Veille menaces / Campagne
NAS Synology : un rançongiciel frappe les appareils sous DSM obsolète
Synology indique que des attaquants exploitent une faille corrigée en décembre 2024 pour viser des NAS sous des versions obsolètes de DSM. Les fichiers sont chiffrés par C3RB3R, une variante de Cerber selon l'éditeur chinois 360, qui désigne deux autres failles corrigées en septembre 2026.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Synology DSM
- Comment c'est arrivé
- Synology indique que des attaquants exploitent « une vulnérabilité corrigée en décembre 2024 » et renvoie au bulletin SA-24:20 (CVE-2024-10441, exécution de code à distance). 360 désigne plutôt CVE-2026-13639 et CVE-2026-13684, corrigées en septembre 2026. Les rapports publics ne permettent pas de dire s'il s'agit des mêmes attaques.[1][2][3][4][5] Vérifié le 7 nov. 2026
- Ce qui a été volé
- Les fichiers du NAS sont chiffrés et renommés avec l'extension .L0CK3D, avec une demande de rançon nommée read-me3.txt qui renvoie vers un site Tor. On ne sait pas si des données ont aussi été copiées.[4][5] Vérifié le 7 nov. 2026
- Qui est touché
- Les propriétaires de NAS Synology sous des versions obsolètes de DSM. Aucune source ne donne de nombre de victimes ; IT-Connect indique que les signalements venaient surtout de forums chinois.[1][4] Vérifié le 7 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2024-10441, CVE-2026-13639, CVE-2026-13684
Chronologie
- Synology publie le bulletin SA-24:20, jugé critique, qui inclut CVE-2024-10441, permettant à un attaquant distant d'exécuter du code sur DSM. [2]
- Synology publie le bulletin SA-26:13, jugé critique, avec CVE-2026-13639 et CVE-2026-13684. Les versions corrigées sont DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 et 7.2.1-69057-12. [3]
- Synology « invite fortement » les utilisateurs de versions vulnérables à mettre à jour DSM sans attendre et à activer les mises à jour automatiques. Le même jour, 360 attribue les attaques à C3RB3R, une variante de Cerber, et désigne les failles de SA-26:13. [1][4]
- Gridinsoft relève que l'avis de Synology ne précise pas la CVE utilisée dans chaque attaque, et que la mise à jour ferme la porte mais ne déchiffre pas les fichiers déjà touchés. [5]