Ransomware sur un NAS domestique ou de bureau (Synology/QNAP) : arrêt du cryptage et de l'exposition UPnP¶

Entendre les disques durs à l'intérieur de votre stockage en réseau (NAS) appareil (Synology DiskStation, QNAP Turbo NAS, TrueNAS, Asustor, TerraMaster, ou Western Digital My Cloud) se débattant continuellement à 100 % d'utilisation du disque tandis que les dossiers partagés se remplissent de .deadbolt, .ech0raix, .qlocker, .7z, .lockbit, ou .encrypt Les extensions de fichiers (ou le fait de voir l’écran de connexion Web de votre NAS remplacé par une demande de rançon Bitcoin) constituent une urgence de stockage critique. Les appareils NAS sont des cibles privilégiées pour les botnets de ransomwares automatisés à l'échelle d'Internet (DeadBolt, Qlocker, eCh0raix / QNAPCrypt, AgeLocker, Chatterbox, et Akira) car un seul NAS non corrigé contient souvent 10 à 100 téraoctets de la vie numérique entière d'une famille ou d'une petite entreprise et est fréquemment exposé directement à l'Internet public sans que son propriétaire ne s'en rende compte via Router UPnP (Universal Plug and Play) Redirection automatique de port ou services de relais cloud du fournisseur (myQNAPcloud, Synology QuickConnect, EZ-Internet). Avant de retirer le cordon d'alimentation secteur du mur, vous devez prendre une décision architecturale cruciale de 10 secondes selon que votre NAS utilise ou non des instantanés de copie sur écriture (Btrfs ou ZFS) ou une matrice RAID traditionnelle ; pour les pannes de baies de disques non liées à un ransomware, consultez Baie RAID NAS dégradée, panne de plusieurs disques et récupération ZFS/Btrfs, et pour les infections par ransomware sur PC, voir infection par des logiciels malveillants, des rançongiciels et des logiciels espions ainsi que sécuriser les routeurs domestiques et les appareils IoT. Si le ransomware a un impact sur les opérations hospitalières, les services d'urgence municipaux ou les infrastructures de sécurité physique, appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans toute l'Union européenne, 999 au Royaume-Uni) ou consultez notre annuaire des agences internationales numéros d'urgence.

