群晖被勒索，铁威马用户先别急着庆幸：勒索病毒不挑品牌
10月29日早上，不少NAS用户开机傻眼：几乎所有文件都被添加了l0ck.3d后缀，根目录还躺着一个read-me3.txt勒索信。应急团队追踪后，暂把这个家族命名为C3RB3R。这波从10月28日凌晨起已大面积爆发。知乎知乎
中招之后的路都难看：交赎金得从黑客指定网址下载加密浏览器，还有二次中毒风险；淘宝“数据恢复”灰产，本质只是替你和黑客讲价——目前并不存在可以破解加密的成熟技术。知乎
事件发酵后被问得最多的是：“我用的不是群晖，是不是就安全了？”“换一家是不是就没事了？”答案是泼冷水：不，勒索病毒不挑品牌。黑客找上门的方式其实很笨：不针对你，只扫全网——你的NAS不需要被谁专门盯上，只需要被扫到，一直在线、外面又够得着的机器都在射程里。知乎
群晖随后表态：本次利用的是2024年12月已修复的已知漏洞，不是新版DSM的零日漏洞，请用户立即升级DSM并开自动更新。但现场情况更微妙：应急团队上机检查发现，受害设备已经更新到当前最新DSM版本，入侵入口尚未确认，套件、泄露凭据或其他暴露的服务都排除不掉。挨打的不只是没打补丁的，还有打了补丁却把门大敞着的。微博微博知乎
更扎心的是，铁威马自己的名字也在被勒索团伙真实用过的漏洞名单里：CVE-2022-24990只评了7.5分，但攻击者向设备的api接口发一个带TNAS标识的请求，服务器就在响应里把管理员口令直接返回给他。判断漏洞危不危险，第一句人话是“要不要账号”，而不是看分数。不再更新的旧机器还要问一句：它明年还能收到安全更新吗？答案是否定的，就把公网入口全撤掉，只当内网盘用。知乎
这轮事件里最贵的错觉，是“我有快照”这四个字。快照和数据在同一台机器上，不少勒索病毒进门第一动作就是删快照、加密在线同步副本。真正丢的从来不是快照，是机器之外的那份数据。知乎知乎
好消息是TOS7的备份工具箱基本给齐，坏消息是很少有人把它叠满，三层一层都不能省：
第一层，堵门：固件和套件该升升，别把补丁当骚扰提示划掉——群晖的病不是没药，是药发了两年没人吃。远程访问别把Web端口裸映射到公网，想避开扫描，原则只有一个：在公网上尽量把你的NAS藏起来。知乎知乎
第二层，出机副本：前面板插U盘按一下，就能自动备份指定文件夹；重要资料再走CloudSync同步到网盘；有玩家干脆多买一台铁威马放父母家，两台机器每天凌晨自动同步。知乎
第三层，物理隔离：对付勒索的最终底牌是离线冷备份。像D4-320这类纯硬盘柜没有系统、没有网口，平时断电收纳，到备份周期才接通电脑，跑完再拔掉——物理断连，是软件防火墙给不了的。一位刚被勒索的用户说得朴素：幸好还有离线备份，不然真的遭了。知乎微博
双11正热，10月20日发售的四盘位F4-213让不少家庭有了第一台NAS。入坑恭喜，但请务必先做一件事：把最重要的数据，在机器外面再存一份。买NAS是为了装回忆和资产，不是装风险。今晚顺手查一下：你的数据，有第二份吗？知乎
