtenir un déchiffreur censé restaurer tous vos fichiers. Inutile de préciser qu’il n’existe aucune garantie que vous récupérerez vos fichiers intacts.

C3RB3R laisse une note de rançon de ce type dans chaque dossier contenant des fichiers chiffrés. Une offre vraiment généreuse : déchiffrer gratuitement un fichier, puis payer pour tous les autres

La perte de la totalité ou de la plupart de vos fichiers n’est peut-être pas la seule conséquence désagréable. Les attaquants font souvent chanter leurs victimes en menaçant de publier les données volées : identifiants de comptes, photos intimes, documents professionnels et autres informations confidentielles. Si la victime refuse de payer la rançon, les criminels menacent de rendre toutes ces données publiques. Ils peuvent vous contacter par e-mail ou via les réseaux sociaux pour formuler leurs exigences.

Souvent, ces menaces ne sont rien de plus qu’une escroquerie. Nous avons décrit en détail ces stratagèmes — et ce qu’il faut faire si vous êtes victime de chantage — dans notre article Extorsion de fonds : comment les escrocs utilisent le chantage. Mais si votre NAS a réellement été chiffré, vous ne pouvez malheureusement pas exclure un vol de données.

Que faire si un ransomware a déjà infecté votre NAS Synology

Si un ransomware a déjà attaqué votre NAS, vous pouvez être confronté à l’une des deux situations suivantes :

• Vous surprenez le ransomware en pleine action et voyez, horrifié, de plus en plus de fichiers être chiffrés et renommés sous vos yeux.
• Les dossiers utilisateur sont déjà chiffrés et l’extension .L0CK3D a été ajoutée à tous vos fichiers.

Que faire ?

1. Déconnectez immédiatement le NAS de tous les réseaux (mais ne l’éteignez pas)

Le NAS doit être totalement isolé d’Internet et du reste de votre réseau domestique. Débranchez tous les câbles du NAS, sauf le câble d’alimentation. Si votre modèle se connecte au réseau local en Wi-Fi, désactivez également la connexion sans fil. Vous pouvez le faire directement sur le NAS (certains modèles Synology disposent d’un bouton Wi-Fi qui désactive le réseau sans fil lorsqu’on le maintient enfoncé) ou simplement débrancher votre routeur. Cela coupe l’accès à distance des attaquants à l’appareil et empêche le NAS infecté d’atteindre d’autres ordinateurs et périphériques de stockage.

Si des disques USB externes sont connectés au NAS pour augmenter sa capacité de stockage, débranchez-les également : le ransomware ne les a peut-être pas encore atteints.

Suspendez les tâches de synchronisation et de sauvegarde associées au NAS sur les ordinateurs et dans les services cloud. Cela évite que les fichiers endommagés se propagent aux autres copies et remplacent des versions encore intactes.

2. Décidez s’il faut éteindre le NAS

Si vous surprenez Cerber en pleine action, votre premier réflexe peut être d’arracher le câble d’alimentation du NAS, mais il vaut mieux éviter : une coupure brutale peut endommager les données en cours d’écriture sur le disque. Il est préférable d’utiliser la procédure d’arrêt normale du NAS. Gardez toutefois à l’esprit qu’en l’éteignant, vous perdez une possibilité de récupérer les fichiers déjà chiffrés. Avec un peu de chance, un spécialiste pourra extraire une clé de récupération de la RAM de l’appareil. Une fois l’alimentation coupée, la RAM est effacée.

• Si vous n’êtes pas un utilisateur expérimenté, ne connaissez personne capable de vous aider à récupérer les données et que le chiffrement est toujours en cours, arrêtez le NAS normalement ; si l’appareil ne répond pas, débranchez le câble d’alimentation. Vous préserverez ainsi au moins les fichiers qui n’ont pas encore été chiffrés.
• Si vous êtes un utilisateur expérimenté, connectez directement le NAS à un ordinateur isolé à l’aide d’un câble Ethernet et essayez de vous connecter au NAS via SSH. Examinez les processus en cours (sudo ps -ef), identifiez le processus du ransomware, déterminez son PID (identifiant de processus), puis suspendez le chiffrement sans terminer le processus (sudo kill -STOP PID, où PID correspond à l’identifiant du processus du ransomware). Vérifiez ensuite que tous les threads du processus sont arrêtés (état T) et suivez les pour enregistrer un dump mémoire. Si vous ne parvenez pas à arrêter le chiffrement, éteignez le NAS.
• Si les fichiers de votre NAS ont déjà été chiffrés et que vous l’avez déconnecté du réseau local, vous pouvez le laisser allumé et essayer de préserver le contenu de la mémoire et de récupérer les données en suivant les .