Fais ça maintenant¶

1. Tirez l'Ethernet physique (RJ45 / 10GbE) câble(s) réseau à l'arrière du NAS MAINTENANT, avant de toucher le cordon d'alimentation :
2. Le débranchement du ou des câbles Ethernet coupe immédiatement la session interactive de commande et de contrôle SSH/HTTP de l'attaquant, empêche le NAS de télécharger des charges utiles de chiffrement secondaires et, tout aussi important, arrête instantanément un ordinateur de bureau infecté sur le réseau local de votre bureau local de chiffrer votre NAS sur des partages réseau SMB/CIFS (\\NAS\Share).
3. Déterminez en 15 secondes s'il faut couper l'alimentation ou arrêter proprement le processus de cryptage :
4. Scénario A : Le ransomware s'exécute SUR un ordinateur de bureau sur votre réseau local et crypte les fichiers NAS sur un lecteur réseau SMB/mappé : Il suffit de tirer le câble Ethernet du NAS à l'étape 1 a déjà arrêté 100 % du cryptage sur le NAS. Laissez le NAS sous tension pour que sa matrice RAID et son système de fichiers restent propres, et allez isoler le poste de travail Windows/Mac infecté.
5. Scénario B : Le binaire du ransomware s'exécute directement À L'INTÉRIEUR du système d'exploitation NAS Linux lui-même (DeadBolt, Qlocker, eCh0raix) :
   • Si vous n'avez pas Btrfs ou ZFS instantanés activés (par exemple, un ancien ext4 volume) et les disques broient activement pendant que le NAS crypte votre seule copie des fichiers, appuyez et maintenez le bouton d'alimentation physique avant du NAS pendant 5 à 10 secondes pour forcer une mise hors tension immédiate (ou débranchez la prise d'alimentation CC/CA si le bouton ne répond pas). Chaque minute où le NAS reste allumé permet à son processeur de chiffrer 5 à 20 Go supplémentaires de vos fichiers.
   • Mise en garde importante (Why DeadBolt & Qlocker victims must NOT reboot after recovery) : des souches de ransomwares comme Qlocker (qui déplace les fichiers dans un répertoire protégé par mot de passe .7z archives utilisant 7z) et DeadBolt conserve parfois l'état de cryptage actif ou les clés de déchiffrement dans /tmp (RAM) ou détourner le binaire de l'interface utilisateur Web (/home/httpd/index.html). Si vous disposez toujours d'un shell racine SSH local ouvert sur le NAS, vérifiez ps aux et /tmp avant de mettre hors tension (voir Phase 2 ci-dessous).
6. Connectez-vous à votre routeur Internet/pare-feu (192.168.1.1 / 192.168.0.1 / UniFi / pfSense / passerelle FAI) immédiatement et éteignez UPnP (Universal Plug and Play) ET supprimez toutes les règles de redirection de port WAN pointant vers votre NAS :
7. Plus de 80 % des infections par ransomware pour NAS domestiques et de petites entreprises se produisent parce que l'utilisateur a cliqué sur "Configuration automatique du routeur / EZ-Internet / UPnP" lors de la configuration initiale, ce qui a demandé silencieusement au routeur domestique d'ouvrir ** les ports TCP. 5000, 5001, 8080, 8443, 443, 22 (SSH), ou 445 (PME)** directement sur l'ensemble de l'Internet public (Shodan.io / Censys).
8. Désactivez UPnP de manière permanente dans les paramètres WAN/NAT de votre routeur et supprimez toutes les règles de redirection de port pointant vers l'adresse IP locale du NAS.
9. Ne PAS initialiser, reformater ou exécuter « Réinitialiser/Réinstaller DSM ou QTS » sur les disques durs avant de vérifier si le ransomware a piraté uniquement la partition du système d'exploitation ou le volume de données :
10. Dans des attaques comme DeadBolt, le malware écrase la page de connexion Web du NAS (index.html) pour afficher une demande de rançon en plein écran bloquant l'accès au tableau de bord d'administration QNAP/Synology, même lorsque votre sous-jacent Btrfs / ZFS les instantanés ou les fichiers vidéo volumineux (plus de 20 mégaoctets) sont toujours intacts à 100 % sur les disques.
11. Vérifiez si votre NAS a Btrfs (Synology Snapshot Replication), ZFS (TrueNAS / QuTS hero), ou LVM Instantanés au niveau du bloc (QNAP Storage & Snapshots) :
12. Parce que Btrfs et ZFS les instantanés sont en lecture seule au niveau de la couche de bloc du système de fichiers (et Synology WORM / Les instantanés immuables ne peuvent même pas être supprimés par un root compte administrateur), vous pouvez souvent restaurer 100 % de vos dossiers partagés cryptés en 60 secondes sans perte de données et sans paiement de rançon.
13. Avant de payer une rançon, identifiez la souche exacte du ransomware en utilisant ID Ransomware (id-ransomware.malwarehunterteam.com) et No More Ransom (nomoreransom.org) :
14. Plusieurs souches majeures de ransomware NAS (eCh0raix / QNAPCrypt, tôt Qlocker via photorec / qrescue extraction de journaux, Muhstik, et SynoLocker) disposent de décrypteurs publics gratuits ou de méthodes d'extraction de clés médico-légales publiés par des chercheurs chargés de l'application de la loi et de la sécurité.

Arbre de décision : triage immédiat des ransomwares NAS et chemin de récupération¶

Utilisez ce workflow pour déterminer si l'attaque provient d'un ordinateur du réseau local ou directement sur le NAS, et sélectionnez la méthode de récupération la plus sûre :

flowchart TD
    Symptom["Disques NAS grinçant à 100 % + fichiers renommés (.deadbolt, .7z, .ech0raix, .lockbit) ou l'interface utilisateur Web affiche un écran de rançon"] --> PullLAN["ÉTAPE 1 (dans les 5 secondes) : débranchez tous les câbles Ethernet de l'arrière du NAS"]

    PullLAN --> SourceCheck{"Le cryptage a-t-il arrêté le moment où vous avez débranché le câble Ethernet du NAS ?"}

    SourceCheck -->|"OUI : l'activité du disque est tombée à zéro lorsque le réseau local est débranché"| SMBVector["SOURCE A : Un ransomware s'exécute sur un PC Windows/Mac de votre réseau et crypte les dossiers partagés via SMB."]

