Sur son serveur domestique, les fichiers familiers ont laissé place à des extensions inconnues et à des demandes de rançon. Dans un témoignage publié le 28 octobre sur Reddit, le propriétaire d’un Synology DS918+ raconte avoir découvert une infection par le rançongiciel C3RB3R. Son NAS utilisait encore une version de DSM antérieure à un correctif critique disponible depuis novembre 2024.
Il éteint le NAS et examine les disques à part
L’utilisateur, qui publie sous le pseudonyme NakamuraHwang, décrit des fichiers portant l’extension .L0CK3D et des notes de rançon nommées read-me3.txt. Il a éteint le NAS, puis branché les disques à une autre machine pour les examiner en lecture seule. Une partie des données restait lisible au moment de son récit.
Son témoignage original précise que l’interface d’administration était accessible depuis Internet. Le système installé était DSM 7.2.1-69057 Update 5. La date exacte de l’intrusion n’est pas donnée : le 28 octobre est celle du signalement public, pas une heure d’attaque établie.
Un correctif existait depuis le 12 novembre 2024
Le bulletin officiel Synology SA-24:20 permet de vérifier le retard logiciel. Dans la branche DSM 7.2.1, la correction de CVE-2024-10441 commence avec la version 7.2.1-69057-6, autrement dit Update 6. L’historique du bulletin indique sa disponibilité le 12 novembre 2024, près de deux ans avant ce témoignage.
La vulnérabilité est classée critique, avec un score de 9,8 sur 10. Elle permet à un attaquant distant d’exécuter du code. Les journaux conservés par le propriétaire lui font soupçonner cette faille, mais Synology n’a pas confirmé qu’elle a servi dans son cas. Le NAS était bien en retard sur ce correctif ; attribuer l’intrusion à cette faille précise reste, à ce stade, l’analyse de son propriétaire.
Ses copies existent, leur restauration reste à vérifier
Le propriétaire indique avoir organisé ses copies selon le principe 3-2-1. Il doit encore contrôler leur état et choisir un point de restauration sain. Son bilan reste ouvert : il ne dit ni avoir tout récupéré ni avoir tout perdu.
Trois copies ne remplacent pas un essai de restauration
La règle 3-2-1 consiste à conserver trois copies des données sur deux types de supports, dont une hors site. Le document de Synology consacré à cette stratégie en rappelle la répartition. Son intérêt est d’éviter qu’un seul incident emporte toutes les copies.
Posséder des copies est une chose ; réussir à en extraire les bons fichiers en est une autre. Le choix du point de restauration compte après une intrusion : recopier la version la plus récente ne suffit pas si elle contient déjà les dégâts. Dans ses recommandations contre les rançongiciels, Synology présente aussi des copies isolées ou immuables pour empêcher leur modification.
Le NAS a lui aussi besoin de correctifs
Pour un propriétaire de NAS, ce récit invite à vérifier deux choses séparément : la version du système qui reste exposé au réseau et la possibilité de restaurer les documents depuis une copie indépendante. Un appareil de sauvegarde possède lui aussi un système d’exploitation, des services et des correctifs.
Les copies préparent la récupération ; les mises à jour réduisent les portes d’entrée connues. Ce sont deux protections complémentaires. Le propriétaire doit maintenant mener deux chantiers à la fois : comprendre comment son NAS a été atteint et retrouver une version saine de ses fichiers.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
