Dans cet article, nous expliquons pr\u00e9cis\u00e9ment qui est expos\u00e9 et comment prot\u00e9ger vos donn\u00e9es.<\/p>\n
Qui C3RB3R cible et comment fonctionne l\u2019attaque<\/h2>\n
Nous avons l\u2019habitude de penser qu\u2019un malware arrive sur un appareil apr\u00e8s que quelqu\u2019un a t\u00e9l\u00e9charg\u00e9 un fichier suspect ou suivi les instructions d\u2019un attaquant. Pourtant, la grande majorit\u00e9 des infections par C3RB3R se produisent sans aucune intervention de l\u2019utilisateur : il suffit \u00e0 l\u2019attaquant d\u2019atteindre un service NAS vuln\u00e9rable. Des scanners sp\u00e9cialis\u00e9s l\u2019aident probablement \u00e0 rep\u00e9rer ces appareils en recherchant automatiquement les NAS Synology et en v\u00e9rifiant leur version de DiskStation Manager (DSM).<\/p>\n
Le mois dernier, de nombreux propri\u00e9taires de NAS Synology ont commenc\u00e9 \u00e0 signaler des attaques C3RB3R. Synology a officiellement confirm\u00e9<\/a> le probl\u00e8me et indiqu\u00e9 que les attaquants exploitaient une vuln\u00e9rabilit\u00e9 corrig\u00e9e d\u00e8s d\u00e9cembre 2024. D\u2019apr\u00e8s la description, il s\u2019agit vraisemblablement de CVE-2024-10441<\/a>, une vuln\u00e9rabilit\u00e9 qui permet \u00e0 un attaquant d\u2019ex\u00e9cuter du code arbitraire dans le syst\u00e8me d\u2019exploitation du NAS sans authentification.<\/p>\n Dans le m\u00eame temps, les chercheurs de 360.cn ont indiqu\u00e9<\/a> que les attaques C3RB3R qu\u2019ils ont analys\u00e9es exploitaient \u00e9galement deux autres vuln\u00e9rabilit\u00e9s critiques, toutes deux not\u00e9es 9,8 : CVE-2026-13639<\/a> et CVE-2026-13684<\/a>. Ces failles permettent la lecture ou l\u2019\u00e9criture arbitraire de fichiers ainsi que des attaques par d\u00e9ni de service (DoS). Synology n\u2019a pas confirm\u00e9 l\u2019exploitation de ces vuln\u00e9rabilit\u00e9s dans cette campagne. L\u2019entreprise les a corrig\u00e9es dans sa mise \u00e0 jour DSM de septembre.<\/p>\n Dans tous les cas, les vuln\u00e9rabilit\u00e9s mentionn\u00e9es ci-dessus permettent de cibler un NAS \u00e0 distance. Pour qu\u2019un attaquant acc\u00e8de \u00e0 votre stockage, y d\u00e9pose un ransomware et l\u2019ex\u00e9cute, deux conditions seulement doivent \u00eatre r\u00e9unies :<\/p>\n C\u2019est tout. L\u2019attaquant n\u2019a besoin ni de votre mot de passe ni d\u2019une quelconque action de votre part. Tout propri\u00e9taire d\u2019un NAS Synology qui n\u2019a pas <\/strong>mis son syst\u00e8me \u00e0 jour \u00e0 temps<\/strong><\/a> est expos\u00e9.<\/strong><\/p>\n Si vous n\u2019avez pas install\u00e9 vous-m\u00eame de mises \u00e0 jour r\u00e9cemment et ne vous souvenez plus si les mises \u00e0 jour automatiques sont activ\u00e9es, nous vous recommandons d\u2019abord de bloquer l\u2019acc\u00e8s Internet de votre NAS, puis de mettre l\u2019appareil \u00e0 jour manuellement d\u00e8s que possible. Sinon, vous pourriez tr\u00e8s facilement rejoindre la liste des victimes.