    SourceCheck -->|"NON : les disques durs NAS continuent de se débattre avec Ethernet débranché (ou la page de connexion Web du NAS elle-même a été remplacée par un écran de rançon)"| DirectNAS["SOURCE B : Le binaire du ransomware s'exécute directement dans le système d'exploitation du NAS (exploité via UPnP / ports WAN exposés 5000, 5001, 8080, 443, 22)"]

    SMBVector --> IsolatePC["Recherchez et déconnectez le PC infecté sur votre réseau local -> Restaurez les dossiers partagés du NAS à partir d'instantanés Btrfs / ZFS / QNAP ou Hyper Backup"]

    DirectNAS -->SSHCheck{"Avez-vous une session SSH locale active ouverte (ou Qlocker exécute-t-il 7z) ?"}

    SSHCheck -->|"Oui (Qlocker / Processus Active 7z)"| GrabPass["Inspecter ps aux | grep 7z sur SSH pour capturer le mot de passe 7-Zip en texte brut à partir des arguments de ligne de commande avant de tuer le processus"]
    SSHCheck -->|"Pas de disques de broyage SSH / souche inconnue"| PowerOff["Maintenez le bouton d'alimentation du NAS enfoncé pendant 5 à 10 secondes pour forcer une mise hors tension immédiate afin que les fichiers non chiffrés et l'espace libre soient préservés."]

    GrabPass --> KillUPnP["ÉTAPE 2 : Connectez-vous au routeur -> Désactivez UPnP de manière permanente + Supprimez toutes les règles de redirection de port (5000, 5001, 8080, 443, 22)"]
    PowerOff --> KillUPnP
    IsolatePC --> KillUPnP

    KillUPnP --> RecoveryPath{"Quels actifs de récupération existent sur le NAS ?"}

    RecoveryPath -->|"Instantanés de bloc Btrfs / ZFS / QNAP présents"| SnapRestore["Nettoyer la partition du système d'exploitation/mise à jour du micrologiciel -> Restaurer les dossiers partagés vers l'instantané pré-attaque"]
    RecoveryPath -->|"Sauvegarde externe USB / Cloud hors site (Hyper Backup / HBS 3)"| BackupRestore["Effacer et reconstruire le NAS sur le micrologiciel corrigé -> Restaurer à partir d'une sauvegarde hors ligne/cloud"]
    RecoveryPath -->|"Pas d'instantanés et pas de sauvegardes"| ForensicCarve["Cloner des lecteurs en lecture seule -> Vérifiez NoMoreRansom.org + Exécutez PhotoRec / QRescue Unallocated Carving (particulièrement efficace contre Qlocker)"]

Comment NAS Ransomware s’introduit : les deux vecteurs d’attaque¶

Avant de rebrancher votre NAS sur votre commutateur de réseau local, vous devez savoir lequel des deux vecteurs d'entrée complètement différents a autorisé le ransomware sur vos volumes de stockage :

Phase 1 : Coupure de l'exposition Internet (Router UPnP, Port Forwardinget relais cloud)¶

Si vous nettoyez ou restaurez votre NAS sans combler le trou réseau de votre routeur, les botnets automatisés analysant votre adresse IP publique réinfecteront le NAS quelques heures après sa remise en ligne. Terminez d'abord ce verrouillage du réseau sur votre routeur :

1. Connectez-vous à la console d'administration de votre routeur Internet/pare-feu :
2. Ouvrez un navigateur sur un ordinateur ou un téléphone propre et accédez à l'adresse IP de la passerelle de votre routeur (généralement 192.168.1.1, 192.168.0.1, 10.0.0.1, ou via votre application de routeur maillé comme UniFi, Eero, Google Home, TP-Link Deco, ASUS Router, Netgear Nighthawk).
3. Désactiver UPnP (Universal Plug and Play) De façon permanente :
4. Accédez à Avancé > Transfert NAT/WAN/Réseau > UPnP et basculez UPnP sur OFF/Désactivé.
5. Pourquoi UPnP est si dangereux pour les propriétaires de NAS : lorsque UPnP est activé sur votre routeur, n'importe quel appareil sur votre réseau local (y compris l'assistant « EZ-Internet » ou « Configuration automatique du routeur » de votre NAS, ou un logiciel malveillant sur un téléviseur intelligent) peut envoyer silencieusement un message. IGD (Internet Gateway Device) demande à votre routeur en disant "Ouvrez les ports WAN externes 8080 et 5001 sur mon IP locale 192.168.1.50", en contournant votre pare-feu sans jamais demander le mot de passe de votre routeur.
6. Supprimer toutes les redirections de port manuelles (Virtual Server) & DMZ Règles pointant vers le NAS :
7. Accédez à Avancé > Redirection NAT > Redirection de port (ou serveurs virtuels) et supprimez toutes les règles de transfert de ports TCP ou UDP (80, 443, 5000, 5001, 8080, 8443, 21 FTP, 22 SSH, 873 rsync, 445 PME, 32400 Plex si cela n'est pas nécessaire) sur l'adresse IP de votre NAS.
8. Cochez Avancé > DMZ et vérifiez que L'hôte DMZ est désactivé (placer une adresse IP NAS dans la DMZ d'un routeur expose les 65 535 ports TCP et UDP du NAS directement à l'Internet public).
9. Vérifiez depuis l'extérieur de votre réseau que aucun port NAS n'est ouvert :
10. Visitez shodan.io ou grc.com (ShieldsUP) ou exécutez une analyse des ports par rapport à votre adresse IP WAN publique pour confirmer que les ports 5000, 5001, 8080, 8443, 443, et 22 maintenant reviens Filtered / Stealth / Closed.

