一条热评把惨状说透了：凌晨一点被人"进家门"，睡醒时文件已经全加密完。10月28日起，针对群晖NAS的勒索病毒潮陆续爆出：文件被加上 .LOCK3D 后缀，目录里躺着一封 read-me3.txt 勒索信，目前没有通用解密办法。B站相关视频攒下700多条评论，大半在问同一件事：怎么办？知乎哔哩哔哩
官方口径是旧洞。群晖10月29日公告，攻击者利用的是 system plugin daemon 命令注入漏洞（CVE-2024-10441，严重程度评分9.8），2024年12月就发了补丁，官方口径明确：打的是还在跑过时DSM版本的机器。但现场信息对不上：国内Solar应急响应团队10月28日就发布勒索预警，点出群晖NAS最新版遭勒索病毒攻击、疑似涉及0day漏洞。他们处置的现场里就有跑当时最新版DSM的受害机器，团队也强调最新版被加密不等于0day，也可能从套件、凭据或其他暴露服务进来。这事证据只覆盖到这里，结论先按住——但用户手里只剩两个变量：机器有没有暴露公网，补丁有没有打上。知乎Solar应急响应
中了毒，第一动作不是重启，是别动。 Solar团队实测显示，加密器速度可达约2至3GB/s，别贸然关机重启或杀进程，这些操作可能破坏内存恢复条件。自救指南视频的标题就是这句话的展开：千万别kill进程，密钥在内存里。正确顺序：断网隔离、保留现场、别删加密文件和勒索信，再走内存转储提取密钥。10月底起，安全研究人员在GitHub开源了c3rb3r-rescue等项目，把这套取证流程工具化。真实案例冷热不一：有位物理黑群晖用户拆盘用DiskGenius扫回了大量照片和文件，代价是文件名全乱。已经重启过的，基本只剩备份能指望——有位中招者的原话：幸好还有离线备份，不然真的遭了。知乎哔哩哔哩知乎哔哩哔哩微博
没中招的，这周把三件事做完。
一、堵门。 翻一遍路由器端口映射：DSM 的 5000/5001、Drive 的 6690、各类套件默认端口，别直接裸露公网。评论区高赞把话说得很直白：设置双重验证、禁SSH、改端口完全拦不住，人家根本不用密码就能推门而入。要远程访问，走 WireGuard、Tailscale 或 FRP+Web应用防火墙这类通道；反代不会让DSM变安全，它只是把门牌号换了个更体面的，补丁才是唯一解。哔哩哔哩知乎
二、补丁打全。 11月12日群晖又更新DSM修了两个高危洞：CVSS3评分9.8的Auth API SQL注入，可让远程攻击者读写任意文件；以及8.6分的rsync认证绕过——与上月勒索事件属于另一组独立漏洞，且自动更新并非万无一失。别忘了10月22日的 PHP2Shell 公告：MailPlus、Web Station、Calendar 等依赖PHP的套件，要单独去套件中心升PHP，升完DSM不等于结束。微博知乎
三、给备份留一份"够不着的"。 这次最惨的反而是有备份的人：有人连设置互相备份的两台NAS都被一锅端。拿到权限后，勒索病毒的写操作会直接同步落到镜像盘和在线备份盘上，一起陪葬。最朴素的办法是冷备份：单独一份盘，写满就弹出断电——勒索软件再快，也够不到一块不在线的盘。哔哩哔哩小红书
NAS里存着的，多半是钱补不回来的那部分：孩子从出生到现在的照片、攒了十几年的工程文件。今晚睡前花十分钟，打开路由器后台看一眼映射列表，这笔账怎么算都值。