<\/p>\n Gardez \u00e0 l\u2019esprit que tant que les mises \u00e0 jour ne sont pas install\u00e9es, l\u2019appareil reste vuln\u00e9rable aux attaques provenant du r\u00e9seau local. Si votre NAS Synology est accessible \u00e0 d\u2019autres utilisateurs du LAN, par exemple s\u2019il est partag\u00e9 avec des voisins ou connect\u00e9 au r\u00e9seau d\u2019une universit\u00e9, d\u2019un bureau ou d\u2019une r\u00e9sidence \u00e9tudiante, l\u2019option la plus s\u00fbre consiste \u00e0 d\u00e9brancher le c\u00e2ble Ethernet et \u00e0 d\u00e9sactiver le Wi-Fi si votre mod\u00e8le de NAS le permet. T\u00e9l\u00e9chargez ensuite les fichiers de mise \u00e0 jour sur votre ordinateur, d\u00e9connectez celui-ci du r\u00e9seau filaire et du Wi-Fi, reliez directement le NAS \u00e0 l\u2019ordinateur \u00e0 l\u2019aide d\u2019un c\u00e2ble Ethernet, puis mettez \u00e0 jour son syst\u00e8me d\u2019exploitation et ses applications dans un environnement totalement isol\u00e9.<\/p>\n Une autre raison de mettre \u00e0 jour votre stockage en r\u00e9seau est la d\u00e9couverte r\u00e9cente de vuln\u00e9rabilit\u00e9s PHP<\/a>. Synology a d\u00e9j\u00e0 publi\u00e9 des mises \u00e0 jour urgentes pour son syst\u00e8me d\u2019exploitation ainsi que pour les applications Mail Station et Synology Calendar<\/a>.<\/p>\n Une fois que le ransomware C3RB3R s\u2019est introduit dans le stockage en r\u00e9seau, il parcourt tous les dossiers accessibles contenant des donn\u00e9es utilisateur et chiffre les fichiers qu\u2019ils renferment \u2014 photos, documents, archives, vid\u00e9os et enregistrements audio \u2014 en ajoutant l\u2019extension .L0CK3D<\/em> aux fichiers chiffr\u00e9s. Si l\u2019utilisateur tente d\u2019en ouvrir un, le syst\u00e8me indique que le fichier est endommag\u00e9 ou dans un format inconnu. Malheureusement, renommer simplement le fichier ne supprimera pas le chiffrement.<\/p>\n Aspect des fichiers apr\u00e8s leur chiffrement par C3RB3R<\/p><\/div>\n Les attaquants ont aussi la d\u00e9licatesse de laisser un fichier texte nomm\u00e9 read-me3.txt dans les dossiers contenant des fichiers chiffr\u00e9s, avec des instructions pour d\u00e9chiffrer les donn\u00e9es de votre stockage. Apparemment, il suffirait de\u2026 lancer le tr\u00e8s peu suspect navigateur Tor et de payer les attaquants pour obtenir un d\u00e9chiffreur cens\u00e9 restaurer tous vos fichiers. Inutile de pr\u00e9ciser qu\u2019il n\u2019existe aucune garantie que vous r\u00e9cup\u00e9rerez vos fichiers intacts.<\/p>\n C3RB3R laisse une note de ran\u00e7on de ce type dans chaque dossier contenant des fichiers chiffr\u00e9s. Une offre vraiment g\u00e9n\u00e9reuse : d\u00e9chiffrer gratuitement un fichier, puis payer pour tous les autres<\/p><\/div>\n La perte de la totalit\u00e9 ou de la plupart de vos fichiers n\u2019est peut-\u00eatre pas la seule cons\u00e9quence d\u00e9sagr\u00e9able. Les attaquants font souvent chanter leurs victimes en mena\u00e7ant de publier les donn\u00e9es vol\u00e9es : identifiants de comptes, photos intimes, documents professionnels et autres informations confidentielles. Si la victime refuse de payer la ran\u00e7on, les criminels menacent de rendre toutes ces donn\u00e9es publiques. Ils peuvent vous contacter par e-mail ou via les r\u00e9seaux sociaux pour formuler leurs exigences.<\/p>\n Souvent, ces menaces ne sont rien de plus qu\u2019une escroquerie. Nous avons d\u00e9crit en d\u00e9tail ces stratag\u00e8mes \u2014 et ce qu\u2019il faut faire si vous \u00eates victime de chantage \u2014 dans notre article Extorsion de fonds : comment les escrocs utilisent le chantage<\/a>. Mais si votre NAS a r\u00e9ellement \u00e9t\u00e9 chiffr\u00e9, vous ne pouvez malheureusement pas exclure un vol de donn\u00e9es.<\/p>\n Si un ransomware a d\u00e9j\u00e0 attaqu\u00e9 votre NAS, vous pouvez \u00eatre confront\u00e9 \u00e0 l\u2019une des deux situations suivantes :<\/p>\n Que faire ?