Phase 2 : Triage d'urgence spécifique à la souche (Qlocker, DeadBolt, eCh0raix)¶

Avant d'effacer le NAS ou de payer une rançon, vérifiez quelle souche spécifique de ransomware NAS a touché votre appareil. Chaque grande famille de NAS présente des faiblesses techniques uniques qui permettent une récupération partielle ou totale des données sans payer :

1. Si vos fichiers ont été remplacés par .7z Archives (Qlocker sur NAS QNAP / Linux)¶

Comment Qlocker fonctionne : au lieu d'écrire un moteur cryptographique personnalisé, Qlocker exécute un script qui invoque le ** intégré du NAS7-Zip (/usr/local/sbin/7z)** binaire pour compresser chaque fichier dans un fichier protégé par mot de passe .7z archiver puis exécuter Linux normal rm (unlink) sur le fichier d'origine. - Triage Trick #1 (Récupérer le mot de passe en direct ps aux Avant la mise hors tension) : Si Qlocker est actuellement toujours en cours d'exécution sur votre NAS et vous pouvez vous connecter localement via SSH (ssh admin@nas-local-ip), exécutez cette commande immédiatement avant de mettre hors tension :

ps aux | grep 7z

2. Si l'écran de connexion de votre NAS a été remplacé par le DeadBolt Page de rançon (.deadbolt fichiers)¶

Comment DeadBolt fonctionne : 1. DeadBolt remplace /home/httpd/index.html (ou /home/httpd/cgi-bin/index.cgi) avec sa propre page binaire/HTML qui détourne votre navigateur Web chaque fois que vous essayez d'ouvrir le tableau de bord QNAP QTS / Asustor ADM, exigeant Bitcoin en échange d'une clé principale de déchiffrement de 32 caractères hexadécimaux (délivrée via un Bitcoin en chaîne OP_RETURN transaction). 2. Comment retrouver l'accès à votre tableau de bord d'administration QNAP QTS / QuTS hero sans perdre vos données : - Option A (via SSH local si activé) : SSH localement sur le NAS (ssh admin@<nas-ip>), arrêtez le voyou deadbolt processus s'il est en cours d'exécution, et exécutez le script officiel de récupération du micrologiciel de QNAP ou restaurez l'original /home/httpd/index.html à partir de l'image ROM système en lecture seule (/mnt/HDA_root/update_pkg/). - Option B (Flash du micrologiciel sans disque + réinsertion à chaud) : 1. Éteignez le NAS. 2. Faites glisser tous les disques durs de 2 centimètres (1 pouce) afin qu'ils soient déconnectés du fond de panier (numérotez d'abord soigneusement l'ordre de leurs baies avec du ruban adhésif). 3. Allumez le NAS sans disques durs, recherchez son IP via Qfinder Pro, lorsque vous y êtes invité sur l'écran de configuration, rebranchez à chaud les disques dans leurs baies exactes et choisissez "Mettre à jour le micrologiciel uniquement (conserver toutes les données et paramètres)" (ne cliquez jamais sur "Initialiser le système", ce qui efface les disques). 3. ** Note importante de décryptage des forces de l'ordre sur DeadBolt** : Dans le cadre d'opérations coordonnées menées par la Police nationale néerlandaise (Politie), Europol (No More Ransom) et Responders.nu, les forces de l'ordre ont réussi à tromper le DeadBolt les acteurs malveillants lors d'une hausse des frais de pool de mémoire ont publié plus de 150 clés principales de déchiffrement avant que les transactions Bitcoin à faible coût des attaquants ne soient annulées via le remplacement par des frais. Vérifier deadbolt.responders.nu et nomoreransom.org pour voir si votre spécifique DeadBolt La clé de l'adresse de la victime a été saisie par la police.

