10月28日深夜到29日早上，一批群晖NAS用户发现自己的文件打不开了：共享文件夹里的文件名被统一追加".L0CK3D"后缀，根目录留下一封名为read-me3.txt的勒索信，指引受害者访问暗网站点。应急响应团队Solar将该家族暂命名为C3RB3R，受害者从家庭照片库到工作室素材库、小企业服务器都有。知乎知乎知乎
大多数人的第一反应是拔网线、关机、重启、杀毒。这一步，很可能扔掉的是整件事里唯一的找回机会。
一位摄影工作室主理人的黑群晖DS918+在10月30日凌晨中招：8.45万个文件、约1.2TB的素材被加密。攻击者开价0.03696 BTC，折合约2.1万元；他咨询数据恢复机构，报价2.6万，后来才发现所谓专业机构也只是代交赎金的中间商。他没有付钱，而是SSH登进系统，发现伪装成/usr/bin/libgld的加密进程还没跑完，用kill -STOP把进程冻结，读取并导出进程内存，从中提取出会话密钥，写脚本批量解密，最终8.45万个文件与原件逐字节一致，0元脱困。完整流程和工具被他开源在了GitHub。小红书
为什么不能关机？Solar对样本的分析显示：C3RB3R对每个文件用独立密钥加密，而解开这些密钥的会话主密钥只存在于加密进程的运行内存里。进程跑完退出、或者设备重启，内存被系统回收，密钥就没了，数据只能留在攻击者手里。所以救援窗口只有一条线：加密器还活着。那位工作室主理人的时间线也悬在悬崖边上——病毒03:05开始运行，10:37才被发现，加密已经跑了7.5小时。知乎小红书
但这不是通用解药。Solar明确说该恢复方式条件苛刻：设备已经重启、样本属于其他变种，工具就用不上。自行制作恢复脚本的用户也提醒，对早已加密完毕的设备，到11月3日窗口已经过去。更常见的是发现得太晚：一位QNAP用户借这轮事件自查NAS，在硬盘深处翻出118天前被写入的隐藏目录和可执行文件。另一位用户直到自建页面报错，才发现28个文件早在12天前已被另一种勒索软件加密。知乎小红书知乎小红书
真正救命的，是勒索软件够不着的东西。那位隔了12天才发现的用户，靠异机保留的多版本备份找回了全部数据。另一位用户在笔记里说，这轮保住自己的是平时拔线的离线冷备份和提前从GitHub社区拿到的解密工具。也有人因为定时快照没有做权限隔离，攻击者拿到系统权限后顺手清空了全部快照。小红书小红书知乎
入侵入口目前没有官方定论。群晖发布了安全公告、列出各分支最低安全版本，初步排查认为攻击者利用的是早已修复的旧漏洞。10月下旬集中中招的大多数设备一直没升级。但应急团队现场核查发现，有受害设备已经在运行最新的DSM 7.4.1。截至11月3日，受影响设备数量和被利用的具体缺陷仍未公开。已知的一点是：中招设备几乎都能从公网访问到管理入口。有人改了默认端口、关掉了admin账号照样中招。有人是自建服务的Web端口直接暴露在公网被人找到。知乎知乎知乎小红书知乎小红书小红书
把系统和套件升到受支持版本，关掉端口映射、DMZ、QuickConnect和UPnP里不需要的暴露，远程访问改走VPN或加密隧道，设强密码加两步验证，异机多版本备份留着并定期试恢复。勒索软件加密不了不在它眼前的数据。
