{"id":22234,"date":"2026-10-30T10:09:40","date_gmt":"2026-10-30T02:09:40","guid":{"rendered":"https:\/\/synopower.club\/?p=22234"},"modified":"2026-11-02T03:20:41","modified_gmt":"2026-11-01T19:20:41","slug":"synology-c3rb3r-ransomware","status":"publish","type":"post","link":"https:\/\/synopower.club\/fr\/synology-c3rb3r-ransomware\/","title":{"rendered":"Ran\u00e7ongiciel C3RB3R sur Synology : origines, r\u00e9cup\u00e9ration et comment rester en s\u00e9curit\u00e9"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>Ransomware C3RB3R<\/strong> a commenc\u00e9 \u00e0 appara\u00eetre sur les unit\u00e9s NAS Synology aux alentours du 28 octobre 2026, et en un jour, c'\u00e9tait le seul sujet sur r\/synology. Les fichiers sont renomm\u00e9s avec une <code>extension .L0CK3D<\/code> (un z\u00e9ro, pas la lettre O), chaque dossier re\u00e7oit une <code>read-me3.txt<\/code> note de ran\u00e7on, et un portail Tor demande du Bitcoin. Les informations les plus rapides et les plus utiles ne provenaient pas des sites d'actualit\u00e9s anglophones. Elles provenaient de forums sinophones, o\u00f9 Synology poss\u00e8de une \u00e9norme base d'utilisateurs, et de trois d\u00e9p\u00f4ts GitHub r\u00e9dig\u00e9s par des victimes qui ont r\u00e9ellement r\u00e9cup\u00e9r\u00e9 leurs donn\u00e9es, ou prouv\u00e9 qu'elles ne le pouvaient pas. Ce guide rassemble ce qui est confirm\u00e9 sur le ransomware C3RB3R jusqu'\u00e0 pr\u00e9sent : d'o\u00f9 il vient, comment il p\u00e9n\u00e8tre, le seul moyen de r\u00e9cup\u00e9ration qui a fonctionn\u00e9, et la conception de sauvegarde que nous appliquons pour qu'une telle attaque nous co\u00fbte une restauration au lieu d'une ran\u00e7on.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Mise \u00e0 jour, 31 octobre 2026 :<\/strong> Synology a d\u00e9sormais \u00e9tabli le point d'entr\u00e9e. Dans un e-mail envoy\u00e9 \u00e0 ses clients le 30 octobre, elle a confirm\u00e9 que le ran\u00e7ongiciel C3RB3R exploite uniquement la vuln\u00e9rabilit\u00e9 corrig\u00e9e dans Synology-SA-24:20, patch\u00e9e en d\u00e9cembre 2024, et que la campagne n'est pas li\u00e9e \u00e0 la vuln\u00e9rabilit\u00e9 PHP2Shell corrig\u00e9e le m\u00eame mois. Nous avons ajout\u00e9 la propre liste de contr\u00f4le en quatre \u00e9tapes de Synology, notre interpr\u00e9tation des raisons pour lesquelles les attaques se sont d\u00e9clench\u00e9es au moment o\u00f9 elles l'ont fait, ainsi qu'une couche suppl\u00e9mentaire que nous utilisons et que la plupart des propri\u00e9taires paient d\u00e9j\u00e0 : la protection contre les ran\u00e7ongiciels d'Active Insight.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Point SynoPower Club :<\/strong>Une victime dans un groupe NAS chinois avait plus de 50 To sur un seul bo\u00eetier et aucun snapshot. Le chiffreur \u00e9tait suffisamment lent pour que seuls ses clich\u00e9s de 2024 soient touch\u00e9s, et ceux-ci se trouvaient avoir une copie \u00e0 froid sur un stockage cloud. Un autre a perdu cinq ans de d\u00e9p\u00f4ts GitLab priv\u00e9s, parce que le RAID 6 et trois sauvegardes se trouvaient tous sur la m\u00eame machine. Le ransomware C3RB3R n'a pas vaincu leur stockage, il a vaincu la conception de leur sauvegarde. Nous ex\u00e9cutons nos sites publics sous forme de conteneurs Docker dans Virtual DSM, effectuons un snapshot de l'ensemble de l'invit\u00e9 depuis l'h\u00f4te, le r\u00e9pliquons sur un second NAS et l'exportons sur USB et vers le cloud selon un calendrier. Si un invit\u00e9 est chiffr\u00e9 ce soir, nous le restaurons au dernier snapshot et l'attaquant ne re\u00e7oit rien.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-c3rb3r-ransomware\" class=\"wp-block-heading\">Qu'est-ce que le ransomware C3RB3R ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le ransomware C3RB3R est une version Linux de la famille Cerber, une ligne de ran\u00e7ongiciels pr\u00e9sente depuis 2016 et qui cible par intermittence les appareils NAS depuis des ann\u00e9es. 360 lui attribue la vague d'octobre 2026 sur Synology. Sur un bo\u00eetier DSM infect\u00e9, le chiffreur du ransomware C3RB3R s'ex\u00e9cute sous la forme d'un binaire x86-64 li\u00e9 statiquement et compress\u00e9 avec UPX nomm\u00e9 <code>libgld<\/code>Il supprime son propre fichier apr\u00e8s avoir d\u00e9marr\u00e9, de sorte que le processus en cours d'ex\u00e9cution affiche <code>(supprim\u00e9)<\/code> \u00e0 c\u00f4t\u00e9 du chemin de son ex\u00e9cutable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce que vous voyez en tant que propri\u00e9taire d'un bo\u00eetier touch\u00e9 par le ransomware C3RB3R est coh\u00e9rent dans chaque rapport :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Fichiers renomm\u00e9s en <code>name.ext.L0CK3D<\/code>Certains rapports l'orthographient <code>LOCK3D<\/code>, mais les analyses GitHub citent le z\u00e9ro.<\/li>\n\n\n\n<li>Une note de ran\u00e7on nomm\u00e9e <code>read-me3.txt<\/code> dans chaque dossier chiffr\u00e9, avec l'en-t\u00eate C3RB3R INSTRUCTIONS.<\/li>\n\n\n\n<li>Une page Tor intitul\u00e9e C3rb3r Decryptor. Une capture d'\u00e9cran d'une victime montrait 0,03696 BTC (environ 2 952 $ US) en cas de paiement sous cinq jours, doublant \u00e0 0,07392 BTC (environ 5 904 $ US) apr\u00e8s cela, avec un compte \u00e0 rebours.<\/li>\n\n\n\n<li>Persistance via des entr\u00e9es cron correspondant \u00e0 <code>\/etc\/cron.d\/synot*<\/code>, qui se recr\u00e9ent d'elles-m\u00eames et ont surv\u00e9cu \u00e0 une mise \u00e0 niveau de DSM dans au moins un cas.<\/li>\n\n\n\n<li>Fichiers de sauvegarde sur le m\u00eame volume chiffr\u00e9s en m\u00eame temps que tout le reste, y compris les cibles Hyper Backup et les dumps de bases de donn\u00e9es.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"where-it-started\" class=\"wp-block-heading\">O\u00f9 cela a commenc\u00e9 : r\/synology et les forums chinois<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le ransomware C3RB3R a fait sa premi\u00e8re apparition en anglais sur r\/synology, o\u00f9 les victimes ont publi\u00e9 \u00e0 environ un jour d'intervalle autour des 28 et 29 octobre 2026. En quelques heures, les lecteurs ont indiqu\u00e9 qu'un nouveau fil apparaissait \u00e0 chaque rafra\u00eechissement du subreddit. Trois de ces fils valent la peine d'\u00eatre lus en entier, car chacun apporte une pi\u00e8ce diff\u00e9rente :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>L'analyse d'investigation num\u00e9rique.<\/strong> Un propri\u00e9taire de DS918+ sous DSM 7.2.1-69057 Update 5, dont l'interface web \u00e9tait accessible depuis Internet, a \u00e9teint le bo\u00eetier et examin\u00e9 les disques en lecture seule sur un h\u00f4te Proxmox. Le journal d'authentification DSM contenait une demande de connexion dont le champ de compte portait des lignes d'injection <code>LD_PRELOAD<\/code> et <code>LD_DEBUG_OUTPUT<\/code> ainsi qu'une commande shell encod\u00e9e et un fichier sous <code>\/etc\/cron.d<\/code>Cela correspond \u00e0 la technique CVE-2024-10441 publi\u00e9e. Une sauvegarde 3-2-1 a permis que l'attaque ne co\u00fbte qu'une restauration, et non une ran\u00e7on. Lisez-le ici : <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Eh bien, c'est enfin arriv\u00e9. Mon premier vrai incident de ran\u00e7ongiciel<\/a>.