Synology exhorte à mettre à jour DSM après que le ransomware C3RB3R a exploité d’anciennes failles

Synology incite ses clients à mettre à jour le logiciel DiskStation Manager (DSM) sur ses périphériques de stockage attaché au réseau (NAS), suite à une vague d’attaques par ransomware. Le fabricant taïwanais a confirmé que des acteurs malveillants exploitent activement une vulnérabilité corrigée en décembre 2024 pour cibler les appareils exécutant des versions obsolètes du système d’exploitation.

Ce qui s’est passé

Les attaques visent à chiffrer les données des utilisateurs et à extorquer des paiements de rançon, selon un communiqué publié par Synology la semaine dernière. Bien que l’entreprise n’ait pas divulgué la faille de sécurité exacte exploitée dans ces incidents récents spécifiques, elle a renvoyé vers un avis de sécurité de novembre 2024 listant trois vulnérabilités critiques. Ces failles vont des risques d’exécution de code à distance aux validations de certificats inadéquates, pouvant toutes permettre aux attaquants d’obtenir un accès non autorisé ou de modifier des fichiers sur l’appareil.

Les rapports provenant de clients affectés indiquent que leurs appareils Synology ont été compromis par le ransomware C3RB3R. Ce malware verrouille les fichiers des utilisateurs en ajoutant une extension « .L0CK3D » et dépose une note de rançon nommée « read-me3.txt » dans chaque répertoire chiffré. L’éditeur de sécurité chinois Qihoo 360 Internet Security Center a analysé le malware et noté que C3RB3R a une longue histoire de ciblage des périphériques NAS. Le groupe a précédemment exploité d’autres vulnérabilités DSM corrigées par Synology en septembre 2026, démontrant une attention persistante portée aux systèmes de stockage non patchés.

Pour atténuer le risque, Synology a spécifié les versions minimales de DSM requises pour assurer la sécurité sur ses branches prises en charge. Les utilisateurs de DSM 7.2.2 doivent passer à la version 7.2.2-72806-1 ou supérieure, tandis que ceux utilisant DSM 7.2.1 ont besoin de la version 7.2.1-69057-6 ou plus récente. Les branches plus anciennes ont également des cibles spécifiques : DSM 7.2 nécessite la 7.2-64570-4, DSM 7.1 exige la 7.1.1-42962-7, et les utilisateurs de DSM 6.2 doivent installer la 6.2.4-25556-8 ou ultérieure. La société recommande vivement d’activer les mises à jour automatiques pour garantir que les systèmes restent protégés contre les futures menaces.

Détails clés

• Exploitation active : Les attaquants utilisent une vulnérabilité corrigée en décembre 2024 pour compromettre les périphériques NAS Synology non mis à jour.
• Identité du malware : Le ransomware impliqué est identifié comme C3RB3R, qui ajoute « .L0CK3D » aux fichiers chiffrés.
• Tactiques d’évasion : C3RB3R ignore 27 répertoires et certaines extensions de fichiers comme BAT, DLL et EXE afin d’éviter de faire planter le système lors du chiffrement.
• Contexte historique : Qihoo 360 note que C3RB3R a précédemment exploité deux vulnérabilités DSM de haute sévérité corrigées en septembre 2026.
• Mises à jour requises : Synology liste des numéros de build spécifiques pour DSM 6.2 à 7.2.2 qui résolvent les problèmes de sécurité connus.
• Conseils du fournisseur : Synology exhorte à effectuer des mises à jour manuelles immédiates pour les versions vulnérables et recommande d’activer les mises à jour automatiques pour une protection continue.

Contexte

Les périphériques de stockage attaché au réseau (NAS) sont populaires parmi les petites entreprises et les passionnés de homelab pour stocker de grandes quantités de données localement. Cependant, comme ils sont souvent connectés à Internet pour un accès à distance, ils deviennent des cibles attrayantes pour les cybercriminels. DiskStation Manager (DSM) est le système d’exploitation qui tourne sur les périphériques NAS Synology, gérant tout, de la gestion des fichiers aux permissions utilisateur. Lorsque des vulnérabilités sont découvertes dans DSM, elles peuvent permettre aux attaquants d’exécuter du code à distance ou de contourner l’authentification, leur donnant ainsi effectivement le contrôle des données stockées.

Les groupes de ransomware comme C3RB3R ciblent spécifiquement ces périphériques car ils contiennent souvent des dossiers commerciaux critiques ou des archives personnelles que les victimes sont disposées à payer pour récupérer. En ignorant les fichiers système et certains formats exécutables, le malware garantit que le NAS reste suffisamment opérationnel pour afficher la note de rançon, augmentant la pression sur la victime pour qu’elle paie. Cette tactique contraste avec les malwares destructeurs qui pourraient rendre l’appareil totalement inutilisable, car l’objectif principal des attaquants est l’extorsion financière plutôt que la simple perturbation.

Pourquoi cela compte

Pour les équipes qui exécutent leurs propres logiciels et gèrent leur propre infrastructure, cet incident souligne l’importance critique de la gestion des correctifs pour les systèmes périphériques. Il est courant que les responsables IT se concentrent fortement sur la sécurisation des serveurs d’applications et des bases de données tout en négligeant les appliances de stockage sous-jacentes. Un NAS compromis peut entraîner une perte totale de données, perturbant les opérations bien plus gravement qu’une indisponibilité temporaire d’application. Comme beaucoup de petites et moyennes entreprises comptent sur des solutions auto-hébergées pour l’efficacité des coûts, la charge de la maintenance de la sécurité repose entièrement sur leurs équipes internes.

De plus, l’utilisation de vulnérabilités anciennes déjà corrigées suggère que de nombreux appareils ne sont pas mis à jour régulièrement. Ce retard crée une fenêtre d’opportunité pour les attaquants qui scannent Internet à la recherche de points faibles connus. Pour les ingénieurs DevOps et les administrateurs système, cela sert de rappel que la sécurité n’est pas une configuration unique mais un processus continu. Ne pas appliquer les mises à jour du micrologiciel peut rendre inefficaces même des défenses réseau robustes si la couche de stockage elle-même est compromise.

Ce que vous pouvez faire

• Vérifiez votre version de DSM : Connectez-vous à votre NAS Synology et vérifiez le numéro de build actuel par rapport aux versions sûres listées dans l’avis.
• Appliquez les mises à jour immédiatement : Si votre version est inférieure au seuil recommandé, téléchargez et installez la dernière mise à jour DSM sans délai.
• Activez les mises à jour automatiques : Configurez votre NAS pour qu’il vérifie et installe automatiquement les correctifs de sécurité afin de prévenir les futurs oublis.
• Auditez l’intégrité des sauvegardes : Assurez-vous que vos sauvegardes sont stockées sur des supports séparés, hors ligne ou immuables pour vous protéger contre le chiffrement par ransomware.
• Restreignez l’accès réseau : Limitez l’exposition en désactivant les services inutilisés et en veillant à ce que seuls les ports nécessaires soient ouverts sur Internet.
• Surveillez les anomalies : Repérez les extensions de fichiers inhabituelles ou les notes de rançon inattendues dans vos répertoires de stockage comme indicateurs précoces de compromission.