3. Si vos fichiers se terminent par .encrypt (eCh0raix / QNAPCrypt)¶

• Plusieurs générations de eCh0raix (QNAPCrypt) ont utilisé une dérivation de clé AES défectueuse ou ont eu leur commande et contrôle (C2) base de données saisie par des chercheurs en sécurité et les forces de l'ordre.
• Visitez nomoreransom.org et téléchargez deux fichiers cryptés (ou la demande de rançon README_FOR_DECRYPT.txt) pour tester gratuitement Bitdefender / NoMoreRansom eCh0raix Décrypteur avant d'effacer quoi que ce soit.

Phase 3 : Restaurer vos fichiers à partir de Btrfs, ZFS, ou QNAP Instantanés en 60 secondes¶

Si votre NAS a été chiffré par Vecteur n°2 (un PC infecté par un ransomware sur votre réseau local chiffrant les dossiers partagés via SMB), ou si vous aviez Immuable (WORM) Instantanés ou instantanés LVM/Btrfs/ZFS intacts lors d'une attaque directe du NAS, vous pouvez restaurer 100 % de vos fichiers immédiatement :

1. Synology DiskStation (DSM 7.x avec Btrfs Réplication d'instantanés)¶

1. Tout d'abord, vérifiez que le PC infecté sur votre réseau local est déconnecté du réseau et mettez à jour Synology DSM vers la dernière version sous Panneau de configuration > Mise à jour et restauration.
2. Ouvrez le package Snapshot Replication dans Synology DSM.
3. Cliquez sur Récupération dans la barre latérale gauche.
4. Sélectionnez le Dossier partagé chiffré (ou iSCSI LUN) et cliquez sur Récupérer.
5. Parcourez la liste des instantanés planifiés (GMT+...) et sélectionnez l'instantané pris immédiatement avant le début du cryptage du ransomware (cochez Action > Parcourir d'abord pour prévisualiser les fichiers contenus dans cet instantané et confirmer qu'ils sont propres et non cryptés).
6. Cliquez sur Action > Restaurer cet instantané (ou Cloner avec un nouveau nom si vous souhaitez conserver le dossier chiffré intact à des fins de preuve médico-légale tout en montant immédiatement une copie propre du dossier partagé).
7. Parce que Btrfs est une copie sur écriture (CoW), la restauration d'un dossier partagé de 20 téraoctets vers un instantané d'avant l'attaque prend moins de 10 secondes.

2. NAS QNAP (QTS Instantanés LVM au niveau du bloc et QuTS hero ZFS Instantanés)¶

1. Une fois le héros QTS/QuTS corrigé et isolé du WAN, ouvrez Storage & Snapshots.
2. Accédez à Stockage > Stockage/Instantanés, sélectionnez le volume épais, le volume fin ou le dossier partagé ZFS concerné, puis cliquez sur Gestionnaire d'instantanés (l'icône de l'appareil photo).
3. Sélectionnez le dernier instantané propre pris avant l’horodatage de l’attaque.
4. Parcourez l'arborescence des dossiers dans le volet de droite pour vérifier que vos fichiers sont intacts, puis cliquez sur Revert Volume Snapshot (ou sélectionnez tous les dossiers et cliquez sur Restaurer pour écraser uniquement les fichiers cryptés).

3. TrueNAS (CORE / SCALE sur ZFS) et Unraid (ZFS / Btrfs)¶

• Sur TrueNAS (ZFS) : accédez à Stockage > Instantanés (ou Protection des données > Tâches d'instantanés périodiques), recherchez l'instantané propre (tank/share@auto-2026-10-31_12-00), puis cliquez sur Rollback (ou clonez l'instantané dans un nouvel ensemble de données zfs clone tank/share@auto-2026-10-31_12-00 tank/share_recovered afin que vous ne perdiez jamais les instantanés intermédiaires les plus récents).

Phase 4 : Renforcer votre NAS afin qu'il ne puisse plus jamais être crypté (la liste de contrôle en 7 points)¶

Une fois vos données récupérées, appliquez ces sept règles de configuration obligatoires sur votre appliance Synology, QNAP, TrueNAS ou Asustor avant de la reconnecter au réseau :