<\/p>\n Le NAS doit \u00eatre totalement isol\u00e9 d\u2019Internet et du reste de votre r\u00e9seau domestique. D\u00e9branchez tous les c\u00e2bles du NAS, sauf le c\u00e2ble d\u2019alimentation<\/strong>. Si votre mod\u00e8le se connecte au r\u00e9seau local en Wi-Fi, d\u00e9sactivez \u00e9galement la connexion sans fil. Vous pouvez le faire directement sur le NAS (certains mod\u00e8les Synology disposent d\u2019un bouton Wi-Fi qui d\u00e9sactive le r\u00e9seau sans fil lorsqu\u2019on le maintient enfonc\u00e9) ou simplement d\u00e9brancher votre routeur. Cela coupe l\u2019acc\u00e8s \u00e0 distance des attaquants \u00e0 l\u2019appareil et emp\u00eache le NAS infect\u00e9 d\u2019atteindre d\u2019autres ordinateurs et p\u00e9riph\u00e9riques de stockage.<\/p>\n Si des disques USB externes sont connect\u00e9s au NAS pour augmenter sa capacit\u00e9 de stockage, d\u00e9branchez-les \u00e9galement : le ransomware ne les a peut-\u00eatre pas encore atteints.<\/p>\n Suspendez les t\u00e2ches de synchronisation et de sauvegarde associ\u00e9es au NAS sur les ordinateurs et dans les services cloud. Cela \u00e9vite que les fichiers endommag\u00e9s se propagent aux autres copies et remplacent des versions encore intactes.<\/p>\n Si vous surprenez Cerber en pleine action, votre premier r\u00e9flexe peut \u00eatre d\u2019arracher le c\u00e2ble d\u2019alimentation du NAS, mais il vaut mieux \u00e9viter : une coupure brutale peut endommager les donn\u00e9es en cours d\u2019\u00e9criture sur le disque. Il est pr\u00e9f\u00e9rable d\u2019utiliser la proc\u00e9dure d\u2019arr\u00eat normale du NAS. Gardez toutefois \u00e0 l\u2019esprit qu\u2019en l\u2019\u00e9teignant, vous perdez une possibilit\u00e9 de r\u00e9cup\u00e9rer les fichiers d\u00e9j\u00e0 chiffr\u00e9s. Avec un peu de chance, un sp\u00e9cialiste pourra extraire une cl\u00e9 de r\u00e9cup\u00e9ration<\/a> de la RAM de l\u2019appareil. Une fois l\u2019alimentation coup\u00e9e, la RAM est effac\u00e9e.<\/p>\n Si le ransomware a fini de chiffrer les fichiers de votre NAS et que vous l\u2019avez d\u00e9connect\u00e9 d\u2019Internet, essayez de vous connecter directement au NAS et d\u2019enregistrer une copie des fichiers chiffr\u00e9s ainsi que des instructions des attaquants sur un disque dur externe vide<\/strong>. Des chercheurs en cybers\u00e9curit\u00e9 pourraient publier \u00e0 l\u2019avenir un d\u00e9chiffreur C3RB3R gratuit.<\/p>\n Si vous avez \u00e9teint le NAS pendant que le chiffrement \u00e9tait en cours, ne le rallumez pas uniquement pour inspecter les processus ou copier des fichiers : le chiffrement s\u2019effectue localement et peut reprendre apr\u00e8s le red\u00e9marrage de l\u2019appareil. Dans ce cas, adressez-vous \u00e0 un sp\u00e9cialiste reconnu de la r\u00e9cup\u00e9ration de donn\u00e9es, capable de lire les disques du NAS sans d\u00e9marrer l\u2019installation DSM compromise.<\/p>\n Si, apr\u00e8s avoir suivi les \u00e9tapes pr\u00e9c\u00e9dentes, vous avez d\u00e9connect\u00e9 le NAS du r\u00e9seau, vous y \u00eates connect\u00e9 directement dans un environnement isol\u00e9 et vous avez arr\u00eat\u00e9 les processus du ransomware, vous pouvez sauvegarder les fichiers non chiffr\u00e9s que vous souhaitez r\u00e9cup\u00e9rer. Il est pr\u00e9f\u00e9rable de connecter le disque de sauvegarde \u00e0 l\u2019ordinateur directement reli\u00e9 au NAS plut\u00f4t qu\u2019au port USB du NAS : cela r\u00e9duit le risque que le ransomware red\u00e9marre et chiffre aussi ce disque.