Synology a averti ses clients que des acteurs malveillants ciblent les appareils NAS exécutant des versions obsolètes de son logiciel DiskStation Manager (DSM) avec le rançongiciel C3RB3R. L’entreprise exhorte les utilisateurs à mettre immédiatement leurs systèmes à jour et à activer les mises à jour automatiques.
Selon Synology, les attaquants exploitent une vulnérabilité corrigée en décembre 2024. Les attaques visent à chiffrer les données stockées et à exiger une rançon des utilisateurs touchés.
L’entreprise conseille aux utilisateurs de bloquer depuis Internet l’accès à l’interface web de gestion du NAS et d’installer la dernière version disponible de DSM. Les correctifs recommandés sont DSM 7.2.2-72806-1 ou version ultérieure, DSM 7.2.1-69057-6 ou version ultérieure, DSM 7.2-64570-4 ou version ultérieure, DSM 7.1.1-42962-7 ou version ultérieure, et DSM 6.2.4-25556-8 ou version ultérieure. Les quatre premières branches sont classées comme critiques, tandis que DSM 6.2 est classé comme modéré.
Synology n’a pas encore fourni d’informations supplémentaires sur les vulnérabilités associées à l’exécution de code arbitraire (CVE-2024-10441), à la lecture de fichiers (CVE-2024-50629) et à l’écriture de fichiers (CVE-2024-10445) sur les appareils non corrigés.
Cette mise en garde fait suite à des signalements de clients de Synology dont les fichiers ont été chiffrés et renommés avec l’extension .L0CK3D. Le rançongiciel laisserait une note de rançon read-me3.txt dirigeant les victimes vers un portail du dark web afin d’acheter un outil appelé « C3rb3r Decryptor » pour plusieurs milliers de dollars.
C3RB3R, également connu sous les noms de Cerber ou CerberImposter, a déjà été utilisé lors d’attaques contre des serveurs Atlassian Confluence et GitLab. Shadowserver suit actuellement plus de 380 000 appareils NAS Synology exposés sur Internet, bien qu’il n’ait pas indiqué combien sont protégés contre cette campagne ou constituent des honeypots.
Sources: BleepingComputer.