10月28日凌晨开始，不少群晖用户一觉醒来"天塌了"：机箱风扇整夜狂转，照片、片库、工程文件全被加上.L0CK3D后缀，每个文件夹里躺着一封read-me3.txt勒索信。知乎知乎
连澳门司警局都为此发布警报：这波名为C3RB3R的勒索病毒，是老牌Cerber家族面向Linux的最新变种，靠自动化扫描全球公网无差别收割。多位受害者翻查日志，都抓到了同一个境外IP发起的"失败登录"——是同一批自动化扫描器在全球公网无差别收割。微博哔哩哔哩知乎
强密码和2FA为什么形同虚设
因为攻击者根本没"破解"。群晖官方事后确认，攻击者利用的是2024年12月就已修复、但大量设备一直没打补丁的旧漏洞；360的独立分析则指向2026年9月才修复的两个满分远程代码执行漏洞——无论哪个入口，补丁早就有了，太多人没装。更让人无奈的是，这类攻击不需要任何密码：在网页登录框的用户名里塞入特殊分隔符，系统还没核对账号，就能被以root权限写入恶意脚本，强密码、2FA、IP封锁集体失效。事态严重到群晖破例给DSM 6.2这类已停止支持的老版本紧急推送了更新。知乎知乎
一句话总结受害者画像：管理端口暴露在公网+补丁没跟上——真正要命的往往不是什么惊天新漏洞，而是DSM裸挂公网、补丁和套件没跟上这些"土问题"。DIY NAS用户尤其要自查——有博主观察到，这波中招的很多是黑群晖用户，因为"怕升级引导失效"多年不更新系统，风险比白群更高。知乎知乎
万一中招，先记住这三步
第一步，拔网线隔离。加密程序会多线程遍历所有可写目录，还在线的外接硬盘、云同步会被一起加密。先断网，再暂停所有同步和备份任务。知乎
第二步，别关机、别杀进程、别重装系统。这点反直觉但很关键：社区已有开源工具尝试从进程内存里找回加密密钥，工具需要提取内存，一关机、一杀进程，可能就没了唯一机会。同时保留勒索信、加密样本和系统日志。微博哔哩哔哩
第三步，别付赎金。C3RB3R用ChaCha8+RSA-2048加密，没有攻击者手里的私钥，数学上无法暴力破解。支付赎金也不保证能拿回数据。知乎知乎
数据能不能救，看你平时的底牌
快照是中招后成本最低的恢复路径。威联通的系统监测到大量文件异常变动时，可自动让磁盘区只读阻断加密写入，或立即创建快照固定未被打的状态。极空间则在监测到后缀被篡改时终止相关服务并告警，但这功能默认是关的，需要手动打开。知乎知乎
但记住：同一台机器上的快照不能替代独立备份，勒索程序权限够高时，连快照一起删——真正能用的，是NAS写不到的介质上的离线副本，或带WORM不可变策略的存储。知乎
这次事件里有企业用户同一台机器上的日备、周备、月备被全部锁死，教训惨痛。RAID防的是硬盘物理损坏，防不了恶意改写；在线同步防的是误删，防不了勒索。真正的底牌只有一个标准——NAS写不到它：备份完就拔线断开的冷备硬盘。知乎知乎
最后，记得演练还原。备份任务显示"成功"，不等于真需要恢复时一定能用。没测试过的备份，等于没有备份。知乎
给DIY NAS玩家的三句话
别把管理端口裸挂公网，远程走VPN/隧道加白名单；补丁和套件跟上，更新设成自动；一份快照加一份离线备份，并且真的还原试一次。知乎
漏洞的发现和武器化正被AI加速到以天计。"打过补丁的NAS"不再是保险箱——但手里握着离线备份的人，勒索病毒就只是一次风扇狂转的意外。知乎