<\/p>\n Ne connectez pas au NAS infect\u00e9 un disque externe contenant une sauvegarde et ne commencez pas \u00e0 restaurer des fichiers depuis une sauvegarde vers le NAS compromis. Le ransomware pourrait s\u2019ex\u00e9cuter de nouveau et endommager le disque connect\u00e9.<\/p>\n Si vous aviez configur\u00e9 Snapshot Replication \u00e0 l\u2019avance et que les attaquants n\u2019ont pas d\u00e9truit les snapshots, vous pouvez r\u00e9cup\u00e9rer les donn\u00e9es \u00e0 partir de ceux-ci. En revanche, les restaurer sur le NAS compromis n\u2019a aucun sens. Vous aurez besoin d\u2019un disque distinct pour la sauvegarde.<\/p>\n Commencez par v\u00e9rifier que les snapshots sont toujours pr\u00e9sents. Une fois le malware arr\u00eat\u00e9, ouvrez Snapshot Replication depuis le menu principal de DSM sur le NAS en fonctionnement. S\u00e9lectionnez le dossier partag\u00e9, ouvrez Snapshot \u2192 Snapshot List, recherchez un snapshot cr\u00e9\u00e9 avant l\u2019infection, puis cliquez sur Browse pour examiner son contenu. Vous pouvez \u00e9galement copier directement les donn\u00e9es du snapshot vers un support externe sans les restaurer sur le volume infect\u00e9. Pour en savoir plus sur l\u2019utilisation de Snapshot Replication, consultez les instructions de Synology<\/a>.<\/p>\n Apr\u00e8s avoir sauvegard\u00e9 tout ce que vous pouvez \u2014 donn\u00e9es chiffr\u00e9es et non chiffr\u00e9es, ainsi que les journaux \u2014 r\u00e9tablissez les param\u00e8tres d\u2019usine du NAS avant de l\u2019utiliser \u00e0 nouveau (Factory Reset<\/em> \u2192 Erase All Data<\/em>).<\/p>\n Gardez \u00e0 l\u2019esprit que cette op\u00e9ration efface enti\u00e8rement les donn\u00e9es, applications et param\u00e8tres du stockage en r\u00e9seau. Avant la r\u00e9initialisation, v\u00e9rifiez les sauvegardes effectu\u00e9es et assurez-vous que les fichiers intacts copi\u00e9s peuvent \u00eatre ouverts, que les versions n\u00e9cessaires issues des snapshots ont \u00e9t\u00e9 sauvegard\u00e9es et que les fichiers chiffr\u00e9s, notes de ran\u00e7on, journaux et \u00e9ventuels dumps m\u00e9moire sont stock\u00e9s sur un autre support, et non sur le NAS. S\u2019il manque quelque chose, conservez les disques d\u2019origine ou des images compl\u00e8tes des disques pour un sp\u00e9cialiste de la r\u00e9cup\u00e9ration de donn\u00e9es. Si vous pouvez vous passer du NAS quelque temps, ne vous pr\u00e9cipitez pas pour l\u2019effacer : des outils de d\u00e9chiffrement gratuits peuvent appara\u00eetre plus tard.<\/p>\n Si vous utilisiez le NAS essentiellement comme un espace o\u00f9 d\u00e9poser des fichiers et qu\u2019il ne contient rien d\u2019irrempla\u00e7able, effacez compl\u00e8tement le stockage comme d\u00e9crit ci-dessus avant de le r\u00e9utiliser, puis r\u00e9installez DSM depuis une source officielle en suivant les instructions pour installer DSM sans connexion Internet<\/a>.<\/p>\n Ne restaurez pas de param\u00e8tres \u00e0 partir d\u2019une sauvegarde cr\u00e9\u00e9e apr\u00e8s l\u2019infection : elle peut contenir des modifications apport\u00e9es par les attaquants. Il vaut mieux reconfigurer le NAS de z\u00e9ro.