NAS Synology chiffré par C3RB3R : ce que j'ai mesuré sur place

NAS Synology chiffré : comment reconnaître C3RB3R

Les signes vus sur place :

• une extension .L0CK3D, avec un zéro à la place du O (certains signalements écrivent .LOCK3D) ;
• une note read-me3.txt, qui renvoie vers un site Tor ;
• un NAS qui s'active à une heure anormale, puis qui ne répond plus.

Un NAS qui ne répond plus ressemble à une panne, et une panne se répare en réinstallant. Sur un NAS chiffré, ce réflexe coûte cher : on y reviendra.

Ce qu'on sait de la vague

Les signalements remontent à début octobre 2026. Le bulletin de l'éditeur chinois 360, repris par IT-Connect, attribue ces attaques à C3RB3R, une variante de Cerber : fichiers chiffrés en ChaCha8, clés protégées par RSA-2048.

Sur la porte d'entrée, les sources ne disent pas la même chose :

• 360 pointe deux failles critiques de DSM, CVE-2026-13639 et CVE-2026-13684, corrigées le 18 septembre (avis Synology-SA-26:13).
• Synology alerte sur une faille corrigée en décembre 2024, sur les DSM restés en retard. IT-Connect rapproche cette alerte de CVE-2024-10441 (avis SA-24:20).
• Une équipe de réponse à incident, citée par TrebSec, signale une victime déjà en DSM 7.4.1. Elle n'exclut ni une faille inconnue, ni l'abus de paquets, de conteneurs ou d'identifiants.

Une mise à jour reste donc la priorité. Elle ne suffit pas à clore le sujet.

Ce que j'ai mesuré sur trois fichiers

Ce que les brèves ne disent pas : le chiffrement est partiel, au moins sur ce que j'ai testé. J'ai analysé trois fichiers chiffrés, une vidéo et deux photos, à partir des seuls fichiers et sans clé.

Sur la vidéo, trois tranches d'environ 1 Mo sont chiffrées : au début, au milieu, à la fin. Le reste est intact. Sur les photos, c'est le premier Mo.

Le fichier le plus lourd s'en sort le mieux. Une photo garde au début de quoi la décoder. Sans ce début, on peut au mieux espérer le bas de l'image. Une photo de moins de 1 Mo est sans doute chiffrée en entier.

Trois fichiers ne font pas une statistique. Je ne promets rien à l'échelle d'un NAS, et une récupération de ce type reste longue et sans garantie.

Les photos se cherchent d'abord ailleurs : téléphones, comptes en ligne, proches, anciens disques, dossiers synchronisés sur les ordinateurs. Pensez aussi à couper la sauvegarde automatique du téléphone vers le NAS. Sur ce dossier, des copies sont réapparues sur les téléphones, au moins en partie.

Ce que l'intervention n'établit pas

Un rapport qui explique tout m'inquiète plus qu'un rapport avec des trous. Voici les miens.

• La porte d'entrée exacte. Mon explication la plus probable : un NAS joignable depuis Internet, sous un DSM de mai 2023. Ce n'est pas une preuve. Les journaux système ont été remplacés à la réinstallation, et ceux restés sur le volume n'ont pas été examinés. Ils disparaîtront à l'effacement.
• Le vol de données. Je ne peux pas dire si des fichiers ont été copiés avant le chiffrement. Sur un NAS chiffré, vos documents sensibles sont à considérer comme ayant pu être lus.
• Un chiffrement lancé depuis le NAS lui-même. Des fichiers réservés à l'administrateur système sont chiffrés. Cela désigne un programme qui a tourné sur le NAS avec ces droits, plutôt qu'un ordinateur relié au partage. C'est une déduction, pas un constat direct.
• Des ordinateurs sains. Je n'ai rien trouvé dans ce que j'ai pu lire sur les machines du foyer, mais ce contrôle était partiel. « Rien trouvé » ne veut pas dire « rien ».

Pour moi, la première erreur est chez Synology

Tout le monde dira au propriétaire de mettre à jour. Il m'a dit avoir activé la mise à jour automatique. Le jour de l'attaque, son NAS tournait pourtant sous DSM 7.2 de mai 2023.

Ce que dit la documentation de Synology :

• l'option que Synology conseille installe les mises à jour « importantes », celles qu'il étiquette comme corrigeant des problèmes de sécurité critiques ;
• même l'option « dernières mises à jour » reste dans votre version actuelle : elle ne fait pas passer à une nouvelle version majeure ;
• une mise à jour majeure attend qu'un humain clique.

Ce que je ne sais pas expliquer : le correctif critique de l'avis SA-24:20 existait pour cette branche (7.2-64570-4), et ce NAS ne l'avait pas. Soit l'option n'était pas active, soit elle n'a rien installé. DSM ayant été réinstallé, je ne peux pas trancher. Dans les deux cas, le propriétaire n'a rien vu.

L'avis de septembre 2026 cite ensuite les branches 7.2.1 et suivantes, pas la 7.2 d'origine. Une branche sort des avis, et rien ne fait passer le NAS à la suivante tout seul.

Mon avis, lui, est tranché : pour un appareil grand public qui reste allumé sur Internet pendant des années, le correctif de sécurité ne devrait dépendre ni d'une case, ni d'un clic. Et un réglage dont l'échec ne se voit pas laisse croire à son propriétaire que le sujet est réglé.

Seul le numéro de version affiché fait foi. Allez le lire.

Deux autres fausses sécurités

Le VPN. Le NAS avait un accès VPN propre, et quatre redirections de ports restaient actives sur la box, dont une règle nommée pour l'administration du NAS. Ajouter une bonne porte ne ferme pas les anciennes. Les redirections se vérifient une par une dans la box, la DMZ et l'UPnP se coupent.

