10月28日凌晨起，NAS社区陆续冒出同一幅画面：机箱风扇整夜狂转，早上打开共享文件夹，照片、合同、数据库全被加上 `.L0CK3D` 后缀，每个目录躺一封 `read-me3.txt`，落款“C3RB3R INSTRUCTIONS”。最让人后背发凉的不是没设防的人中招，而是有人设了十几位复杂密码、开了2FA、还打开了“输错5次封锁IP”，照样被锁得干干净净。知乎知乎
密码没错，只是压根没走到密码那一步
有受害者拆下硬盘只读挂载取日志还原出了链路，套路和 Rapid7 在 DEF CON 33 拆过的群晖利用链一致：
网页登录框像个前台，你填的用户名会被打包成内部表单，交给一个有 root 权限的后台进程处理。旧版本没检查用户名里有没有偷塞内部用的结束分隔符。攻击者塞了，还带上 Linux 动态链接器的环境变量——系统在校验账号之前，就以 root 往计划任务目录写了一行脚本。前台还在礼貌提示“登录失败”，后台的定时任务已经跑起来了。知乎
全程只发一个请求，不触发失败计数。所以强密码、2FA、IP封锁在这一层集体失效——不是你配错了，是这类漏洞根本不经过你配的那道门。
补丁得打，但打完不等于结束
入口归因还没定：群晖10月29日公告说利用的是一个2024年12月就已修复的漏洞，360反勒索团队指认的则是9月披露、当月底就有补丁的 CVE-2026-13639 与 CVE-2026-13684（都是 CVSS 9.8），官方没点名编号。能确定的是补丁才发一个多月，公网上还挂着大批开着 5000、5001 端口没升级的设备——典型的1day，不是没补丁，是有补丁你没打。也有应急团队在已升到最新 DSM 的机器上找到了受害者。知乎知乎
别只盯群晖，也别把线混了：同期的 PHP2Shell 让群晖破例给停止支持的 DSM 6.2 到 7.2 推了更新，但 HKCERT 提示群晖并未确认它与本轮勒索有关；威联通11月5日修的 Plex2Shell 打在第三方 Plex 套件上，其他品牌装了同样要处理。知乎微博
真正该查的两处，都不在 NAS 的设置界面里
第一处在路由器上。 这轮中招设备唯一的共同点是管理端能被公网直接访问，而这个“能被访问”你在 DSM 里翻遍也看不见：端口转发列表里那条指向 5001 的规则；UPnP——设备自己就把外网端口开了；IPv6——运营商默认给 v6 地址，防火墙一放行和 v4 裸奔没区别；还有 Plex 的 32400 端口和挂上域名的反向代理。澳门司法警察局11月3日的通报里，六条建议最要紧的也是这条：别把设备登入界面直接开放给互联网。知乎知乎微博
威联通的处置 FAQ 说得更直白：漏洞窗口期若曾对公网开放，就按“可能已被入侵”处理，不是点一下升级就完事。有位 QNAP 用户10月底翻自家机器，在数据卷根目录找到一个7月4日创建的隐藏目录和两个可执行文件——样本躺了118天，没等到第二条指令。救他的不是安全配置，是运营商的共享地址让入站天然进不来。“现在扫不到”回答的是此刻，回答不了过去有没有人进来过。知乎知乎
第二处在备份的边界上。 这轮最反常识的是：连备份一起被加密了。Hyper Backup 从存储池A备到同机的存储池B，或备到插在这台 NAS 上的 USB 盘——在你心里这是“两份数据”，在勒索软件眼里只是“待加密清单的第 N 项”，它只看挂载点和写权限。RAID 更惨，镜像忠实地把加密后的文件同步到每块盘，冗余成了帮凶。快照没开不可变一样会被删，有人醒来发现快照列表是空的。知乎小红书
一句话：“备份”和“能恢复”之间的等号，只有副本具备独立安全边界时才成立。 有位用户全身而退，靠的不是破解，是一块备完就拔电源线、锁进抽屉的冷备盘，保住了八成老数据。知乎
今晚十分钟
路由器里删掉指向 NAS 的端口转发、关掉 UPnP、确认 IPv6 入站没放行。DSM 或 QTS 按机型升到当前安全版并打开自动更新，停用预设 admin，卸掉不用的套件。备份里留一份攻击者摸不到的：拔线的冷备盘，或开了不可变的异地副本——而且要真还原一次才算数。
已经看到 `.L0CK3D` 或勒索信的：立刻断网隔离，保留勒索信和日志，别急着重装格式化。也别指望付赎金——补丁堵的是入口，不负责清掉已经留下的东西。知乎
这轮风波真正的价值不是制造恐慌，是把一件事变成了常识：NAS 不该挂在公网上等人来敲门。
