Quel est le principal symptôme du ransomware L0CK3D sur un NAS Synology ?

Le principal symptôme rapporté est la modification des extensions de fichiers, où les documents, photos et sauvegardes portent un suffixe inconnu et ne s'ouvrent plus dans leurs applications habituelles.

Que dois-je faire en premier si je soupçonne que mon NAS Synology est infecté ?

Déconnectez le NAS du réseau en débranchant le câble Ethernet et en désactivant le Wi-Fi le cas échéant, ce qui arrête le chiffrement en cours et coupe l'accès à distance.

Dois-je éteindre mon NAS immédiatement s'il est infecté ?

Évitez une coupure d'alimentation brutale si possible, car un arrêt propre peut préserver des journaux utiles, même si arrêter la propagation est la priorité.

Comment puis-je écarter les causes non liées à un ransomware avant de supposer une infection ?

Écartez les causes simples telles qu'un disque défaillant, un changement de permissions ou un client de synchronisation qui a mal tourné, mais si plusieurs dossiers partagés présentent des extensions altérées en même temps, traitez-le comme une infection jusqu'à preuve du contraire.

Quels facteurs d'exposition dois-je vérifier après une infection suspectée ?

Examinez si le NAS était accessible depuis internet via la redirection de ports, des fonctionnalités d'accès à distance ou un panneau d'administration web, et vérifiez la présence d'un firmware DSM obsolète, de mots de passe faibles ou réutilisés, et de comptes par défaut actifs ou de services inutiles.

NAS Synology touché par le ransomware L0CK3D : étapes de récupération

Des rapports font état du ransomware L0CK3D chiffrant des appareils NAS Synology, les victimes remarquant que leurs extensions de fichiers ont été altérées. L'article source, un guide du blog SheMo Noransom, décrit l'activité comme étant à grande échelle et propose des conseils d'intervention d'urgence. L'extrait dont nous disposons est court, donc cet article ne prétend pas donner de détails sur la méthode d'intrusion des attaquants, le nombre d'appareils affectés ou la nature des demandes de rançon. Ce que nous pouvons faire, c'est présenter une liste de vérification raisonnable pour la récupération après une attaque de ransomware L0CK3D sur NAS Synology, fondée sur les symptômes décrits et les pratiques standard en réponse aux incidents.

Comment savoir si L0CK3D a touché votre NAS Synology

Le principal symptôme rapporté est la modification des extensions de fichiers. Les documents, photos et sauvegardes qui s'ouvraient normalement portent désormais un suffixe inconnu et ne s'ouvrent plus dans leurs applications habituelles. D'autres signes communément associés aux ransomwares sur un NAS incluent :

Des fichiers qui soudainement ne peuvent plus être prévisualisés ou ouverts depuis File Station ou un lecteur mappé
Une nouvelle note texte ou HTML apparaissant dans les dossiers partagés
Une activité disque ou CPU anormalement élevée sans explication
Des partages qui semblent corrects sur le NAS mais défaillants depuis vos ordinateurs, ou l'inverse

Avant de supposer le pire, écartez les causes simples telles qu'un disque défaillant, un changement de permissions ou un client de synchronisation qui a mal tourné. Si plusieurs dossiers partagés présentent les extensions altérées en même temps, traitez-le comme une infection jusqu'à preuve du contraire.

Premières étapes : isoler l'appareil et vérifier l'exposition

La rapidité compte, mais ne pas aggraver la situation aussi. Un ordre d'opérations calme aide.

1. Déconnectez le NAS du réseau. Débranchez le câble Ethernet et désactivez le Wi-Fi le cas échéant. Cela arrête le chiffrement des partages connectés et coupe tout accès à distance. Évitez une coupure d'alimentation brutale si possible ; un arrêt propre peut préserver des journaux utiles, même si votre priorité est d'arrêter la propagation.

2. Vérifiez vos autres appareils. Si un PC ou un ordinateur portable avait le NAS monté comme lecteur, cette machine pourrait être la source, ou pourrait être la suivante. Déconnectez-la et analysez-la avant de reconnecter quoi que ce soit.

3. Documentez ce que vous voyez. Photographiez l'écran, notez l'extension de fichier et sauvegardez toute note de rançon. Cela aide pour l'analyse ultérieure, les réclamations d'assurance ou les signalements aux autorités.

4. Examinez comment l'appareil était exposé. Demandez-vous si le NAS était accessible depuis internet via la redirection de ports, des fonctionnalités d'accès à distance ou un panneau d'administration web. Vérifiez si vous utilisiez un firmware DSM obsolète, si les comptes administrateur utilisaient des mots de passe faibles ou réutilisés, et si des comptes par défaut ou des services inutiles étaient encore actifs. Le matériel source ne précise pas la méthode d'entrée, vous devez donc supposer que chacun de ces points pourrait être pertinent et les vérifier un par un.