<\/li>\n\n\n\n<li><strong>L'utilisateur de Photos uniquement.<\/strong> Ce propri\u00e9taire pensait que DSM \u00e9tait \u00e0 jour et n'utilisait que Synology Photos, mais le UPnP \u00e9tait activ\u00e9 sur le routeur. Apr\u00e8s une r\u00e9initialisation de mode 2, les dossiers couverts par Snapshot Replication sont revenus. Les dossiers sans snapshots ne sont pas revenus, et le lecteur USB local Hyper Backup a \u00e9t\u00e9 chiffr\u00e9 en m\u00eame temps que le NAS. Lisez-le ici : <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhyt6w\/hit_with_c3rb3r_ransomware_this_am\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Touch\u00e9 par le ran\u00e7ongiciel c3rb3r ce matin<\/a>.<\/li>\n\n\n\n<li><strong>La discussion sur QuickConnect.<\/strong> L'auteur de la publication originale n'a remarqu\u00e9 l'attaque qu'apr\u00e8s la d\u00e9gradation de DSM et une r\u00e9installation qui a r\u00e9v\u00e9l\u00e9 les fichiers chiffr\u00e9s. Dans les r\u00e9ponses, un autre lecteur disposant d'un mot de passe fort, du 2FA et de QuickConnect activ\u00e9 a d\u00e9clar\u00e9 avoir \u00e9galement \u00e9t\u00e9 touch\u00e9, et d'autres ont soulign\u00e9 que les utilisateurs uniquement d'applications peuvent d\u00e9sactiver enti\u00e8rement l'acc\u00e8s DSM dans QuickConnect. Lisez-le ici : <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xi9mhf\/hit_with_c3rb3r_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Touch\u00e9 par le ran\u00e7ongiciel C3RB3R<\/a>.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Lus ensemble, la tendance est claire. Le ransomware C3RB3R avait simplement besoin d'une page de connexion DSM accessible. Les mots de passe et le 2FA n'ont pas aid\u00e9, car l'exploit s'ex\u00e9cute avant l'authentification. L'analyse d'investigation l'a dit clairement : la requ\u00eate a atteint une application vuln\u00e9rable, et une autre invite de mot de passe n'aurait rien chang\u00e9.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le travail technique plus approfondi s'est d\u00e9roul\u00e9 en chinois. Les victimes dans les groupes WeChat et Xiaohongshu ont publi\u00e9 des demandes de ran\u00e7on, compar\u00e9 les chronologies et se sont redirig\u00e9es mutuellement vers les r\u00e9pertoires GitHub pr\u00e9sent\u00e9s ci-dessous. Une communaut\u00e9 Synology ta\u00efwanaise sur Facebook <a href=\"https:\/\/www.facebook.com\/share\/p\/19bP2vavLb\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">a rassembl\u00e9 les m\u00eames liens de r\u00e9cup\u00e9ration<\/a> pour les utilisateurs locaux. C'est logique : Synology est une entreprise ta\u00efwanaise et ses plus grandes communaut\u00e9s d'utilisateurs sont sinophones, c'est donc de l\u00e0 que provenaient le volume le plus important de cas de ran\u00e7ongiciel C3RB3R et, par cons\u00e9quent, l'identification la plus rapide des sch\u00e9mas d'attaque.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Synology a elle-m\u00eame publi\u00e9 <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">un avis de s\u00e9curit\u00e9<\/a> le 29 octobre 2026, indiquant qu'il avait identifi\u00e9 des acteurs de menace exploitant une vuln\u00e9rabilit\u00e9 corrig\u00e9e en d\u00e9cembre 2024 contre des versions obsol\u00e8tes de DSM, et incitant tout le monde \u00e0 mettre \u00e0 jour imm\u00e9diatement.<\/p>\n\n\n\n<h2 id=\"how-c3rb3r-ransomware-gets-in\" class=\"wp-block-heading\">Comment le ransomware C3RB3R s'infiltre<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Pendant les deux premiers jours, il y avait deux points d'entr\u00e9e potentiels. Synology a depuis confirm\u00e9 le plus ancien. Son e-mail du 30 octobre indique que les attaques exploitent uniquement la vuln\u00e9rabilit\u00e9 trait\u00e9e dans Synology-SA-24:20 et que le ran\u00e7ongiciel C3RB3R n'a rien \u00e0 voir avec PHP2Shell. Le tableau ci-dessous pr\u00e9sente les deux candidats tels qu'ils ont \u00e9t\u00e9 d\u00e9battus, car la paire 360 vaut toujours la peine d'\u00eatre patch\u00e9e.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th><\/th><th>Synology d\u00e9clare<\/th><th>360 d\u00e9clare<\/th><\/tr><\/thead><tbody><tr><td>Consultatif<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> (Pwn2Own 2024)<\/td><td><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a><\/td><\/tr><tr><td>CVE<\/td><td>CVE-2024-10441, CVSS 9.8, ex\u00e9cution de code \u00e0 distance non authentifi\u00e9e dans le d\u00e9mon du plugin syst\u00e8me<\/td><td>CVE-2026-13639 (logique de connexion) et CVE-2026-13684 (SCGI), toutes deux CVSS 9.8<\/td><\/tr><tr><td>Corrig\u00e9<\/td><td>De novembre \u00e0 d\u00e9cembre 2024<\/td><td>18 septembre 2026<\/td><\/tr><tr><td>Versions corrig\u00e9es<\/td><td>DSM 7.2.2-72806 Mise \u00e0 jour 1, 7.2.1-69057 Mise \u00e0 jour 6, 7.2-64570 Mise \u00e0 jour 4, 7.1.1-42962 Mise \u00e0 jour 7<\/td><td>DSM 7.4-90075, 7.3.2-86009 Mise \u00e0 jour 4, 7.2.2-72806 Mise \u00e0 jour 9, 7.2.1-69057 Mise \u00e0 jour 12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Les preuves m\u00e9dico-l\u00e9gales penchent vers la faille la plus ancienne pour au moins certaines victimes. Le rapport Reddit le plus d\u00e9taill\u00e9 a associ\u00e9 ses propres journaux survivants \u00e0 l'exploit CVE-2024-10441 publi\u00e9, tout en notant que Synology ne l'avait pas confirm\u00e9 et que la m\u00eame machine \u00e9tait \u00e9galement en dessous du niveau de correctif SA-26:13. Le rapport soimy indique que les journaux de m\u00e9moire de l'invit\u00e9 infect\u00e9 pointent vers une injection de variables d'environnement via le plugin de connexion DSM, ce qui est coh\u00e9rent avec CVE-2024-10441, et une preuve de concept publique abusant du champ du nom d'utilisateur de connexion est apparue sur GitHub quelques jours avant l'attaque. Deux des trois cas de r\u00e9cup\u00e9ration document\u00e9s fonctionnaient sur du mat\u00e9riel non officiel avec un bootloader DS918+, dont l'un sur DSM 7.2-64570 Update 3, soit exactement une mise \u00e0 jour avant le correctif CVE-2024-10441. Le mat\u00e9riel clon\u00e9 ne peut pas recevoir facilement les mises \u00e0 jour officielles, ce qui en fait la cible la plus vuln\u00e9rable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La conclusion pratique n'a pas chang\u00e9 : mettez \u00e0 jour vers une version couvrant les deux bulletins de s\u00e9curit\u00e9 et cessez d'exposer DSM \u00e0 Internet. Mais une question subsistait. Si la faille a \u00e9t\u00e9 corrig\u00e9e en d\u00e9cembre 2024, pourquoi tant de bo\u00eetiers se sont-ils d\u00e9clench\u00e9s avec le ran\u00e7ongiciel C3RB3R au cours des deux m\u00eames jours d'octobre 2026, y compris certains dont les propri\u00e9taires pensaient qu'ils \u00e9taient \u00e0 jour ?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Implant\u00e9 t\u00f4t, d\u00e9clench\u00e9 au bon moment<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Notre lecture, et il s'agit de notre interpr\u00e9tation plut\u00f4t que d'une d\u00e9claration officielle de Synology, est que l'intrusion du ran\u00e7ongiciel C3RB3R et le chiffrement sont deux \u00e9v\u00e9nements distincts. Les preuves vont dans ce sens :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>La porte d\u00e9rob\u00e9e est arriv\u00e9e en premier.