Une campagne de ransomware appelée C3RB3R cible les appareils de stockage en réseau (NAS) Synology, et le schéma est familier : les appareils fonctionnant avec un système d'exploitation obsolète sont ceux dont les fichiers sont chiffrés. Si vous conservez des photos de famille, des documents professionnels ou des sauvegardes sur un boîtier Synology, la protection contre le ransomware C3RB3R sur NAS Synology se résume à une courte liste d'habitudes que vous pouvez adopter dès aujourd'hui.
Cet article explique comment l'attaque fonctionne, comment distinguer un incident réel d'un bluff, et ce qu'il faut faire.
Comment fonctionne l'attaque C3RB3R contre les NAS Synology
Selon le rapport de Kaspersky, le ransomware C3RB3R attaque les appareils NAS Synology qui exécutent des systèmes d'exploitation obsolètes et chiffre les fichiers qui y sont stockés. Certains articles communautaires et de sécurité désignent la même activité sous les noms LOCK3D ou L0CK3D, il est donc possible que vous rencontriez plusieurs orthographes lors de vos recherches.
Un NAS est une cible attrayante pour une raison simple : c'est là que les gens concentrent leurs données. Les documents, les photos, les dossiers de projet partagés et souvent les sauvegardes se trouvent tous au même endroit, et l'appareil est fréquemment accessible depuis internet pour l'accès à distance. Lorsque le logiciel de cet appareil prend du retard en matière de mises à jour, les attaquants disposent de plus de marge de manœuvre.
La pression ne s'arrête pas au chiffrement. Si la victime refuse de payer, les criminels menacent de rendre publiques les données volées. Ils peuvent contacter les victimes par e-mail ou via les réseaux sociaux avec ces exigences.
Chiffrement réel ou arnaque à l'extorsion : comment faire la différence
Tous les messages menaçants ne signifient pas que vous avez été piraté. Kaspersky note que ces menaces ne sont souvent rien de plus qu'une arnaque, un schéma qu'il a traité séparément dans son article sur la façon dont les escrocs utilisent l'e-mail pour le chantage et l'extorsion. Les demandes envoyées en masse prétendant détenir vos données sont courantes, et beaucoup sont des bluffes envoyés à des milliers de personnes sans accès réel.
Le NAS lui-même constitue la meilleure preuve. Quelques vérifications pratiques :
- Examinez vos fichiers. Si des documents sont inaccessibles, renommés ou accompagnés d'une note de rançon sur l'appareil, vous avez probablement affaire à un véritable événement de chiffrement. Si tout s'ouvre normalement, un e-mail seul est probablement une menace en l'air.
- Vérifiez l'appareil, pas le message. Connectez-vous directement à l'interface DSM (pas via un lien dans un e-mail) et examinez ce qui se passe sur le système.
- Soyez honnête sur le risque. Kaspersky est clair : si votre NAS a réellement été chiffré, vous ne pouvez pas exclure un vol de données. Traitez un véritable incident de chiffrement comme une exposition potentielle des données, et pas seulement comme un problème de disponibilité.
La distinction est importante car la bonne réponse diffère. Un bluff appelle à ignorer et signaler le message. Une infection véritable appelle au confinement et à la restauration.
Que faire si votre NAS est chiffré
Si les fichiers de votre appareil sont réellement verrouillés, agissez calmement et dans l'ordre.
- Déconnectez le NAS du réseau. Cela aide à arrêter les dégâts supplémentaires et coupe tout accès à distance que les attaquants pourraient encore avoir.
- Ne comptez pas sur les promesses des criminels. Payer ne garantit pas que vos fichiers seront récupérés, et cela n'annule pas un vol déjà survenu.
- Partez du principe que les données ont pu être copiées. Réfléchissez à ce qui était stocké là : documents personnels, informations clients, identifiants. Changez les mots de passe des comptes dont les détails ont pu être conservés sur l'appareil, et demandez-vous qui pourrait devoir être informé si les données appartiennent à des clients ou des collègues.