5. Changez les identifiants. Depuis un appareil propre, réinitialisez les mots de passe du compte administrateur du NAS, de tout compte partagé et de tout autre élément stocké sur le NAS ou accessible depuis celui-ci.

Options de récupération et pourquoi payer est un mauvais pari

La récupération la plus propre se fait à partir d'une sauvegarde que l'attaquant n'a pas pu atteindre. Vérifiez si vous avez une copie sur un disque externe déconnecté, un NAS séparé ou une sauvegarde cloud avec historique de versions. Avant de restaurer, effacez et reconstruisez le NAS avec un firmware à jour pour ne pas restaurer dans un système compromis. Si vos sauvegardes étaient également sur le même appareil ou sur un partage monté, elles peuvent aussi être chiffrées, c'est pourquoi la conception de votre sauvegarde compte. Notre article sur pourquoi les sauvegardes immuables sont quand même touchées par les ransomwares explique où même les configurations bien intentionnées échouent.

Si vous n'avez pas de sauvegarde propre, vos options se réduisent :

Cherchez des instantanés. Si les instantanés Btrfs étaient activés et n'ont pas été supprimés, vous pourriez peut-être revenir en arrière. Vérifiez cela avant de faire quoi que ce soit d'autre sur le volume.
Vérifiez s'il existe un déchiffreur public. Des outils gratuits apparaissent parfois pour des familles de ransomwares spécifiques. Vérifiez tout outil auprès d'une source réputée avant de l'exécuter, et travaillez sur des copies des données.
Envisagez une aide professionnelle. Une entreprise réputée de réponse aux incidents ou de récupération de données peut évaluer si la récupération est faisable.

Quant à payer, c'est un mauvais pari. Il n'y a aucune garantie de recevoir un déchiffreur fonctionnel, et le paiement vous marque comme une cible consentante. Les recherches citées dans notre couverture de la façon dont 64 % des victimes de ransomwares refusent désormais de payer suggèrent que le refus est de plus en plus la norme. Pour une vue plus large de la façon dont les groupes criminels s'adaptent, consultez l'analyse de Group-IB sur l'évolution du modèle économique des ransomwares.

Renforcer votre NAS pour qu'il ne soit pas joignable la prochaine fois

La plupart des compromissions de NAS se résument à l'exposition et à la négligence. Quelques changements ferment bon nombre des portes courantes :

Retirez-le de l'internet public. Supprimez les redirections de ports et désactivez toute fonctionnalité d'accès à distance dont vous n'avez pas vraiment besoin. Si vous avez besoin d'un accès à distance, utilisez un VPN vers votre réseau domestique ou professionnel plutôt que d'exposer le NAS directement.
Maintenez DSM et les paquets à jour. Activez les mises à jour de sécurité automatiques lorsque c'est possible, et supprimez les applications que vous n'utilisez plus.
Verrouillez les comptes. Désactivez le compte administrateur par défaut, utilisez des mots de passe longs et uniques, et activez l'authentification à deux facteurs.
Utilisez le Conseiller de sécurité intégré. Il peut signaler les mots de passe faibles et les paramètres risqués.
Activez le blocage automatique et restreignez l'accès par IP lorsque cela convient à votre configuration.
Activez les instantanés et maintenez-les selon un calendrier raisonnable.
Suivez l'approche 3-2-1. Conservez trois copies des données, sur deux types de supports, avec une hors ligne ou autrement hors de portée.

Ce que cela signifie pour vous

Si vous utilisez un NAS Synology à la maison ou dans une petite entreprise, considérez ces rapports comme une invitation à vérifier votre configuration, pas comme une raison de paniquer. Les détails de la campagne L0CK3D sont minces dans la source dont nous disposons, alors évitez d'agir sur des rumeurs concernant des exploits spécifiques. Concentrez-vous sur ce que vous contrôlez : si votre NAS est exposé, s'il est corrigé, et si vous avez une sauvegarde que l'attaquant ne peut pas atteindre. Si vous êtes déjà affecté, isolez d'abord l'appareil, puis procédez à la récupération sans envoyer d'argent aux criminels.

Points clés à retenir

La récupération après un ransomware L0CK3D sur NAS Synology est bien plus facile lorsque vous vous préparez avant une attaque. Aujourd'hui, connectez-vous à votre NAS et examinez ce qui est exposé à internet, confirmez que votre firmware est à jour, et testez que vous pouvez réellement restaurer un fichier depuis une sauvegarde. Ensuite, renseignez-vous sur les sauvegardes immuables et la tendance des victimes à refuser de payer pour élaborer un plan que vous n'aurez pas à improviser sous pression.