<\/strong> Dans le cas Xiaohongshu ci-dessous, un shell de porte d\u00e9rob\u00e9e r\u00e9sidait sur le NAS depuis 37 jours et avait activ\u00e9 telnet en tant que root avant m\u00eame qu'un seul fichier ne soit chiffr\u00e9.<\/li>\n\n\n\n<li><strong>Elle survit aux mises \u00e0 jour.<\/strong> Les entr\u00e9es cron sous <code>\/etc\/cron.d\/synot*<\/code> se recr\u00e9ent d'elles-m\u00eames, et au moins une victime les a trouv\u00e9es toujours en place apr\u00e8s la mise \u00e0 niveau vers la derni\u00e8re version de DSM. La mise \u00e0 jour a combl\u00e9 la faille mais a laiss\u00e9 l'intrus \u00e0 l'int\u00e9rieur.<\/li>\n\n\n\n<li><strong>Les d\u00e9clenchements \u00e9taient synchronis\u00e9s.<\/strong> Des bo\u00eetiers touch\u00e9s par le ran\u00e7ongiciel C3RB3R qui avaient \u00e9t\u00e9 compromis \u00e0 des moments diff\u00e9rents, sur des versions diff\u00e9rentes, ont commenc\u00e9 \u00e0 chiffrer \u00e0 environ 48 heures d'intervalle.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ce sch\u00e9ma correspond \u00e0 un op\u00e9rateur ayant implant\u00e9 des implants du ran\u00e7ongiciel C3RB3R sur des bo\u00eetiers non patch\u00e9s pendant des mois, puis choisi le moment de d\u00e9clencher l'attaque \u00e0 distance. Le moment choisi a \u00e9t\u00e9 la semaine PHP2Shell, quand chaque administrateur Synology \u00e9tait occup\u00e9 \u00e0 appliquer les correctifs, que de nombreux bo\u00eetiers venaient d'\u00eatre mis \u00e0 jour et que les propri\u00e9taires se croyaient en s\u00e9curit\u00e9 parce qu'ils l'avaient fait. Synology indique clairement que PHP2Shell n'\u00e9tait pas la voie d'acc\u00e8s. C'\u00e9tait la couverture. La le\u00e7on est qu'un bo\u00eetier expos\u00e9 alors qu'il n'\u00e9tait pas patch\u00e9 doit \u00eatre trait\u00e9 comme compromis jusqu'\u00e0 v\u00e9rification, ce qui est exactement ce que la premi\u00e8re \u00e9tape de la liste de contr\u00f4le de Synology vous demande de faire.<\/p>\n\n\n\n<h2 id=\"first-response-in-4-steps\" class=\"wp-block-heading\">Premi\u00e8re r\u00e9action face au ransomware C3RB3R en 4 \u00e9tapes<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Si vous trouvez des <code>extension .L0CK3D<\/code> fichiers d\u00e8s maintenant, l'ordre des actions dans les dix prochaines minutes d\u00e9terminera si une r\u00e9cup\u00e9ration est possible. La cl\u00e9 qui d\u00e9verrouille vos fichiers n'existe que dans le processus du ransomware C3RB3R en cours d'ex\u00e9cution. Un red\u00e9marrage, un <code>kill -9<\/code> ou une r\u00e9installation de DSM la d\u00e9truira.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Coupez le r\u00e9seau, pas l'alimentation<\/h3>\n<div class=\"rank-math-step-content\"><p>D\u00e9branchez le c\u00f4t\u00e9 WAN ou supprimez les redirections de port du routeur et les mappages UPnP. N'\u00e9teignez pas le NAS et ne le red\u00e9marrez pas. Fermez tout acc\u00e8s SSH ou Telnet que vous n'avez pas ouvert vous-m\u00eame.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Trouvez et gelez le chiffreur<\/h3>\n<div class=\"rank-math-step-content\"><p>En SSH sous root, listez les processus dont l'ex\u00e9cutable a \u00e9t\u00e9 supprim\u00e9, puis envoyez SIGSTOP avec kill -STOP et le PID. Un processus gel\u00e9 conserve sa m\u00e9moire, et sa m\u00e9moire contient la cl\u00e9 de session.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Extrayez la m\u00e9moire du processus gel\u00e9<\/h3>\n<div class=\"rank-math-step-content\"><p>Suivez le d\u00e9p\u00f4t Benjamin-zlt pour lire la m\u00e9moire inscriptible de ce PID depuis le syst\u00e8me de fichiers proc vers un disque s\u00e9par\u00e9. Sur une machine virtuelle, un instantan\u00e9 complet de la m\u00e9moire de l'invit\u00e9 depuis l'hyperviseur fonctionne \u00e9galement.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Conservez les preuves, puis nettoyez<\/h3>\n<div class=\"rank-math-step-content\"><p>Conservez intact chaque fichier L0CK3D et demande de ran\u00e7on. Copiez les donn\u00e9es qui restent lisibles. Seulement une fois la m\u00e9moire s\u00e9curis\u00e9e, supprimez les entr\u00e9es cron synot, remplacez tous les mots de passe et mettez \u00e0 jour DSM.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<p class=\"wp-block-paragraph\">Les commandes correspondant aux \u00e9tapes 2 et 3 ressemblent \u00e0 ceci. Lisez les d\u00e9p\u00f4ts avant d'ex\u00e9cuter quoi que ce soit, car les d\u00e9tails d\u00e9pendent du binaire que vous poss\u00e9dez.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># \u00c9tape 2 : trouver le chiffreur (son ex\u00e9cutable appara\u00eet comme supprim\u00e9)<\/code><\/pre>\n\n\n\n<h2 id=\"three-github-rescue-cases\" class=\"wp-block-heading\">ls -l \/proc\/*\/exe 2&gt;\/dev\/null | grep deleted<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"># Le geler. N'utilisez jamais kill -9 ici.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>kill -STOP &lt;PID&gt;<\/th><th>grep State \/proc\/&lt;PID&gt;\/status     # devrait afficher T (stopped)<\/th><th># Rechercher la persistance qui le r\u00e9active<\/th><th>ls -l \/etc\/cron.d\/ | grep synot<\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/github.com\/soimy\/c3rb3r-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Pouvez-vous le d\u00e9chiffrer ? Les trois cas de r\u00e9cup\u00e9ration GitHub<\/a><\/td><td>Il n'existe pas de d\u00e9chiffreur universel pour le ransomware C3RB3R, et quiconque en vend un \u00e9met une supposition. Ce qui existe, ce sont trois \u00e9tudes de cas rigoureuses qui vous indiquent exactement quand la r\u00e9cup\u00e9ration fonctionne.<\/td><td>D\u00e9p\u00f4t<\/td><td>Machine<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">R\u00e9sultat<\/a><\/td><td>Pourquoi<\/td><td>D\u00e9p\u00f4t<\/td><td>soimy\/c3rb3r-rescue<\/td><\/tr><tr><td><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM dans une machine virtuelle Proxmox VE ex\u00e9cutant GitLab<\/a><\/td><td>R\u00e9cup\u00e9r\u00e9<\/td><td>Une copie de 16 Gio de la RAM de l'invit\u00e9 contenait la cl\u00e9 de session de 48 octets. GitLab a \u00e9t\u00e9 restaur\u00e9 avec 80 projets et 9 253 objets LFS.<\/td><td>Le chiffreur avait d\u00e9j\u00e0 quitt\u00e9 environ 30 heures plus t\u00f4t. Les analyses compl\u00e8tes de la RAM et du swap n'ont trouv\u00e9 aucune cl\u00e9.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Le troisi\u00e8me d\u00e9p\u00f4t est le plus important \u00e0 lire, car son titre contient sa le\u00e7on : \u00ab jamais red\u00e9marr\u00e9 \u00bb ne signifie pas \u00ab r\u00e9cup\u00e9rable \u00bb. Ce qui compte, c'est de savoir si le processus du ransomware C3RB3R est toujours actif. Une fois qu'il s'arr\u00eate, il efface son tampon de cl\u00e9, et la cl\u00e9 dispara\u00eet. Une cl\u00e9 r\u00e9cup\u00e9r\u00e9e chez une victime est \u00e9galement inutile pour une autre, car chaque ex\u00e9cution g\u00e9n\u00e8re une nouvelle cl\u00e9 de session.<\/p>\n\n\n\n<h2 id=\"why-the-key-lives-in-memory\" class=\"wp-block-heading\">Pourquoi la cl\u00e9 ne vit que dans la m\u00e9moire<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">L'analyse de Benjamin-zlt d\u00e9taille le format de fichier du ransomware C3RB3R et explique \u00e0 la fois pourquoi cela fonctionne et pourquoi cela \u00e9choue g\u00e9n\u00e9ralement.