3. Conservez les fichiers chiffrés et la note de rançon

Si le ransomware a fini de chiffrer les fichiers de votre NAS et que vous l’avez déconnecté d’Internet, essayez de vous connecter directement au NAS et d’enregistrer une copie des fichiers chiffrés ainsi que des instructions des attaquants sur un disque dur externe vide. Des chercheurs en cybersécurité pourraient publier à l’avenir un déchiffreur C3RB3R gratuit.

Si vous avez éteint le NAS pendant que le chiffrement était en cours, ne le rallumez pas uniquement pour inspecter les processus ou copier des fichiers : le chiffrement s’effectue localement et peut reprendre après le redémarrage de l’appareil. Dans ce cas, adressez-vous à un spécialiste reconnu de la récupération de données, capable de lire les disques du NAS sans démarrer l’installation DSM compromise.

Si, après avoir suivi les étapes précédentes, vous avez déconnecté le NAS du réseau, vous y êtes connecté directement dans un environnement isolé et vous avez arrêté les processus du ransomware, vous pouvez sauvegarder les fichiers non chiffrés que vous souhaitez récupérer. Il est préférable de connecter le disque de sauvegarde à l’ordinateur directement relié au NAS plutôt qu’au port USB du NAS : cela réduit le risque que le ransomware redémarre et chiffre aussi ce disque.

4. Ne restaurez pas de fichiers et ne connectez pas de disques contenant des sauvegardes tant que le ransomware n’a pas été supprimé

Ne connectez pas au NAS infecté un disque externe contenant une sauvegarde et ne commencez pas à restaurer des fichiers depuis une sauvegarde vers le NAS compromis. Le ransomware pourrait s’exécuter de nouveau et endommager le disque connecté.

5. Une fois l’attaque stoppée, vérifiez vos snapshots dans Snapshot Replication

Si vous aviez configuré Snapshot Replication à l’avance et que les attaquants n’ont pas détruit les snapshots, vous pouvez récupérer les données à partir de ceux-ci. En revanche, les restaurer sur le NAS compromis n’a aucun sens. Vous aurez besoin d’un disque distinct pour la sauvegarde.

Commencez par vérifier que les snapshots sont toujours présents. Une fois le malware arrêté, ouvrez Snapshot Replication depuis le menu principal de DSM sur le NAS en fonctionnement. Sélectionnez le dossier partagé, ouvrez Snapshot → Snapshot List, recherchez un snapshot créé avant l’infection, puis cliquez sur Browse pour examiner son contenu. Vous pouvez également copier directement les données du snapshot vers un support externe sans les restaurer sur le volume infecté. Pour en savoir plus sur l’utilisation de Snapshot Replication, consultez les instructions de Synology.

6. Effacez le NAS compromis et réinstallez DSM

Après avoir sauvegardé tout ce que vous pouvez — données chiffrées et non chiffrées, ainsi que les journaux — rétablissez les paramètres d’usine du NAS avant de l’utiliser à nouveau (Factory Reset → Erase All Data).

Gardez à l’esprit que cette opération efface entièrement les données, applications et paramètres du stockage en réseau. Avant la réinitialisation, vérifiez les sauvegardes effectuées et assurez-vous que les fichiers intacts copiés peuvent être ouverts, que les versions nécessaires issues des snapshots ont été sauvegardées et que les fichiers chiffrés, notes de rançon, journaux et éventuels dumps mémoire sont stockés sur un autre support, et non sur le NAS. S’il manque quelque chose, conservez les disques d’origine ou des images complètes des disques pour un spécialiste de la récupération de données. Si vous pouvez vous passer du NAS quelque temps, ne vous précipitez pas pour l’effacer : des outils de déchiffrement gratuits peuvent apparaître plus tard.

Si vous utilisiez le NAS essentiellement comme un espace où déposer des fichiers et qu’il ne contient rien d’irremplaçable, effacez complètement le stockage comme décrit ci-dessus avant de le réutiliser, puis réinstallez DSM depuis une source officielle en suivant les instructions pour installer DSM sans connexion Internet.