• 1. Ne transférez jamais aucun port de votre routeur vers votre NAS : utilisez Tailscale ou WireGuard VPN Au lieu de cela :
• Installez le package officiel Tailscale à partir du Synology Package Center / QNAP App Center (ou exécutez le WireGuard VPN Server intégré à votre routeur).
• Tailscale crée un tunnel maillé chiffré WireGuard peer-to-peer sans configuration (100.x.y.z) entre votre téléphone, votre ordinateur portable et votre NAS sans aucun port ouvert sur le pare-feu de votre routeur domestique. Vous pouvez accéder aux photos, aux fichiers et à l'écran d'administration de votre NAS depuis n'importe où dans le monde tandis que votre NAS reste 100 % invisible pour les scanners Internet comme Shodan.
• 2. Désactivez la valeur par défaut intégrée admin Compte et créez un administrateur nommé personnalisé avec 2FA obligatoire :
• Synology DSM et QNAP QTS sont livrés avec un compte par défaut nommé admin (UID 1024 ou UID 0). Des robots automatisés par force brute martèlent le nom d'utilisateur admin 24h/24 et 7j/7.
• Créez un tout nouveau compte administrateur avec un nom d'utilisateur unique, connectez-vous avec ce nouveau compte, accédez à Panneau de configuration > Utilisateur et groupe (ou Utilisateurs) et Désactivez la valeur par défaut. admin compte.
• Activez Authentification obligatoire à 2 facteurs (OTP / Passkey / Approve Sign-in) pour tous les comptes d'administrateur.
• 3. Activer Immuable (WORM) Instantanés (7-to-14-Day Retention Lock) :
• Sur Synology DSM 7.2+ : ouvrez Snapshot Replication > Snapshots > Paramètres > Planification, activez les instantanés quotidiens et cochez "Activer les instantanés immuables" avec une période de protection de 7 à 14 jours. Même si un pirate informatique vole votre mot de passe root ou exploite une vulnérabilité du noyau dans DSM, personne (pas même root) peut supprimer un instantané immuable jusqu'à l'expiration de l'horloge matérielle de 7 jours.
• Sur QNAP QuTS hero/QTS : configurez un Snapshot Replica Vault ou activez WORM (Write Once, Read Many) politiques de rétention sur les partages de sauvegarde critiques et assurez-vous que "Réserver l'espace d'instantané" est activé.
• 4. Restreindre les autorisations de partage réseau SMB (Least Privilege) Ainsi, une infection d'ordinateur portable ne peut pas chiffrer l'ensemble du NAS :
• Ne mappez jamais le maître de votre NAS admin informations d'identification dans l'Explorateur de fichiers Windows (\\NAS\) sur les ordinateurs portables de tous les jours.
• Créez un compte utilisateur non administrateur standard pour un accès quotidien aux fichiers et définissez vos dossiers d'archives/photos (par exemple, 2010-2025 Family Photos Archive) à Lecture seule (ro) pour les utilisateurs d'ordinateurs de bureau quotidiens, de sorte que si le PC Windows d'un membre de la famille est détecté par un ransomware, le PC peut lire ces dossiers mais ne peut pas les chiffrer ou les modifier.
• 5. Activez le pare-feu intégré du NAS (Allow LAN + Tailscale Subnets Only) et blocage automatique :
• Dans le Panneau de configuration Synology > Sécurité > Pare-feu (ou QNAP QuFirewall), créez une règle de liste autorisée stricte autorisant les connexions uniquement à partir de votre sous-réseau LAN local (192.168.1.0/24) et votre sous-réseau Tailscale/VPN (100.64.0.0/10), suivi d'une règle inférieure définie sur Tout refuser. Même si quelqu'un se retourne accidentellement UPnP de retour sur le routeur, le filtre de paquets interne du NAS supprimera instantanément tous les paquets Internet publics.
• 6. Désactivez SSH (Port 22) et Telnet (Port 23) Lorsqu'il n'y a pas de dépannage actif :
• Laissez SSH désactivé** dans Panneau de configuration > Terminal et SNMP pendant le fonctionnement quotidien normal ; activez-le uniquement pendant les 10 minutes dont vous avez besoin pour exécuter une tâche de ligne de commande, puis désactivez-le immédiatement.
• 7. Maintenez une véritable sauvegarde cloud « 3-2-1 » avec espacement aérien/immuable (Hyper Backup / HBS 3) :
• Suivez notre sauvegardes informatiques et guide de reprise après sinistre 3-2-1: configurer Synology Hyper Backup ou QNAP Hybrid Backup Sync (HBS 3) pour transférer des sauvegardes dédupliquées côté client chiffrées la nuit vers un disque dur USB externe que vous débranchez physiquement ou vers un objet verrouillé (S3 Object Lock Compliance Mode) compartiment cloud (Backblaze B2, Wasabi, ou AWS S3) à l'aide de clés API restreintes en ajout uniquement.