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Chaque fichier obtient sa propre cl\u00e9 ChaCha8 al\u00e9atoire.<\/strong> Cette cl\u00e9 est chiffr\u00e9e avec une cl\u00e9 ma\u00eetre de session utilisant AES-256-CBC et stock\u00e9e dans un en-t\u00eate de fin (trailer) de 588 octets \u00e0 la fin du fichier.<\/li>\n\n\n\n<li><strong>La cl\u00e9 ma\u00eetre de session fait 48 octets :<\/strong> un IV de 16 octets plus une cl\u00e9 AES de 32 octets. Elle n'est jamais \u00e9crite sur le disque. Un pointeur global au sein du processus en cours d'ex\u00e9cution pointe vers elle.<\/li>\n\n\n\n<li><strong>Le trailer contient \u00e9galement un blob chiffr\u00e9 avec la cl\u00e9 publique de l'attaquant<\/strong> (RSA-2048), donc sans le processus en cours d'ex\u00e9cution, seul l'attaquant peut r\u00e9cup\u00e9rer la cl\u00e9 de session.<\/li>\n\n\n\n<li><strong>Tous les fichiers ne sont pas enti\u00e8rement chiffr\u00e9s.<\/strong> Sur un \u00e9chantillon de 400 fichiers, environ 56 % utilisaient le mode segment\u00e9, 31 % n'avaient que le premier 1 Mio de chiffr\u00e9, et 13 % \u00e9taient chiffr\u00e9s de bout en bout. Les fichiers partiellement chiffr\u00e9s ne sont toujours pas lisibles, mais l'analyse du pied de page vous indique ce qu'il reste.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La faiblesse du ransomware C3RB3R est donc \u00e9troite et limit\u00e9e dans le temps : le chiffreur conserve la cl\u00e9 ma\u00eetre en m\u00e9moire pendant toute la session. Gelez-le pendant qu'il s'ex\u00e9cute et vous pourrez en extraire la cl\u00e9. Si vous manquez cette fen\u00eatre, il ne vous reste que le blob de cl\u00e9 publique, con\u00e7u pour \u00eatre inviolable.<\/p>\n\n\n\n<h2 id=\"victim-story-50-tb-no-snapshots\" class=\"wp-block-heading\">L'histoire d'une victime : 50 To et aucun snapshot<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un r\u00e9cit d\u00e9taill\u00e9 publi\u00e9 sur Xiaohongshu le 29 octobre 2026 par l'utilisateur \u67ef\u57fa\u7231\u597d\u8005 suit un membre de leur groupe NAS durant la nuit. Il a remarqu\u00e9 la note du ransomware C3RB3R, a confirm\u00e9 l'en-t\u00eate C3RB3R INSTRUCTIONS et \u00e9tait sur le point d'acheter du Bitcoin avant que le groupe ne lui signale les cas sur GitHub.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il a ensuite utilis\u00e9 un assistant de codage IA via SSH pour enqu\u00eater. Celui-ci a trouv\u00e9 et gel\u00e9 le chiffreur, de sorte que rien d'autre n'a \u00e9t\u00e9 chiffr\u00e9 par la suite. Il a \u00e9galement d\u00e9couvert qu'un shell porte d\u00e9rob\u00e9e probable r\u00e9sidait sur le NAS depuis 37 jours et avait activ\u00e9 telnet en tant que root, ce qui signifie que l'intrusion initiale et le chiffrement \u00e9taient s\u00e9par\u00e9s de plus d'un mois. Il a \u00e9crit un script de collecte de preuves et a, \u00e0 juste titre, attendu sa confirmation avant d'ex\u00e9cuter quoi que ce soit en tant que root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sa chance a \u00e9t\u00e9 que le ransomware C3RB3R soit lent. Avec plus de 50 To \u00e0 parcourir, le chiffreur n'avait atteint que ses photos de 2024, et celles-ci avaient une copie froide sur un stockage cloud. Il a d\u00e9plac\u00e9 les donn\u00e9es de travail vers un NAS plus petit et a mis le volume chiffr\u00e9 de c\u00f4t\u00e9 pour plus tard. Son propre r\u00e9sum\u00e9 \u00e9tait sans appel : il n'avait aucun snapshot, et avec des snapshots, cela aurait \u00e9t\u00e9 facile \u00e0 corriger. Une deuxi\u00e8me victime sur X a r\u00e9sum\u00e9 la m\u00eame le\u00e7on sous un autre angle : du RAID 6 plus trois jeux de sauvegardes, tous sur le m\u00eame bo\u00eetier, tous chiffr\u00e9s ensemble.<\/p>\n\n\n\n<h2 id=\"how-we-keep-backups-safe\" class=\"wp-block-heading\">Comment nous gardons le ransomware C3RB3R \u00e0 l'\u00e9cart de nos sauvegardes<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Chaque histoire de perte de donn\u00e9es ci-dessus pr\u00e9sente le m\u00eame sch\u00e9ma : les sauvegardes \u00e9taient accessibles depuis la machine compromise. Le ransomware C3RB3R chiffre tout ce sur quoi le DSM compromis peut \u00e9crire, la solution consiste donc \u00e0 conserver au moins une copie dans un endroit o\u00f9 le DSM ne peut absolument pas \u00e9crire. Voici comment nous proc\u00e9dons pour les sites que nous h\u00e9bergeons, ce qui correspond \u00e0 la r\u00e8gle 3-2-1-1-0.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>R\u00e8gle<\/th><th>Signification<\/th><th>Comment nous le faisons<\/th><\/tr><\/thead><tbody><tr><td>3<\/td><td>Trois copies des donn\u00e9es<\/td><td>La VM en production, une r\u00e9plique sur un second NAS et une exportation planifi\u00e9e<\/td><\/tr><tr><td>2<\/td><td>Deux types de supports<\/td><td>Des volumes NAS plus un lecteur USB et un stockage cloud<\/td><\/tr><tr><td>1<\/td><td>Une copie hors site<\/td><td>Exportations synchronis\u00e9es vers Google Drive avec Cloud Sync<\/td><\/tr><tr><td>1<\/td><td>Une copie hors ligne ou immuable<\/td><td>Snapshots VM c\u00f4t\u00e9 h\u00f4te auxquels l'invit\u00e9 ne peut pas toucher, plus l'exportation USB d\u00e9connect\u00e9e<\/td><\/tr><tr><td>0<\/td><td>Z\u00e9ro erreur lors de la restauration<\/td><td>Nous restaurons et d\u00e9marrons r\u00e9ellement \u00e0 partir des r\u00e9pliques lorsque nous d\u00e9pla\u00e7ons des VM entre h\u00f4tes<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Ex\u00e9cutez Docker dans Virtual DSM, pas sur l'h\u00f4te<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nos conteneurs WordPress ne s'ex\u00e9cutent pas sur le NAS physique. Ils s'ex\u00e9cutent dans un invit\u00e9 Virtual DSM, et cet invit\u00e9 est prot\u00e9g\u00e9 par Virtual Machine Manager sur l'h\u00f4te. Si le ransomware C3RB3R obtient les acc\u00e8s root dans l'invit\u00e9, il contr\u00f4le cet invit\u00e9 et rien d'autre. Les snapshots de l'invit\u00e9 r\u00e9sident sur le stockage de l'h\u00f4te, en dehors du syst\u00e8me de fichiers de l'invit\u00e9, de sorte que le ransomware dans la VM ne peut pas les voir, et encore moins les chiffrer ou les supprimer. La r\u00e9cup\u00e9ration se fait par une restauration de snapshot qui ne prend que quelques minutes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VMM Pro ajoute les fonctionnalit\u00e9s qui en font une v\u00e9ritable sauvegarde : un plan de protection qui effectue des snapshots de la VM et la r\u00e9plique sur un second NAS du cluster, couvrant ainsi le cas o\u00f9 un h\u00f4te tomberait en panne. Notre cluster est compos\u00e9 d'un DS1621xs+ et d'un DS1525+ se r\u00e9pliquant l'un l'autre. Nous avons r\u00e9dig\u00e9 la partie concernant <a href=\"https:\/\/synopower.club\/fr\/documents\/vmm-backup-google-drive-cloud-sync\/\">l'exportation planifi\u00e9e et Cloud Sync vers Google Drive<\/a> s\u00e9par\u00e9ment, et la <a href=\"https:\/\/synopower.club\/fr\/documents\/synology-virtual-machine-manager-vs-vmm-pro\/\">comparaison entre VMM gratuit et VMM Pro<\/a> explique quelles fonctionnalit\u00e9s n\u00e9cessitent la licence.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1410\" height=\"243\" sizes=\"auto, (max-width: 1410px) 100vw, 1410px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp\" alt=\"Plan de protection VMM Pro r\u00e9pliquant un invit\u00e9 Virtual DSM sur un second NAS comme d\u00e9fense contre le ran\u00e7ongiciel C3RB3R\" class=\"wp-image-22237\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware.webp 1410w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-300x52.