Ne restaurez pas de paramètres à partir d’une sauvegarde créée après l’infection : elle peut contenir des modifications apportées par les attaquants. Il vaut mieux reconfigurer le NAS de zéro.

7. Vérifiez les comptes potentiellement compromis

La réinstallation de DSM n’invalide pas les mots de passe, sessions ou autres secrets volés pour les services dont les identifiants ont pu être stockés sur votre appareil. Réfléchissez aux services utilisés sur votre NAS, aux paquets supplémentaires installés et aux ressources auxquelles ils pouvaient accéder. Passez en revue tous ces services, fermez les sessions suspectes, révoquez les clés et jetons concernés, changez les mots de passe et activez l’authentification à deux facteurs. Nous recommandons de stocker tous vos identifiants dans le coffre-fort sécurisé de un gestionnaire de mots de passe. Faites-le avant de reconnecter le stockage au réseau.

8. Avant de reconnecter le NAS au réseau, désactivez les accès distants inutiles

Désactivez QuickConnect

Ce service vous permet de vous connecter à votre NAS via Internet. Pour le désactiver dans DSM 7, ouvrez Control Panel → External Access → QuickConnect, décochez Enable QuickConnect, puis cliquez sur Apply. Dans les versions antérieures, la section QuickConnect se trouve directement dans Control Panel.

Vérifiez si le NAS est exposé à Internet via votre routeur

Votre routeur peut être configuré pour rediriger les connexions entrantes provenant d’Internet directement vers le NAS : c’est ce qu’on appelle la redirection de ports. Commencez par trouver l’adresse IP locale du NAS. Dans DSM, elle est indiquée sous Control Panel → Network → Network Interface.

Ouvrez ensuite les paramètres de votre routeur domestique. En général, il suffit de saisir son adresse locale dans un navigateur ; l’adresse exacte et les identifiants de connexion figurent souvent sur une étiquette collée au routeur ou dans l’application de votre fournisseur d’accès à Internet.

Dans les paramètres du routeur, recherchez une section nommée par exemple Port Forwarding, Forwarding ou Port Redirection. Examinez les règles existantes. Si un champ tel que Internal IP, Local IP, Destination ou Device contient l’adresse IP de votre NAS, supprimez cette règle.

Vérifiez également la section DMZ, DMZ Host ou Exposed Host. Si l’adresse IP du NAS y figure, désactivez cette fonctionnalité.

Désactivez l’ouverture automatique des ports via UPnP

UPnP permet aux applications et aux appareils de demander au routeur d’ouvrir automatiquement des ports. Si vous n’avez pas besoin d’UPnP, désactivez-le.

Gardez à l’esprit qu’il s’agit d’un réglage qui concerne tout le routeur : sa désactivation peut donc affecter d’autres appareils de votre réseau domestique. Si vous souhaitez conserver UPnP pour ces appareils, examinez au minimum les règles créées via UPnP et assurez-vous qu’aucune ne pointe vers l’adresse IP du NAS. Si c’est le cas, supprimez-les et, si votre routeur le permet, bloquez l’ouverture automatique de ports pour le NAS.

Vérifications supplémentaires

Si vous utilisez IPv6, examinez aussi ses règles : les connexions entrantes inutiles vers le NAS doivent être bloquées. Désactivez également les tunnels, VPN et autres services d’accès à distance inutilisés que vous auriez configurés. Après ces modifications, vérifiez si le NAS reste accessible depuis un réseau externe, par exemple via une connexion de données mobiles.

9. Continuez à rechercher un déchiffreur gratuit

Les chercheurs en cybersécurité publient régulièrement des déchiffreurs gratuits permettant de récupérer des fichiers. Gardez à l’esprit qu’ils peuvent mettre longtemps à apparaître. En attendant, ne faites pas confiance aux offres de » chercheurs » inconnus ni aux sites qui prétendent pouvoir récupérer instantanément vos données après une attaque par une nouvelle souche de ransomware.

Que doivent faire les propriétaires de NAS assemblés eux-mêmes ?

