10月28号起，玩群晖的群里集体"破防"：整库文件后缀变成`.L0CK3D`，每个目录好心地留了一封勒索信`read-me3.txt`，而目前没有通用的解密办法。这个勒索家族叫 C3RB3R，被大规模加密的消息最早就是10月28日在社区里传开的。勒索波次是真的，但"DSM本体存在0day"至今没有官方背书。娃从出生到现在的照片、两TB片库、Obsidian笔记、工程文件，全堆在NAS里——这帮东西第一次真的被勒索盯上了。知乎微博知乎知乎
0元自救：从内存里抢钥匙，窗口极窄
一位工作室玩家的DS918+中招：8.45万个文件、1.2TB被锁，病毒跑了7.5小时。暗网要价折合2.1万元，国内数据恢复公司最终报价2.6万左右——所谓"专业机构"不过是代交赎金再加5000块通道费。小红书
他没掏这笔钱：暗网传样本免费解密成功后，SSH进去发现加密进程（伪装成`/usr/bin/libgld`）还没退出，`kill -STOP`冻住进程（严禁`kill -9`）、导出`/proc/PID/mem`、提取会话密钥、批量解密，8.45万个文件逐字节还原、0赎金。小红书
这套打法已经有社区版工具：10月30日安全研究人员开源了靠内存取证的救援项目`c3rb3r-rescue`。所以中招第一件事不是重装，是别关机——重启、断电、跑杀毒，内存里的密钥瞬间没了。但这波加密10月底基本跑完，多数人的"黄金48小时"已经过了。这招救不回该早做的备份。知乎小红书
这波事件里最害人的三句话
“我升最新版就没事。” 群晖10月29日公告口径：攻击者利用的是2024年12月就已修补的CVE-2024-10441（严重程度评分9.8），打的是迟迟没打补丁的旧系统。360把部分样本入口指向9月披露并已出补丁的高危洞，也有人反馈升级到DSM 7.4.1之后依旧被勒索。攻击面不止"旧版本"这一条线。知乎知乎知乎
“我改了端口、关了admin就安全。” 一位解密成功玩家晒出的环境：DSM 7.2.1、默认端口已改、admin已禁用——照样中招。这些都是卫生，不是铠甲。小红书
“没映射公网，没勒索=没被入侵。” 一位QNAP玩家顺着群晖的事查自家机器，在数据卷根目录翻出隐藏目录，两个可执行样本躺了118天：弱口令被撞、UPnP短暂开过口子，机器一度被当据点。加密是攻击的最后一步，不是第一步。知乎
今晚就做的四件事
补丁查两处：DSM版本对照官方安全通告；再单独打开套件中心查PHP生态——PHP2Shell这个10月22日才公告的洞影响MailPlus、Web Station等一批套件，升了DSM不等于完事。知乎
收掉公网暴露：删掉路由器端口转发规则、关闭UPnP，改走Tailscale这类免映射方案。要公网访问就用子域名反代，让裸IP+端口的扫描器摸不到你（域名也别到处贴）。小红书知乎
重做备份：长期在线可写的"备份"会跟原件一起被加密。拆一块离线冷备盘、只留单向推送，重要资产做足3-2-1。注意群晖不可变快照官方只支持2020+系列机型，DS918+这种2018老机没这待遇。知乎小红书知乎
真机试还原：备份任务显示成功≠还原出来是空的，还原不出来的不叫备份。知乎
群晖是重灾区，QNAP玩家也顺手去翻一遍日志和隐藏目录。自建NAS的安全感，从来不是"最新版"三个字给的——今晚先关端口，再看热闹。