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1024x176.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-768x132.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-18x3.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-600x103.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-400x69.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/vmm-protection-plan-c3rb3r-ransomware-1000x172.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Notre invit\u00e9 Virtual DSM spc_4C8G : snapshots toutes les 12 heures, r\u00e9pliqu\u00e9 du DS1621xs+ vers le DS1525+.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Si vous ex\u00e9cutez Docker directement sur DSM, utilisez des snapshots immuables<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Tout le monde ne veut pas forc\u00e9ment d'une couche VM. Si vos conteneurs s'ex\u00e9cutent sur l'h\u00f4te, la d\u00e9fense contre le ransomware C3RB3R r\u00e9side dans les snapshots immuables. Activez-les dans Snapshot Replication pour le dossier partag\u00e9 qui contient les donn\u00e9es de vos conteneurs. Ils n\u00e9cessitent DSM 7.2 ou ult\u00e9rieur et un volume Btrfs, et pendant la p\u00e9riode de verrouillage, personne ne peut les supprimer, y compris un compte administrateur dont l'attaquant a pris le contr\u00f4le. Deux d\u00e9tails font toute la diff\u00e9rence :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Utilisez des bind mounts dans un dossier partag\u00e9<\/strong> tel que <code>\/volume1\/docker\/app<\/code>. Les volumes nomm\u00e9s Docker r\u00e9sident sous <code>\/volume1\/@docker<\/code>, qui n'est pas un dossier partag\u00e9 et ne peut pas du tout faire l'objet de snapshots.<\/li>\n\n\n\n<li><strong>Exportez les bases de donn\u00e9es dans un fichier avant le snapshot.<\/strong> Un snapshot d'une base MariaDB en cours d'ex\u00e9cution \u00e9quivaut \u00e0 une copie apr\u00e8s coupure de courant. Un export planifi\u00e9 <code>mysqldump<\/code> dans le m\u00eame dossier partag\u00e9 vous donne un point de restauration propre que le snapshot verrouille ensuite.<\/li>\n\n\n\n<li><strong>Choisissez une p\u00e9riode de verrouillage plus longue que le temps pendant lequel un attaquant peut attendre patiemment.<\/strong> La victime ci-dessus avait une porte d\u00e9rob\u00e9e depuis 37 jours avant le d\u00e9but du chiffrement. Sept jours de snapshots immuables n'auraient pas permis de remonter jusqu'\u00e0 un \u00e9tat propre.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"526\" height=\"318\" sizes=\"auto, (max-width: 526px) 100vw, 526px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp\" alt=\"Param\u00e8tres de Snapshot Replication avec snapshots immuables activ\u00e9s pour prot\u00e9ger un dossier partag\u00e9 contre le ran\u00e7ongiciel C3RB3R\" class=\"wp-image-22239\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware.webp 526w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-300x181.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/immutable-snapshot-c3rb3r-ransomware-400x242.webp 400w\" \/><figcaption class=\"wp-element-caption\">Snapshot Replication, Param\u00e8tres d'un dossier partag\u00e9 : une planification quotidienne avec des snapshots immuables verrouill\u00e9s pendant 30 jours.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Notre couche suppl\u00e9mentaire : Active Insight prend un snapshot lorsque le chiffrement commence<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Voici la couche que la plupart des guides oublient. Active Insight, le service de surveillance cloud de Synology, peut observer l'activit\u00e9 des fichiers sur vos dossiers partag\u00e9s, et une fois qu'il estime faire face \u00e0 un ran\u00e7ongiciel, il r\u00e9agit de lui-m\u00eame. Synology le documente dans son <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">guide de s\u00e9curit\u00e9 du NAS<\/a>: lorsqu'un \u00e9v\u00e9nement de ran\u00e7ongiciel est d\u00e9tect\u00e9, Active Insight envoie une notification d'\u00e9v\u00e9nement et prend automatiquement un snapshot du dossier partag\u00e9, et sur les mod\u00e8les qui le prennent en charge, ce snapshot est immuable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pourquoi cela importe particuli\u00e8rement pour le ran\u00e7ongiciel C3RB3R : le moteur de chiffrement du ran\u00e7ongiciel C3RB3R est lent. La victime avec plus de 50 To n'en \u00e9tait qu'\u00e0 ses photos de 2024 lorsqu'elle s'en est rendu compte. Un snapshot pris d\u00e8s l'apparition initiale du sch\u00e9ma de chiffrement g\u00e8le tout ce qui n'a pas encore \u00e9t\u00e9 touch\u00e9, ce qui peut repr\u00e9senter la majeure partie du volume. Il se moque \u00e9galement de savoir comment le ran\u00e7ongiciel C3RB3R est entr\u00e9, car il surveille ce qui arrive aux fichiers, et non la page de connexion. Sur notre DS1621xs+, la page Activit\u00e9 des fichiers affiche la protection contre les ran\u00e7ongiciels comme Prot\u00e9g\u00e9.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"644\" height=\"596\" sizes=\"auto, (max-width: 644px) 100vw, 644px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp\" alt=\"Page Activit\u00e9 sur les fichiers d&#039;Active Insight affichant la protection contre le ransomware comme Prot\u00e9g\u00e9 sur un DS1621xs+, un filet de s\u00e9curit\u00e9 contre le ransomware C3RB3R\" class=\"wp-image-22272\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware.webp 644w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-300x278.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-13x12.webp 13w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-600x555.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/active-insight-ransomware-protection-c3rb3r-ransomware-400x370.webp 400w\" \/><figcaption class=\"wp-element-caption\">Activit\u00e9 des fichiers d'Active Insight sur notre DS1621xs+ : la protection contre les ran\u00e7ongiciels est activ\u00e9e, de sorte qu'un \u00e9v\u00e9nement de ran\u00e7ongiciel C3RB3R d\u00e9tect\u00e9 d\u00e9clenche un snapshot automatique.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Lisez les limites avant de vous y fier. Elles proviennent de la <a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/Active_Insight_File_Activity\" target=\"_blank\" rel=\"noreferrer noopener\">documentation sur l'activit\u00e9 des fichiers<\/a>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>La surveillance de l'activit\u00e9 des fichiers est d\u00e9sactiv\u00e9e par d\u00e9faut.<\/strong> Enregistrez le NAS pour Active Insight dans le Panneau de configuration, puis activez la surveillance pour chaque h\u00f4te dans le portail Active Insight.<\/li>\n\n\n\n<li><strong>Il n\u00e9cessite Snapshot Replication,<\/strong> DSM 7.2 ou version ult\u00e9rieure, Active Insight 3.0.2 ou version ult\u00e9rieure, au moins 1 Go de m\u00e9moire et une licence Active Insight attribu\u00e9e \u00e0 ce NAS.<\/li>\n\n\n\n<li><strong>Au maximum un snapshot automatique par dossier partag\u00e9 et par jour.<\/strong> Il s'agit d'un filet de s\u00e9curit\u00e9 pris apr\u00e8s d\u00e9tection, et non d'un remplacement des snapshots immuables programm\u00e9s.