De nombreuses personnes utilisent des chargeurs tiers pour DiskStation Manager : des outils non officiels du projet XPenology qui permettent d’exécuter le système d’exploitation de Synology sur du matériel pour lequel il n’a pas été conçu à l’origine, comme un PC ou un serveur assemblé sur mesure. Arc, RR (RedPill Recovery) et M-Shell en sont quelques exemples.

Si vous exécutez DSM de cette manière, C3RB3R peut aussi attaquer votre système. Mais ne vous précipitez pas pour mettre DSM à jour : assurez-vous d’abord que la nouvelle version est compatible à la fois avec votre chargeur et votre matériel. Sinon, vos fichiers pourraient être endommagés.

Si vous ne pouvez pas encore installer la dernière version du système, limitez l’accès au stockage en réseau en désactivant les accès externes et en n’autorisant les connexions depuis le réseau local que pour les appareils qui en ont besoin. Si possible, placez le NAS sur un segment réseau distinct. La fonctionnalité Smart Home Monitor de Kaspersky Plus etKaspersky Premium peut apporter une protection supplémentaire à votre réseau domestique : elle affiche tous les appareils présents sur votre réseau local et détecte l’arrivée de nouveaux appareils inconnus.

Comment protéger à la fois votre NAS et vos données personnelles

• Ne repoussez pas les mises à jour logicielles de votre NAS et vérifiez que les mises à jour automatiques sont activées.
• N’exposez pas les ports 139 et 445 à Internet : ils sont fréquemment ciblés par des attaques automatisées. Ces ports sont utilisés par le protocole qui permet aux ordinateurs d’ouvrir les dossiers partagés d’un NAS. C’est utile sur un réseau domestique, mais ils ne doivent pas être exposés à l’ensemble d’Internet. Vous pouvez vérifier dans les paramètres de votre routeur si ces ports sont ouverts.
• Si vous devez accéder à votre NAS à distance — en voyage ou depuis le bureau — il vaut mieux établir d’abord une connexion distante à votre réseau domestique, puis accéder au stockage depuis l’intérieur de ce réseau, plutôt que d’exposer directement le NAS à Internet.
• Ne conservez pas l’unique copie de fichiers importants sur votre NAS. Configurez des copies régulières avec Snapshot Replication et effectuez régulièrement des sauvegardes. N’oubliez pas la règle 3-2-1 : conservez trois copies de vos données, deux sur des supports de stockage différents et une hors du stockage principal, sur un disque dur déconnecté.
• Vous pouvez également confier vos documents importants à Kaspersky Password Manager. Il peut stocker des identifiants de comptes, des notes texte, des scans de documents personnels, des photos, des adresses, des coordonnées de carte bancaire et des documents PDF dans un coffre-fort chiffré, protégé par un mot de passe principal que vous seul connaissez. Le coffre-fort se synchronise sur tous vos appareils, de sorte que vos données restent protégées et accessibles aussi bien depuis vos ordinateurs que depuis vos smartphones.
• Utilisez une protection fiable qui empêche le téléchargement de ransomwares et d’autres malwares sur votre ordinateur.
• Protégez le compte administrateur. Activez l’authentification à deux facteurs, utilisez un mot de passe unique et configurez un blocage automatique après plusieurs tentatives de connexion infructueuses, ou utilisez des passkeys. Stockez les mots de passe, passkeys et jetons 2FA dans un gestionnaire de mots de passe chiffré. Ces mesures ne vous protégeront pas contre l’attaque C3RB3R actuelle — puisque Cerber exploite des vulnérabilités ne nécessitant aucune authentification — mais elles seront utiles si un attaquant tente de compromettre votre compte ou trouve votre mot de passe dans une fuite de données.

Comment stocker et protéger vos données ? Lisez nos autres articles : Les ransomwares s’attaquent désormais aux sauvegardes personnelles Comment enregistrer des pages Web pour les conserver ? Comment les nouvelles vulnérabilités PHP menacent les particuliers Internet ne se souvient pas tout à fait de tout Réalité et mythes concernant les noms de réseaux Wi-Fi masqués

Comment stocker et protéger vos données ? Lisez nos autres articles :

• Les ransomwares s’attaquent désormais aux sauvegardes personnelles
• Comment enregistrer des pages Web pour les conserver ?
• Comment les nouvelles vulnérabilités PHP menacent les particuliers
• Internet ne se souvient pas tout à fait de tout
• Réalité et mythes concernant les noms de réseaux Wi-Fi masqués