Numéros d'urgence régionaux et protocoles des agences¶

Les attaques de ransomware ciblant les appareils NAS font l'objet d'enquêtes par les agences nationales de cybercriminalité du monde entier, qui maintiennent des référentiels de clés de déchiffrement saisies (No More Ransom) et traquer les infrastructures criminelles :

• États-Unis et Canada :
• ** Panne d'urgence pour la sécurité des personnes ** : Composez 911 si un ransomware perturbe les systèmes de santé ou de sécurité physique.
• Centre de plaintes contre la criminalité sur Internet de la CISA et du FBI (IC3) : Signaler les campagnes de ransomware NAS (DeadBolt, Akira, LockBit, Qlocker) à stopransomware.gov, ic3.gov, ou appelez CISA au 1-844-Say-CISA (1-844-729-2472).
• Centre canadien pour la cybersécurité et GRC : Rapport à cyber.gc.ca (1-833-CYBER-88) ou le Centre antifraude du Canada.
• Royaume-Uni :
• Services d'urgence : Composez 999 (ou 101 pour les policiers non urgentistes).
• Action Fraud & NCSC : signalez les incidents de ransomware à actionfraud.police.uk ou appelez 0300 123 2040 (ligne d'incident cyber en direct 24h/24 et 7j/7). Les petites entreprises et les organismes de bienfaisance peuvent consulter le NCSC Cyber Incident Response (ncsc.gov.uk) portail.
• Union européenne :
• Services d'urgence : Composez 112 dans tous les États membres de l'UE.
• Centre européen de lutte contre la cybercriminalité Europol (EC3) & NoMoreRansom.org : Vérifier nomoreransom.org (maintenu par la police nationale néerlandaise, Europol et les agences partenaires) pour les clés de déchiffrement des ransomwares NAS saisies, et signalez-les à votre CSIRT national et à votre autorité de protection des données (DPA dans les 72 heures si des données personnelles ont été exfiltrées ou perdues en vertu du RGPD).
• Australie et Nouvelle-Zélande :
• Services d'urgence : Composez 000 en Australie ou 111 en Nouvelle-Zélande.
• Centre australien de cybersécurité (ACSC) : Appelez la hotline Ransomware 24h/24 et 7j/7 au 1300 CYBER1 (1300 292 371) ou signalez-vous à cyber.gov.au.
• CERT NZ : rapport à cert.govt.nz.
• Inde et Asie-Pacifique :
• Inde (CERT-In et ligne d'assistance contre la cybercriminalité) : Composez 1930 ou signalez-vous à cybercrime.gov.in et incident@cert-in.org.in.
• Taïwan (TWCERT/CC, juridiction d'origine des PSIRT Synology, QNAP et Asustor) : Soumettez les tickets d'incident de sécurité du fournisseur directement à QNAP PSIRT (service.qnap.com) ou Synology PSIRT (synology.com/en-global/security/advisory).

Questions fréquemment posées¶

Comment un ransomware a-t-il infecté mon NAS QNAP ou Synology alors que je n'ai jamais cliqué sur un lien de phishing et que mes ordinateurs sont complètement propres ?¶

Votre NAS a été infecté directement depuis l’Internet public sans toucher à vos ordinateurs. Soit votre routeur Internet avait UPnP (`Universal Plug and Play`) activé (permettant à la fonctionnalité « Configuration automatique du routeur / EZ-Internet / myQNAPcloud » du NAS d'ouvrir les ports en silence 8080, 443, 5000, 5001, ou 22 sur votre pare-feu), ou vous avez redirigé manuellement un port pour accéder à vos fichiers à distance. Les botnets automatisés analysent en permanence chaque adresse IP publique sur Internet et exploitent les vulnérabilités non corrigées ou les vulnérabilités faibles. administrateur mots de passe sur les interfaces Web NAS exposées.

Comment puis-je savoir si le ransomware s'est exécuté directement dans mon système d'exploitation NAS ou sur l'un de mes ordinateurs Windows via un partage réseau ?¶

Examinez trois indicateurs : Premièrement, si le Écran de connexion à l'administration Web du NAS lui-même a été remplacé par une demande de rançon (comme Pêne dormant), ou si seul le NAS a des fichiers cryptés alors que tous les PC de votre réseau sont propres, le malware s'exécute directement dans le système d'exploitation Linux du NAS. Deuxièmement, ouvrez le Journal de connexion NAS / Journal de transfert de fichiers SMB (dans Synologie Centre de journaux ou QNAP Centre QuLog) : si vous voyez une adresse IP LAN locale (comme 192.168.1.24) effectuant des dizaines de milliers de rapides Écrire / Renommer / Supprimer opérations sur PME, puis l'ordinateur à 192.168.1.24 est l'appareil infecté qui chiffre votre NAS sur le réseau.