<\/li>\n\n\n\n<li><strong>Non couvert :<\/strong> Les dossiers d'enregistrement de Surveillance Station et les dossiers partag\u00e9s sur les disques USB externes.<\/li>\n\n\n\n<li><strong>L'immuabilit\u00e9 d\u00e9pend du mod\u00e8le.<\/strong> Sur un mod\u00e8le sans snapshots immuables, un attaquant disposant des acc\u00e8s root peut toujours supprimer le snapshot automatique, associez-le donc \u00e0 la planification d'immuabilit\u00e9 ci-dessus.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Vous souhaitez la m\u00eame configuration ?<\/strong> SynoPower Club vend des licences officielles pour ces deux composants : une <a href=\"https:\/\/synopower.club\/fr\/pack-vdsm\/\">licence Virtual DSM (VDSM)<\/a> pour ex\u00e9cuter vos services Docker dans un invit\u00e9 isol\u00e9, et une <a href=\"https:\/\/synopower.club\/fr\/synology-vmm-pro-license\/\">Licence VMM Pro<\/a> pour les plans de protection, la r\u00e9plication inter-NAS et la migration en direct. Les cl\u00e9s sont livr\u00e9es par e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/fr\/pack-vdsm\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenez une licence Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/fr\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenez une licence VMM Pro<\/a><\/div>\n<\/div>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">O\u00f9 trouver plus de ressources officielles<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le ran\u00e7ongiciel C3RB3R sur Synology a \u00e9t\u00e9 rendu public il y a deux jours au moment o\u00f9 nous \u00e9crivons ces lignes, et il n'y a pas encore de couverture vid\u00e9o officielle, donc cette section r\u00e9pertorie les sources primaires plut\u00f4t que des tutoriels.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Le bulletin de s\u00e9curit\u00e9 Synology<\/a> du 29 octobre 2026, qui demande aux utilisateurs de versions obsol\u00e8tes de DSM de mettre \u00e0 jour imm\u00e9diatement et d'activer les mises \u00e0 jour automatiques, suivi le 30 octobre d'un e-mail aux clients confirmant que SA-24:20 est la seule vuln\u00e9rabilit\u00e9 impliqu\u00e9e.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20<\/a> et <a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13<\/a> sont les tableaux de versions. V\u00e9rifiez votre build dans Panneau de configuration, puis Mise \u00e0 jour et restauration, par rapport aux deux.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/lllong1377\/c3rb3r-never-rebooted-still-no-key\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">DSM dans une machine virtuelle Proxmox VE ex\u00e9cutant GitLab<\/a> est le meilleur index de tous les cas connus, y compris ceux non couverts ici, et l'explication la plus claire sur le moment o\u00f9 l'analyse de la m\u00e9moire devient inutile.<\/li>\n\n\n\n<li>Les trois threads r\/synology li\u00e9s ci-dessus, en particulier le rapport d'analyse l\u00e9gale, qui inclut \u00e9tape par \u00e9tape les commandes d'investigation de disque en lecture seule : <a href=\"https:\/\/www.reddit.com\/r\/synology\/comments\/1xhqgov\/well_it_finally_happened_my_first_real_ransomware\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Eh bien, c'est finalement arriv\u00e9<\/a>.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Liste de contr\u00f4le propre \u00e0 Synology (30 octobre 2026)<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;e-mail de Synology aux clients se termine par quatre \u00e9tapes. Elles sont courtes, et chacune d&#8217;elles compte contre le ran\u00e7ongiciel C3RB3R :<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>V\u00e9rifiez la pr\u00e9sence d'intrus.<\/strong> Le ran\u00e7ongiciel C3RB3R laisse une persistance planifi\u00e9e, lancez donc une analyse avec Conseiller de s\u00e9curit\u00e9, puis recherchez dans le Planificateur de t\u00e2ches les scripts que vous n'avez pas cr\u00e9\u00e9s et dans Utilisateur et groupe les comptes administrateur que vous n'avez pas ajout\u00e9s. Si quelque chose semble anormal, contactez l'Assistance Synology.<\/li>\n\n\n\n<li><strong>Mettez tout \u00e0 jour.<\/strong> Installez la derni\u00e8re version de DSM dans Panneau de configuration, Mise \u00e0 jour et restauration, puis mettez \u00e0 jour chaque paquet dans le Centre de paquets.<\/li>\n\n\n\n<li><strong>Activez les mises \u00e0 jour automatiques<\/strong> dans Mise \u00e0 jour et restauration, afin que les futurs correctifs de s\u00e9curit\u00e9 soient appliqu\u00e9s d\u00e8s leur publication.<\/li>\n\n\n\n<li><strong>Conservez une sauvegarde hors site.<\/strong> Utilisez Hyper Backup et Snapshot Replication pour conserver une copie dans un emplacement distinct, et v\u00e9rifiez r\u00e9guli\u00e8rement que les t\u00e2ches de sauvegarde s'ex\u00e9cutent correctement.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">La premi\u00e8re \u00e9tape est celle que les gens n\u00e9gligent. Si votre NAS \u00e9tait accessible depuis Internet avant le correctif de d\u00e9cembre 2024, le ran\u00e7ongiciel C3RB3R y a peut-\u00eatre d\u00e9j\u00e0 pris pied, et faire la mise \u00e0 jour aujourd'hui ne vous indique pas si quelqu'un est d\u00e9j\u00e0 \u00e0 l'int\u00e9rieur.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Un outil gratuit qui ex\u00e9cute la v\u00e9rification pour vous<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Si vous \u00eates \u00e0 l'aise avec un terminal, la premi\u00e8re \u00e9tape peut d\u00e9sormais se faire en une seule commande. synology-nas-cli est un outil en ligne de commande open source sous licence MIT, publi\u00e9 le 30 octobre 2026 par le d\u00e9veloppeur ind\u00e9pendant Akari Sora. Il se connecte \u00e0 DSM via son API web et v\u00e9rifie le bo\u00eetier par rapport \u00e0 cette campagne. Le projet est disponible sur GitHub : <a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">akari-sora\/synology-nas-cli<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nous avons lu son code avant de le mettre en lien. Il utilise uniquement la biblioth\u00e8que standard Python et ne communique avec rien d'autre que votre NAS, le serveur de t\u00e9l\u00e9chargement Synology, PyPI et le kit d'outils de secours soimy. Il n'envoie aucune t\u00e9l\u00e9mesure et l'audit de base est uniquement en lecture seule. Voici ce qu'il v\u00e9rifie :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Niveau de correctif.<\/strong> Votre version de DSM par rapport \u00e0 Synology-SA-26:13, qui couvre \u00e9galement le correctif de l'ancien SA-24:20, et vos paquets install\u00e9s par rapport \u00e0 SA-26:14.<\/li>\n\n\n\n<li><strong>Exposition.<\/strong> QuickConnect, le transfert de port UPnP sur le routeur, le pare-feu DSM, AutoBlock, SMB1 et le compte administrateur int\u00e9gr\u00e9.<\/li>\n\n\n\n<li><strong>Traces du ran\u00e7ongiciel C3RB3R.<\/strong> Les cha\u00eenes de connexion inject\u00e9es dans le journal de connexion, <code>\/etc\/cron.d\/synot*<\/code> les entr\u00e9es, les <code>libgld<\/code> et <code>qnetd<\/code> binaires, les comptes root suppl\u00e9mentaires, les cl\u00e9s SSH et les demandes de ran\u00e7on sur vos partages.<\/li>\n\n\n\n<li><strong>Instantan\u00e9s.<\/strong> Dossiers partag\u00e9s n'ayant aucune planification de snapshot fonctionnelle.