<\/p>\n La r\u00e9installation de DSM n\u2019invalide pas les mots de passe, sessions ou autres secrets vol\u00e9s pour les services dont les identifiants ont pu \u00eatre stock\u00e9s sur votre appareil. R\u00e9fl\u00e9chissez aux services utilis\u00e9s sur votre NAS, aux paquets suppl\u00e9mentaires install\u00e9s et aux ressources auxquelles ils pouvaient acc\u00e9der. Passez en revue tous ces services, fermez les sessions suspectes, r\u00e9voquez les cl\u00e9s et jetons concern\u00e9s, changez les mots de passe et activez l\u2019authentification \u00e0 deux facteurs. Nous recommandons de stocker tous vos identifiants dans le coffre-fort s\u00e9curis\u00e9 de un gestionnaire de mots de passe<\/a>. Faites-le avant de reconnecter le stockage au r\u00e9seau.<\/p>\n Ce service vous permet de vous connecter \u00e0 votre NAS via Internet. Pour le d\u00e9sactiver dans DSM 7, ouvrez Control Panel \u2192 External Access \u2192 QuickConnect<\/em>, d\u00e9cochez Enable QuickConnect<\/em>, puis cliquez sur Apply<\/em>. Dans les versions ant\u00e9rieures, la section QuickConnect<\/em> se trouve directement dans Control Panel<\/em>.<\/p>\n Votre routeur peut \u00eatre configur\u00e9 pour rediriger les connexions entrantes provenant d\u2019Internet directement vers le NAS : c\u2019est ce qu\u2019on appelle la redirection de ports. Commencez par trouver l\u2019adresse IP locale du NAS. Dans DSM, elle est indiqu\u00e9e sous Control Panel \u2192 Network \u2192 Network Interface<\/em>.<\/p>\n Ouvrez ensuite les param\u00e8tres de votre routeur domestique. En g\u00e9n\u00e9ral, il suffit de saisir son adresse locale dans un navigateur ; l\u2019adresse exacte et les identifiants de connexion figurent souvent sur une \u00e9tiquette coll\u00e9e au routeur ou dans l\u2019application de votre fournisseur d\u2019acc\u00e8s \u00e0 Internet.<\/p>\n Dans les param\u00e8tres du routeur, recherchez une section nomm\u00e9e par exemple Port Forwarding<\/em>, Forwarding<\/em> ou Port Redirection<\/em>. Examinez les r\u00e8gles existantes. Si un champ tel que Internal IP<\/em>, Local IP<\/em>, Destination<\/em> ou Device<\/em> contient l\u2019adresse IP de votre NAS, supprimez cette r\u00e8gle.<\/p>\n V\u00e9rifiez \u00e9galement la section DMZ, DMZ Host ou Exposed Host. Si l\u2019adresse IP du NAS y figure, d\u00e9sactivez cette fonctionnalit\u00e9.<\/p>\n UPnP permet aux applications et aux appareils de demander au routeur d\u2019ouvrir automatiquement des ports. Si vous n\u2019avez pas besoin d\u2019UPnP, d\u00e9sactivez-le.<\/p>\n Gardez \u00e0 l\u2019esprit qu\u2019il s\u2019agit d\u2019un r\u00e9glage qui concerne tout le routeur : sa d\u00e9sactivation peut donc affecter d\u2019autres appareils de votre r\u00e9seau domestique. Si vous souhaitez conserver UPnP pour ces appareils, examinez au minimum les r\u00e8gles cr\u00e9\u00e9es via UPnP et assurez-vous qu\u2019aucune ne pointe vers l\u2019adresse IP du NAS. Si c\u2019est le cas, supprimez-les et, si votre routeur le permet, bloquez l\u2019ouverture automatique de ports pour le NAS.<\/p>\n Si vous utilisez IPv6, examinez aussi ses r\u00e8gles : les connexions entrantes inutiles vers le NAS doivent \u00eatre bloqu\u00e9es. D\u00e9sactivez \u00e9galement les tunnels, VPN et autres services d\u2019acc\u00e8s \u00e0 distance inutilis\u00e9s que vous auriez configur\u00e9s. Apr\u00e8s ces modifications, v\u00e9rifiez si le NAS reste accessible depuis un r\u00e9seau externe, par exemple via une connexion de donn\u00e9es mobiles.