- Restaurez à partir d'une sauvegarde saine. C'est là que les sauvegardes hors ligne ou séparées prouvent leur valeur. Avant de reconnecter quoi que ce soit, mettez à jour le logiciel du NAS pour ne pas restaurer sur la même faiblesse.
- Demandez une aide professionnelle si les données sont critiques pour l'entreprise. Un intervenant en réponse aux incidents peut aider à déterminer ce qui a été consulté.
Liste de vérification pour le durcissement du NAS : mises à jour, services exposés, sauvegardes, contrôles d'accès
Les recommandations de Synology lui-même, telles que reflétées dans les sources examinant cette campagne, pointent vers un ensemble cohérent de correctifs. Aucun ne nécessite d'expertise particulière.
Mettez tout à jour. Mettez à jour DSM, le système d'exploitation du NAS, et vos paquets installés. Synology a exhorté les utilisateurs exécutant des versions vulnérables à mettre à jour immédiatement. Activez les mises à jour automatiques lorsque c'est possible, et vérifiez l'appareil occasionnellement même dans ce cas.
Fermez ce dont vous n'avez pas besoin. N'ouvrez que les services que vous utilisez réellement. Chaque port exposé ou fonctionnalité d'accès à distance est une porte que quelqu'un peut essayer. Si vous n'avez pas besoin d'accéder au NAS depuis l'extérieur de votre domicile ou de votre bureau, désactivez l'accès direct à internet.
Verrouillez les connexions. Assurez-vous que le blocage automatique, la protection des comptes et l'authentification multifacteur sont activés. Utilisez des mots de passe uniques et longs pour les comptes administrateurs, et évitez de laisser des identifiants par défaut ou partagés en place.
Lancez les vérifications intégrées. Synology Security Advisor peut analyser régulièrement l'appareil pour détecter les vulnérabilités et les paramètres faibles. Cela prend quelques minutes et permet de détecter le type de dérive qui s'accumule avec le temps.
Conservez des sauvegardes que le ransomware ne peut pas atteindre. Une sauvegarde qui se trouve sur le même NAS, ou sur un partage sur lequel le NAS peut toujours écrire, peut être chiffrée avec tout le reste. Conservez au moins une copie hors ligne ou autrement séparée, et testez que vous pouvez restaurer à partir de celle-ci.
Ce que cela signifie pour vous
Si vous possédez un NAS Synology, la question clé est de savoir s'il est à jour et à quel point il est exposé. Un logiciel obsolète combiné à un accès orienté internet est la combinaison sur laquelle cette campagne est construite. Si vous n'utilisez pas de NAS mais recevez un e-mail affirmant que quelqu'un détient vos fichiers, rappelez-vous que ces messages sont fréquemment des arnaques et que la première étape consiste à vérifier si quelque chose s'est réellement produit.
Pour les petits bureaux, un NAS contient souvent des données concernant d'autres personnes, ce qui augmente les enjeux si un vol est possible. Mettre à jour et limiter l'accès coûte moins cher que n'importe quelle récupération.
Points clés à retenir
- Mettez à jour DSM et tous les paquets installés aujourd'hui, et activez les mises à jour automatiques.
- Fermez les ports et services d'accès à distance que vous n'utilisez pas.
- Activez le blocage automatique, la protection des comptes et l'authentification multifacteur.
- Lancez Synology Security Advisor et corrigez ce qu'il signale.
- Conservez une sauvegarde hors ligne et testez une restauration.
- Si un message de chantage arrive, vérifiez d'abord vos fichiers avant de réagir.
Auditer votre configuration dès maintenant est la protection la plus efficace contre le ransomware C3RB3R sur NAS Synology que vous puissiez mettre en place, et cela prend bien moins de temps que de récupérer après une attaque.