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Il peut \u00e9galement corriger la majeure partie de ce qu'il trouve. Si des fichiers sont en cours de chiffrement en ce moment m\u00eame, sa commande contain g\u00e8le le chiffreur avec SIGSTOP, la m\u00eame action que l'\u00e9tape deux de notre liste d'intervention d'urgence. Sa commande rescue pilote ensuite le kit d'outils soimy pour capturer la m\u00e9moire et rechercher la cl\u00e9.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>nas incident                 # audit en lecture seule<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Lisez ces remarques avant de le laisser modifier quoi que ce soit :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Il est tout nouveau.<\/strong> Le projet a quelques jours, provient d'un d\u00e9veloppeur unique, n'est pas affili\u00e9 \u00e0 Synology et a re\u00e7u peu de r\u00e9visions externes. Commencez par l'audit en lecture seule et la simulation (dry run).<\/li>\n\n\n\n<li><strong>La correction du pare-feu peut vous bloquer l'acc\u00e8s.<\/strong> Il bascule le pare-feu DSM pour tout refuser \u00e0 l'exception des r\u00e9seaux que vous indiquez. Ex\u00e9cutez-le depuis un ordinateur situ\u00e9 sur le m\u00eame r\u00e9seau local (LAN) et sachez o\u00f9 se trouve le bouton RESET.<\/li>\n\n\n\n<li><strong>Il d\u00e9sactive QuickConnect.<\/strong> C'est le param\u00e8tre le plus s\u00fbr, mais si votre famille acc\u00e8de \u00e0 Synology Photos ou Surveillance Station via QuickConnect, configurez d'abord un VPN ou Tailscale.<\/li>\n\n\n\n<li><strong>L'analyse approfondie (deep scan), le confinement (contain) et le secours (rescue) s'ex\u00e9cutent en tant que root.<\/strong> Ils fonctionnent via une t\u00e2che temporaire du Planificateur de t\u00e2ches, car c'est le seul moyen de lire les journaux r\u00e9serv\u00e9s \u00e0 root et de geler les processus.<\/li>\n\n\n\n<li><strong>Le fichier README sugg\u00e8re de le confier \u00e0 un agent d'IA.<\/strong> Si vous le faites, conservez le mot de passe dans un gestionnaire de mots de passe plut\u00f4t que dans le chat, et confirmez la correction vous-m\u00eame.<\/li>\n\n\n\n<li><strong>La r\u00e9cup\u00e9ration de la m\u00e9moire ne fonctionne que tant que le chiffreur est actif.<\/strong> La m\u00eame r\u00e8gle que pour les trois cas GitHub s'applique.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Pour le reste du renforcement de la s\u00e9curit\u00e9, nos guides sur <a href=\"https:\/\/synopower.club\/fr\/documents\/synology-nas-security-public-website\/\">h\u00e9berger un site web public sur un NAS Synology<\/a> et sur <a href=\"https:\/\/synopower.club\/fr\/documents\/synology-threat-prevention-blind-spots\/\">ce que Threat Prevention peut et ne peut pas voir<\/a> couvrent le c\u00f4t\u00e9 r\u00e9seau, et le <a href=\"https:\/\/synopower.club\/fr\/synology-php2shell-emergency-patch\/\">guide de correctif PHP2Shell<\/a> couvre l'autre probl\u00e8me critique survenu la m\u00eame semaine.<\/p>\n\n\n\n<h2 id=\"c3rb3r-ransomware-limits-and-security-notes\" class=\"wp-block-heading\">Limites du ran\u00e7ongiciel C3RB3R et remarques sur la s\u00e9curit\u00e9<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La mise \u00e0 jour ne supprime pas une infection existante.<\/strong> Au moins une victime a constat\u00e9 que la persistance cron \u00e9tait toujours en place apr\u00e8s la mise \u00e0 niveau vers le dernier DSM. Si vous \u00e9tiez expos\u00e9 alors que le syst\u00e8me n'\u00e9tait pas corrig\u00e9, v\u00e9rifiez <code>\/etc\/cron.d<\/code>, le Planificateur de t\u00e2ches, les scripts de d\u00e9marrage et les services activ\u00e9s tels que telnet, puis r\u00e9initialisez tous vos identifiants.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00catre \u00e0 jour ne signifie pas \u00eatre sain.<\/strong> Une victime sur Reddit pensait que DSM \u00e9tait \u00e0 jour, et une autre a \u00e9t\u00e9 touch\u00e9e malgr\u00e9 l'activation de la 2FA et d'un mot de passe fort. Un NAS compromis avant d'\u00eatre corrig\u00e9 peut conserver l'implant \u00e0 travers chaque mise \u00e0 jour ult\u00e9rieure. Traitez toute page de connexion DSM accessible depuis Internet comme une cible, y compris celles publi\u00e9es via UPnP que vous n'avez jamais configur\u00e9es intentionnellement. Utilisez un VPN ou Tailscale pour l'acc\u00e8s \u00e0 distance et d\u00e9sactivez l'UPnP sur le routeur.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Le RAID et les sauvegardes locales ne sont pas des protections suffisantes contre le ran\u00e7ongiciel C3RB3R.<\/strong> Tout ce sur quoi le DSM compromis peut \u00e9crire sera chiffr\u00e9, y compris les cibles Hyper Backup sur le m\u00eame appareil et les partages r\u00e9seau mont\u00e9s.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ne payez pas avant d'avoir lu les t\u00e9moignages de victimes.<\/strong> Payer les op\u00e9rateurs du ran\u00e7ongiciel C3RB3R finance la prochaine vague et ne garantit rien. Si le programme de chiffrement est toujours en cours d'ex\u00e9cution, la m\u00e9thode de la m\u00e9moire libre est votre meilleure chance. Si ce n'est pas le cas, les seules options r\u00e9alistes sont vos propres copies externes hors de l'appareil.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Faites attention \u00e0 ce que vous collez dans un assistant IA.<\/strong> Les outils d'IA ont aid\u00e9 plusieurs victimes ici, mais ne leur transmettez pas de mots de passe, de cl\u00e9s r\u00e9cup\u00e9r\u00e9es, de vidages m\u00e9moire complets ou de donn\u00e9es d'entreprise. Laissez-les proposer des commandes et ex\u00e9cutez vous-m\u00eame tout ce qui n\u00e9cessite les droits root.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Le mat\u00e9riel clon\u00e9 comporte des risques suppl\u00e9mentaires.<\/strong> Plusieurs victimes r\u00e9pertori\u00e9es ex\u00e9cutaient DSM sur du mat\u00e9riel non officiel, o\u00f9 les mises \u00e0 jour officielles sont difficiles voire impossibles \u00e0 appliquer. Si tel est votre cas, consid\u00e9rez que vous n'avez pas de correctif et isolez compl\u00e8tement l'appareil d'Internet.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">R\u00e9f\u00e9rences<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noreferrer noopener\">Bulletin de s\u00e9curit\u00e9 Synology sur les attaques de ran\u00e7ongiciels DSM<\/a>, 29 octobre 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-24:20 DSM (Pwn2Own 2024)<\/a>, CVE-2024-10441 et les builds DSM corrig\u00e9s.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_13\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:13 DSM<\/a>, CVE-2026-13639 et CVE-2026-13684, publi\u00e9s le 18 septembre 2026.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/Benjamin-zlt\/c3rb3r-baremetal-rescue\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Sauvetage \"bare-metal\" du ran\u00e7ongiciel C3RB3R par Benjamin-zlt<\/a>, le format de fichier, la disposition des cl\u00e9s et le flux de travail SIGSTOP.<\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/akari-sora\/synology-nas-cli\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">synology-nas-cli par Akari Sora<\/a>, un outil d'audit et de r\u00e9ponse open source pour cette campagne.