<\/p>\n Les chercheurs en cybers\u00e9curit\u00e9 publient r\u00e9guli\u00e8rement des d\u00e9chiffreurs gratuits permettant de r\u00e9cup\u00e9rer des fichiers. Gardez \u00e0 l\u2019esprit qu\u2019ils peuvent mettre longtemps \u00e0 appara\u00eetre. En attendant, ne faites pas confiance aux offres de \u00a0\u00bb chercheurs \u00a0\u00bb inconnus ni aux sites qui pr\u00e9tendent pouvoir r\u00e9cup\u00e9rer instantan\u00e9ment vos donn\u00e9es apr\u00e8s une attaque par une nouvelle souche de ransomware.<\/p>\n De nombreuses personnes utilisent des chargeurs tiers pour DiskStation Manager : des outils non officiels du projet XPenology<\/a> qui permettent d\u2019ex\u00e9cuter le syst\u00e8me d\u2019exploitation de Synology sur du mat\u00e9riel pour lequel il n\u2019a pas \u00e9t\u00e9 con\u00e7u \u00e0 l\u2019origine, comme un PC ou un serveur assembl\u00e9 sur mesure. Arc, RR (RedPill Recovery) et M-Shell en sont quelques exemples.<\/p>\n Si vous ex\u00e9cutez DSM de cette mani\u00e8re, C3RB3R peut aussi attaquer votre syst\u00e8me. Mais ne vous pr\u00e9cipitez pas pour mettre DSM \u00e0 jour : assurez-vous d\u2019abord que la nouvelle version est compatible \u00e0 la fois avec votre chargeur et votre mat\u00e9riel. Sinon, vos fichiers pourraient \u00eatre endommag\u00e9s.<\/p>\n Si vous ne pouvez pas encore installer la derni\u00e8re version du syst\u00e8me, limitez l\u2019acc\u00e8s au stockage en r\u00e9seau en d\u00e9sactivant les acc\u00e8s externes et en n\u2019autorisant les connexions depuis le r\u00e9seau local que pour les appareils qui en ont besoin. Si possible, placez le NAS sur un segment r\u00e9seau distinct. La fonctionnalit\u00e9 Smart Home Monitor<\/a> de Kaspersky Plus<\/a> etKaspersky Premium<\/a>\u00a0peut apporter une protection suppl\u00e9mentaire \u00e0 votre r\u00e9seau domestique : elle affiche tous les appareils pr\u00e9sents sur votre r\u00e9seau local et d\u00e9tecte l\u2019arriv\u00e9e de nouveaux appareils inconnus.<\/p>\n Comment stocker et prot\u00e9ger vos donn\u00e9es ? Lisez nos autres articles :<\/p>\n Le ransomware C3RB3R attaque les appareils de stockage en r\u00e9seau (NAS) Synology utilisant des syst\u00e8mes d\u2019exploitation obsol\u00e8tes et chiffre les fichiers qui y sont stock\u00e9s. Nous expliquons quels NAS sont expos\u00e9s, comment vous prot\u00e9ger contre cette attaque et que faire si vos donn\u00e9es ont d\u00e9j\u00e0 \u00e9t\u00e9 chiffr\u00e9es.<\/p>\n","protected":false},"author":2698,"featured_media":24509,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[686],"tags":[584,155,4155,353,4180,4630],"class_list":["post-24508","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-donnees-personnelles","tag-malware-2","tag-nas","tag-ransomware","tag-sauvegardes","tag-stockage-en-reseau"],"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/synology-c3rb3r-attack\/24508\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/synology-c3rb3r-attack\/31202\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/synology-c3rb3r-attack\/26233\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/synology-c3rb3r-attack\/13776\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/synology-c3rb3r-attack\/31044\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/synology-c3rb3r-attack\/29595\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/synology-c3rb3r-attack\/32578\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/synology