Pourquoi DeadBolt crypter uniquement le début de mes gros fichiers vidéo ou de base de données, et puis-je quand même lire ou réparer des fichiers partiellement cryptés ?¶

Pour chiffrer des dizaines de téraoctets de stockage NAS avant que le propriétaire ne remarque que les disques durs grincent et débranche la prise, des efforts comme Pêne dormant chiffrer uniquement le 512 premiers kilo-octets (`524,288 bytes`) de chaque fichier et joindre le .pêne dormant extension, laissant les gigaoctets restants du fichier intacts en texte brut. Même si la perte des 512 premiers Ko détruit complètement les petits documents et les photos JPEG, gros fichiers vidéo de plusieurs gigaoctets (`.mp4`, `.mov`, `.mkv`), les images brutes de la caméra et certaines images de disque de machine virtuelle (`VMDK`/`VHDX`) ou les bases de données SQL peuvent souvent être réparées en transplantant un en-tête de conteneur valide (`moov` atome) à partir d'une autre vidéo enregistrée avec la même caméra en utilisant des outils comme non tronqué.

Est-ce que Synology QuickConnect ou myQNAPcloud Link est-il sûr de laisser activé si je désactive l'UPnP et la redirection de port du routeur ?¶

Avec le routeur UPnP et la redirection manuelle de port complètement désactivés, les services de relais sortants comme Synology Relais QuickConnect et Lien myQNAPcloud sont nettement plus sûrs que les ports WAN ouverts car ils n'ouvrent pas les ports d'écoute sur le pare-feu de votre routeur. Cependant, ils exposent toujours l'écran de connexion de votre NAS (`DSM` / `QTS` gestionnaire d'authentification Web) à toute personne connaissant ou devinant votre `QuickConnect ID`. Pour une sécurité maximale, désactivez l'accès du relais public à l'interface d'administration et utilisez Échelle arrière ou VPN WireGuard à la place, ce qui nécessite une authentification du dispositif cryptographique avant un seul paquet HTTP peut même atteindre votre serveur Web NAS.

Dois-je payer la rançon Bitcoin pour DeadBolt, Qlocker, ou eCh0raix si je n'ai ni sauvegardes ni instantanés ?¶

Organismes chargés de l'application de la loi (`FBI`, `CISA`, `Europol`, `NCSC`) déconseille fortement de payer des rançons, car le paiement finance des syndicats criminels et ne garantit pas que le script de décryptage automatisé de l'attaquant fonctionnera sans corrompre les fichiers. Avant d'envisager le paiement : (1) Imagez ou préservez les disques afin de ne pas aggraver les choses, (2) Vérifiez **`nomoreransom.org`** et **`deadbolt.responders.nu`** pour voir si les forces de l'ordre ont déjà saisi le passe-partout de votre souche, (3) Pour **`Qlocker`**, cours **`PhotoRec` / `QRescue`** sur l'espace disque non alloué (qui récupère fréquemment 60 % à 90 % des originaux supprimés gratuitement), et (4) Pour les grands `.mp4`/`.mov` vidéos touchées par le cryptage d'en-tête partiel, testez la reconstruction de l'en-tête avec `untrunc`.

Guides associés¶

• Infection par logiciels malveillants, ransomwares et logiciels espions : confinement et récupération immédiats
• Sécuriser les routeurs domestiques et les appareils IoT
• Baie RAID NAS dégradée, panne de plusieurs disques et récupération ZFS/Btrfs
• Sauvegardes informatiques, stratégie 3-2-1 et reprise après sinistre
• Correctifs d’urgence contre les exploits Zero Day et isolation des appareils en fin de vie
• Numéros d'urgence par pays

Sources et directives officielles¶

• Agence de cybersécurité et de sécurité des infrastructures (CISA) et le Bureau fédéral d'enquête (FBI) (StopRansomware.gov): Alerte sur le stockage en réseau (NAS) Appareils ciblés par DeadBolt, Qlocker, eCh0raix et Akira Ransomware.
• Centre européen de lutte contre la cybercriminalité Europol (EC3) et la police nationale néerlandaise (Politie) (NoMoreRansom.org) : Opération DeadBolt Key Seizure, référentiel de décryptage eCh0raix et directives d'atténuation des ransomwares.
• Équipe de réponse aux incidents de sécurité des produits QNAP (QNAP PSIRT) et Conseil consultatif de sécurité de Synology : Bulletins techniques sur la désactivation du routeur UPnP, la récupération des consoles d'administration piratées, QRescue (PhotoRec) Récupération non allouée et activation de l'immuable WORM Instantanés.
• Centre national de cybersécurité (NCSC) (Royaume-Uni) : Atténuation des logiciels malveillants et des ransomwares sur le stockage réseau et les petits appareils de bureau.