这波群晖勒索（C3RB3R/.L0CK3D）有个很残酷的分界线：同一批机型、同一个外网端口，有人几TB的照片素材一夜变脸，文件全部挂上 .L0CK3D 后缀、每个目录多出一份 read-me3.txt 勒索信。而有人因为"备份机下班就关机"毫发无损。差别不是运气，是那本保险有没有做成"删不掉"的。知乎小红书
前两道闸门大家已经被反复提醒：关掉公网端口、把DSM打补丁。官方在10月22、28、29日连续追加公告，破例给6.2、7.0、7.1、7.2这些EOL版本紧急推送PHP安全更新包。知乎
但也有装着7.4.1-90080 Update 1的RS1221+照样被加密。“我系统是新的”，恰恰是最容易跳过最后一道防线的一句话。知乎
先把三道防线掰开：RAID防盘炸、快照防误删和勒索、冷备防一锅端。RAID 1/5/6不是备份，加密进程往卷上写，镜像盘毫秒级同步，你只会收获一份完美对称的加密副本。而这一波里，普通快照离被清掉只差黑客的一次"删除"。小红书知乎
真正"删不掉"的，是带蓝色盾牌的不可变快照。动手前先确认：DSM 7.2及以上、Btrfs存储池、20系列及以后的新款机型（DS920+、DS224+、DS925+这类）。用ext4的机主拿不到蓝盾，只能走普通快照+离线冷备。知乎
操作在快照复制（Snapshot Replication）里：定时任务勾选"启用不可变快照"，保护期可填1到30天、别一上来拉满30天（锁定期内快照占着空间不放），群晖官方知识库建议填7到14天。知乎
改系统日期也没用——倒计时按硬盘实际通电小时数往下走。被锁的快照连格式化、恢复出厂设置都绕不开。而快照本身几乎不占空间：CoW机制首张只记元数据，1TB几秒搞定。知乎小红书
三个坑，各对应一类人：
老机型别硬开。 DS918+、DS218+、DS1019+ 官方界面里就没有蓝盾入口；改synoinfo.conf强开worm=yes的教程，则被开源维护者007revad明确警告：倒计时根本不会走，快照变成永不解锁的"钉子户"，最后只能拆盘插电脑上格式化。知乎
下载盘别贪多。 BT、监控录像、虚拟机这类高频目录不要开不可变快照：每天下载300GB、连下一周，看着空空如也的2TB硬盘会被快照撑满，还"保护期未到、禁止删除"。给文档库设个配额更稳。
卸PHP要过脑子。 Hyper Backup强绑定PHP 7.4，强行卸载会连带把备份套件拆走、全部定时备份当场停摆。知乎
还有两个最容易被忽略的"连坐"点。Cloud Sync会把刚生成的 .L0CK3D 加密文件和勒索信源源不断同步进OneDrive，把云端干净的备份挨个覆盖成乱码。常年挂着的外置备份盘也一样危险——普通备份盘常年挂着，勒索软件顺着共享一样给你加密。正确姿势是Hyper Backup到外置盘或异地，备完就断电：重要资产务必做好3-2-1异地冷备与只读快照。知乎小红书小红书
真中招了，处置顺序是先拔网线、但严禁关机、严禁重启、严禁运行杀毒软件。内存密钥救援另说，回到快照恢复：进快照页设置-高级，把「让快照可见」勾上，从只读的#snapshot文件夹拷文件出来核对。不想覆盖现状就用"以新名称克隆"、CoW不多占一倍空间。整目录按"断网→翻干净快照→还原到此快照、并勾上还原前拍摄快照"走。小红书知乎小红书
查前提、开蓝盾、拔备份盘——三个动作，今晚就能做完。