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.it-connect.tech\/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">IT-Connect sur la campagne C3RB3R<\/a>, r\u00e9sumant l'attribution 360 et la chronologie.<\/li>\n\n\n\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/DSM\/tutorial\/How_to_add_extra_security_to_your_Synology_NAS\" target=\"_blank\" rel=\"noreferrer noopener\">Centre de connaissances Synology : renforcer la s\u00e9curit\u00e9 de votre NAS Synology<\/a>, y compris la mani\u00e8re dont Active Insight prend un instantan\u00e9 d'un dossier partag\u00e9 lorsqu'il d\u00e9tecte un ran\u00e7ongiciel.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Questions fr\u00e9quemment pos\u00e9es<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Qu'est-ce que le ran\u00e7ongiciel C3RB3R ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Le ran\u00e7ongiciel C3RB3R est une variante Linux de la famille Cerber qui frappe les NAS Synology depuis fin octobre 2026. Il renomme les fichiers avec une extension L0CK3D, laisse une note de ran\u00e7on read-me3.txt dans chaque dossier et exige des Bitcoins via une page Tor.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Comment le ran\u00e7ongiciel C3RB3R s'infiltre-t-il dans un NAS Synology ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Via DSM expos\u00e9 \u00e0 Internet. Le 30 octobre 2026, Synology a confirm\u00e9 qu'il exploite uniquement la vuln\u00e9rabilit\u00e9 CVE-2024-10441 issue de Synology-SA-24:20, corrig\u00e9e en d\u00e9cembre 2024, et qu'il n'a aucun lien avec PHP2Shell. Mettez \u00e0 jour DSM, v\u00e9rifiez l'absence de scripts et de comptes administrateur non cr\u00e9\u00e9s par vos soins, et cessez d'exposer DSM directement.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Les fichiers chiffr\u00e9s par le ran\u00e7ongiciel C3RB3R peuvent-ils \u00eatre d\u00e9chiffr\u00e9s gratuitement ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Uniquement si le processus de chiffrement est toujours en cours d'ex\u00e9cution. Gelez-le avec SIGSTOP et videz sa m\u00e9moire, car la cl\u00e9 de session n'existe que l\u00e0. Une fois le processus termin\u00e9 ou le NAS red\u00e9marr\u00e9, aucun outil public ne peut r\u00e9cup\u00e9rer la cl\u00e9.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Dois-je red\u00e9marrer ou \u00e9teindre un NAS infect\u00e9 ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Non. Coupez plut\u00f4t la connexion r\u00e9seau. Un red\u00e9marrage ou un kill -9 d\u00e9truit la seule copie de la cl\u00e9. Gelez d'abord le processus, sauvegardez sa m\u00e9moire sur un autre disque, et seulement ensuite nettoyez.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">La mise \u00e0 jour de DSM supprime-t-elle le ran\u00e7ongiciel C3RB3R ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Non. La mise \u00e0 jour comble la faille mais ne supprime pas ce qui est d\u00e9j\u00e0 pr\u00e9sent. Des victimes ont d\u00e9couvert une persistance via cron ayant surv\u00e9cu \u00e0 une mise \u00e0 niveau. V\u00e9rifiez le r\u00e9pertoire cron.d, les t\u00e2ches planifi\u00e9es et telnet, et remplacez tous les mots de passe.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Les snapshots Synology prot\u00e8gent-ils contre le ran\u00e7ongiciel C3RB3R ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Les instantan\u00e9s immuables le permettent, car personne ne peut les supprimer pendant la p\u00e9riode de verrouillage, pas m\u00eame un compte administrateur pirat\u00e9. Active Insight ajoute un filet de s\u00e9curit\u00e9 en cr\u00e9ant automatiquement un instantan\u00e9 d'un dossier partag\u00e9 lorsqu'il d\u00e9tecte un ransomware, au maximum une fois par jour et par dossier.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Pourquoi ex\u00e9cuter Docker \u00e0 l'int\u00e9rieur de Virtual DSM ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Parce que les snapshots de la machine virtuelle r\u00e9sident sur l'h\u00f4te, en dehors de l'invit\u00e9. Un ran\u00e7ongiciel qui prend le contr\u00f4le de l'invit\u00e9 ne peut pas les voir ni les supprimer, le r\u00e9tablissement se fait donc par simple restauration. VMM Pro ajoute la r\u00e9plication vers un second NAS.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Payer la ran\u00e7on est-il une bonne id\u00e9e ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nous ne le recommandons pas. Le paiement ne garantit pas le r\u00e9sultat et finance la prochaine attaque. Consultez d'abord les cas de r\u00e9cup\u00e9ration sur GitHub, puis restaurez \u00e0 partir de copies conserv\u00e9es en dehors du NAS infect\u00e9.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Faites en sorte que la prochaine attaque du ran\u00e7ongiciel C3RB3R ne vous co\u00fbte qu'une restauration, pas une ran\u00e7on.<\/strong> Ex\u00e9cutez vos services Docker dans Virtual DSM et prot\u00e9gez l'ensemble du syst\u00e8me invit\u00e9 gr\u00e2ce aux plans de protection VMM Pro, r\u00e9pliqu\u00e9s sur un second NAS. SynoPower Club vend des licences officielles pour les deux, avec livraison des cl\u00e9s par e-mail.<\/p>\n\n\n\n<div class=\"wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-a221f4eb wp-block-buttons-is-layout-flex\" style=\"border-style:none;border-width:0px;border-radius:0px;margin-top:var(--wp--preset--spacing--50);margin-bottom:var(--wp--preset--spacing--50);padding-top:var(--wp--preset--spacing--40);padding-right:0;padding-bottom:var(--wp--preset--spacing--40);padding-left:0\">\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/fr\/pack-vdsm\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenez une licence Virtual DSM<\/a><\/div>\n\n\n\n<div class=\"wp-block-button is-style-fill\"><a class=\"wp-block-button__link has-palette-color-4-color has-luminous-vivid-amber-background-color has-text-color has-background has-link-color wp-element-button\" href=\"https:\/\/synopower.club\/fr\/synology-vmm-pro-license\/\" style=\"border-radius:15px\" target=\"_blank\" rel=\"noreferrer noopener\">Obtenez une licence VMM Pro<\/a><\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>C3RB3R ransomware started showing up on Synology NAS units around 28 October 2026, and within a day it was the only topic on r\/synology. Files come back renamed with a .L0CK3D extension (a zero, not the letter O), every folder gets a read-me3.txt ransom note, and a Tor portal asks for Bitcoin. The fastest and [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22235,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[198],"tags":[],"class_list":["post-22234","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/posts\/22234","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/comments?post=22234"}],"version-history":[{"count":4,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/posts\/22234\/revisions"}],"predecessor-version":[{"id":22304,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/posts\/22234\/revisions\/22304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/media\/22235"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/media?parent=22234"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/categories?post=22234"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/tags?post=22234"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}