-c3rb3r-attack\/31116\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/synology-c3rb3r-attack\/42962\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/synology-c3rb3r-attack\/15025\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/synology-c3rb3r-attack\/56663\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/synology-c3rb3r-attack\/25429\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/synology-c3rb3r-attack\/36945\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/synology-c3rb3r-attack\/36613\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/ransomware\/","name":"ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24508","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=24508"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24508\/revisions"}],"predecessor-version":[{"id":24514,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24508\/revisions\/24514"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/24509"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=24508"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=24508"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=24508"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Que deviennent les fichiers apr\u00e8s l\u2019infection ?<\/h2>\n
![\"Le](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2026\/11\/10143832\/synology-c3rb3r-attack-01.png\" "\\"Le")
<\/a>![\"Le](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2026\/11\/10144003\/synology-c3rb3r-attack-02.png\" "\\"Le")
<\/a>Que faire si un ransomware a d\u00e9j\u00e0 infect\u00e9 votre NAS Synology<\/h2>\n
\n
1. D\u00e9connectez imm\u00e9diatement le NAS de tous les r\u00e9seaux (mais ne l\u2019\u00e9teignez pas)<\/h3>\n
2. D\u00e9cidez s\u2019il faut \u00e9teindre le NAS<\/h3>\n
\n
sudo ps -ef<\/code>), identifiez le processus du ransomware, d\u00e9terminez son PID (identifiant de processus), puis suspendez le chiffrement sans terminer le processus (sudo kill -STOP PID<\/code>, o\u00f9 PID correspond \u00e0 l\u2019identifiant du processus du ransomware). V\u00e9rifiez ensuite que tous les threads du processus sont arr\u00eat\u00e9s (\u00e9tat T<\/code>) et suivez les instructions de sauvetage C3RB3R \/ .L0CK3D<\/a> pour enregistrer un dump m\u00e9moire. Si vous ne parvenez pas \u00e0 arr\u00eater le chiffrement, \u00e9teignez le NAS<\/strong>.<\/li>\n3. Conservez les fichiers chiffr\u00e9s et la note de ran\u00e7on<\/h3>\n
4. Ne restaurez pas de fichiers et ne connectez pas de disques contenant des sauvegardes tant que le ransomware n\u2019a pas \u00e9t\u00e9 supprim\u00e9<\/h3>\n
5. Une fois l\u2019attaque stopp\u00e9e, v\u00e9rifiez vos snapshots dans Snapshot Replication<\/h3>\n
6. Effacez le NAS compromis et r\u00e9installez DSM<\/h3>\n
7. V\u00e9rifiez les comptes potentiellement compromis<\/h3>\n
8. Avant de reconnecter le NAS au r\u00e9seau, d\u00e9sactivez les acc\u00e8s distants inutiles<\/h3>\n
D\u00e9sactivez QuickConnect<\/h4>\n
V\u00e9rifiez si le NAS est expos\u00e9 \u00e0 Internet via votre routeur<\/h4>\n
D\u00e9sactivez l\u2019ouverture automatique des ports via UPnP<\/h4>\n
V\u00e9rifications suppl\u00e9mentaires<\/h4>\n
9. Continuez \u00e0 rechercher un d\u00e9chiffreur gratuit<\/h3>\n
Que doivent faire les propri\u00e9taires de NAS assembl\u00e9s eux-m\u00eames ?<\/h2>\n
Comment prot\u00e9ger \u00e0 la fois votre NAS et vos donn\u00e9es personnelles<\/h2>\n
\n
\n