Synology alerte : le ransomware C3RB3R cible des NAS obsolètes

Des attaquants chiffrent les données de périphériques de stockage en réseau (NAS) Synology et réclament une rançon, ce qui pousse le fabricant à exhorter ses clients à mettre à jour immédiatement. BleepingComputer a rapporté le 2 novembre que Synology avait identifié des attaquants exploitant une vulnérabilité corrigée en décembre 2024 pour viser des installations obsolètes de DiskStation Manager (DSM).

L'alerte concerne les propriétaires de NAS qui utilisent des versions vulnérables de DSM. Shadowserver recense plus de 380 000 équipements NAS Synology exposés sur Internet. Ce chiffre ne distingue cependant ni les systèmes corrigés ni les pots de miel, et il ne correspond pas au nombre d'appareils vulnérables ni de victimes.

Une vulnérabilité plus ancienne, suivie du chiffrement

L'avis de Synology, publié la semaine précédente, faisait suite à une vague de signalements de clients décrivant des fichiers chiffrés et des demandes de rançon de plusieurs milliers de dollars via un portail du dark web. Les premiers signalements sont apparus plus de deux semaines avant l'article de BleepingComputer.

Synology a indiqué que les attaques exploitent une vulnérabilité déjà corrigée, sans toutefois avoir identifié la faille précise utilisée. Son avertissement renvoyait vers un avis de novembre 2024 couvrant des vulnérabilités permettant l'exécution de code arbitraire (CVE-2024-10441), la lecture de fichiers (CVE-2024-50629) et l'écriture de fichiers (CVE-2024-10445) sur des appareils non corrigés. Le rapport ne permet pas de déterminer laquelle de ces vulnérabilités donne accès lors des attaques actuelles.

Les utilisateurs touchés ont signalé que le ransomware ajoute l'extension .L0CK3D aux fichiers chiffrés et laisse une note de rançon nommée read-me3.txt. Ces noms de fichiers constituent des indices concrets pour les administrateurs qui enquêtent sur des infections suspectées.

La note invite les victimes à acheter un outil appelé « C3rb3r Decryptor » via un portail du dark web. Elle propose également de déchiffrer gratuitement un fichier à titre de démonstration et affirme que toute tentative de récupération des fichiers avec un logiciel tiers les endommagera. Ces affirmations émanent des attaquants.

Les cibles précédentes de C3RB3R

Connu aussi sous les noms de Cerber et CerberImposter, ce ransomware a été repéré pour la première fois en décembre 2021. Il a déjà été déployé contre des serveurs Atlassian Confluence et GitLab, lors de vagues d'attaques exploitant des vulnérabilités d'exécution de code à distance (CVE-2021-26084 et CVE-2021-22205) ainsi qu'une vulnérabilité de contournement d'authentification (CVE-2023-22518).

C3RB3R a emprunté son nom à l'ancienne opération de ransomware-as-a-service Cerber, apparue en 2016 et disparue fin 2019. BleepingComputer décrivait cette opération comme responsable de plus de 80 % des attaques par ransomware et d'un quart des infections par ransomware sur les terminaux d'entreprise.

Synology émet rarement des alertes sur des attaques visant ses clients. Sa précédente alerte de ce type, en août 2019, portait sur des attaques par force brute à grande échelle ayant conduit à des infections par le ransomware eCh0raix.

Mises à jour et restrictions d'accès à Internet

Synology exhorte les utilisateurs de versions vulnérables à mettre à jour DSM immédiatement et à activer les mises à jour automatiques. BleepingComputer conseille aussi aux propriétaires de bloquer l'accès à Internet à l'interface web d'administration.

Le rapport indique les versions corrigées suivantes pour chaque branche DSM :

L'avis lié classe ces problèmes comme critiques pour les branches DSM 7.x listées et comme modérés pour DSM 6.2. Les propriétaires doivent installer la dernière version de DSM disponible pour leurs appareils et activer les mises à jour automatiques, comme le recommande Synology.