Le NAS comme sauvegarde. Le RAID était intact. Il a fidèlement réparti les fichiers chiffrés sur tous les disques. Le volume était en ext4, sans aucun instantané. Une sauvegarde toujours branchée se fait chiffrer avec le reste.

Si ça vient de vous arriver : l'ordre des gestes

1. Débranchez le câble réseau du NAS, sans l'éteindre. Il ne peut plus être piloté à distance, et ce qui est en mémoire reste exploitable. S'il travaille encore et que des fichiers changent d'extension, appelez tout de suite : couper ne l'arrête pas forcément, et c'est un arbitrage.
2. Ne réinstallez pas DSM et ne réinitialisez rien. Si c'est déjà fait : parfois, c'est la seule façon de retrouver l'accès. Arrêtez là.
3. Ne supprimez, ne déplacez et ne renommez aucun fichier .L0CK3D. Gardez la note. Une récupération part de ces fichiers.
4. Arrêtez les synchronisations sur chaque ordinateur. Une synchronisation peut remplacer une copie saine par sa version chiffrée.
5. Ne payez pas et n'ouvrez pas la page indiquée dans la note. Rien ne prouve que le logiciel vendu fonctionne.
6. Méfiez-vous des sociétés qui promettent de déchiffrer. Certaines paient simplement la rançon.
7. Portez plainte avant tout effacement, avec la note de rançon. 17Cyber vous oriente. Prévenez votre assureur et demandez à chacun s'il veut le NAS en l'état.
8. Vérifiez la box et changez les mots de passe avant de rebrancher quoi que ce soit. Redirections, DMZ et UPnP coupés.
9. Copiez ce qui doit l'être, par câble direct entre un PC et le NAS, jamais par la box. Toujours Copier, jamais Déplacer, vers des disques qui ne servent à rien d'autre. Pensez aux journaux restés sur le volume.
10. Effacez le NAS et réinstallez une version à jour de DSM. Après l'effacement, le volume d'origine n'existe plus, et la récupération avec lui.
11. Contrôlez les ordinateurs avant qu'ils retrouvent le NAS, et sauvegardez leurs dossiers synchronisés : une synchronisation face à un NAS vide peut supprimer les copies locales.
12. Ne remettez que des fichiers sains. Jamais de .L0CK3D sur le NAS remis à neuf.

Si vous n'êtes pas touché : maintenant

• Regardez le numéro de DSM dans Panneau de configuration, Mise à jour et restauration. Selon Synology, il faut au moins 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12. Vérifiez aussi que votre modèle est encore suivi.
• Choisissez l'installation automatique des dernières mises à jour, plutôt que les seules « importantes ». Puis revenez voir chaque trimestre : les versions majeures ne s'installent pas seules.
• Mettez à jour les paquets et retirez ceux qui ne servent pas. Les avis de sécurité ne concernent pas que DSM.
• Aucune redirection de ports vers le NAS. Accès distant par VPN uniquement. DMZ et UPnP coupés, QuickConnect désactivé.
• Comptes : pas de compte admin, double authentification sur tous les administrateurs, mot de passe utilisé nulle part ailleurs, blocage automatique activé.
• Volume en Btrfs et instantanés avec Snapshot Replication, en version immuable si DSM la propose. Sur ext4, pas d'instantanés : il faut recréer le volume, ce qui efface tout. Sauvegarde complète et testée d'abord.
• Une sauvegarde débranchée. Disque USB distinct, déconnecté entre deux sauvegardes. Règle 3-2-1 : 3 copies, 2 supports, 1 hors de la maison.
• Essayez une restauration. Une sauvegarde jamais testée ne prouve rien.

Questions fréquentes

Peut-on déchiffrer les fichiers .L0CK3D ?

Déchiffrer, non : au 30 octobre 2026, je n'ai trouvé aucun outil vérifié, gratuit ou payant. Récupérer une partie, parfois. Sans clé, à partir du seul fichier chiffré, j'ai tiré 9 secondes d'image d'une vidéo de 24 Mo, en repartant de ce qui était resté en clair.

Les autres gros fichiers sont une piste, pas un résultat : si le chiffrement s'y limite aussi à quelques tranches, l'essentiel du contenu reste sur le disque. Encore faut-il que leur format survive à ces morceaux manquants, et je ne l'ai testé que sur cette vidéo. Une source citant 360 parle en plus d'extensions chiffrées en entier, sans que j'en aie la liste.

Gardez donc les fichiers chiffrés, surtout les plus volumineux, et surveillez No More Ransom, le portail qui recense les déchiffreurs reconnus.

Faut-il payer la rançon ?

Non. Aucune confirmation indépendante ne dit que le paiement rende les fichiers, et il finance la suite.

PhotoRec peut-il récupérer mes photos ?

PhotoRec ne déchiffre rien. Il cherche sur le disque des traces de fichiers d'origine. Je n'ai pas mesuré si des originaux subsistaient sur le volume de ce dossier : c'est peu probable, sans être exclu. À tenter sur une copie intégrale des disques, pas sur une copie des fichiers, et jamais sur le NAS.

Un volume Btrfs change-t-il quelque chose ?

Peut-être. Un projet communautaire annonce une récupération d'anciens blocs sur Btrfs, sur un seul cas et selon son auteur. Je ne l'ai pas essayée, et rien de tel n'est annoncé pour ext4. Tant que la question n'est pas tranchée, n'écrivez pas sur le volume.

Un NAS non exposé à Internet est-il à l'abri ?

Il est beaucoup moins exposé à ce type de vague. Un ordinateur infecté qui monte un partage peut en revanche chiffrer ce partage : le NAS ne dispense pas de surveiller les postes reliés.