10月28日凌晨起，群晖用户陆续遭遇"开门杀"：文件全被改成 .L0CK3D 后缀，每个文件夹塞进一封 read-me3.txt 勒索信。有救援者晒出的账单是0.037个比特币、约2952美元，5天翻倍。评论区全是同款哀嚎：“近10T文件被加密，不知道咋解密。”小红书小红书
中招了，第一反应不是关机查杀，是千万别断电。
这类勒索软件的密钥只活在内存里，你一断电，它和数据一起殉葬。一个程序员在GitHub开源了完整救援记录：没重启，先冻结恶意进程，dump出16GB内存，配合Ghidra逆向，从内存里翻出48字节密钥材料，GitLab周备份整建制救回。另一位病友自述12.7万个文件被加密，按"拔网线不断电、留现场"抢救，抢回90147个，恢复率70.6%。救不回来的那部分是ChaCha8加RSA-2048，数学层面的事，神仙来了也白搭。小红书小红书
别把它当通用解密器，这些操作只对他那个样本有效。真正值钱的就是保住现场，给救援留窗口，而不是先把自家数据火化。
中招后的正确顺序：拔网线不断电 → 留日志留勒索信 → 不付钱也别信"包解密"（该家族目前无公开解密工具）→ 从备份恢复。小红书小红书
备份这环有血坑，动手加密之前，攻击者会先清一遍快照和备份，同一台机器上的本地备份跟主机是同生共死的。所以你的备份里，必须有一份拔得掉线、断得了网、忘在角落的冷备份。被嘲笑多年的"用完就拔盘"硬盘党，这次笑到最后。小红书
没中招的，今晚花10分钟做5件事：
手动对版本号，别信"自动更新开着"。至少升到分支修复版（流传较广的对照表：7.4分支→90075、7.2.1分支→69057-12），老机型去官网下载中心查。顺手记一下：后缀里是数字0和3，搜文件别打成字母。小红书
把管理面从公网收回来。现在就去路由器翻端口转发：5000、5001是不是开着？远程访问改走VPN或Tailscale。很多人以为自己有隧道，实际裸奔了不知道多久。知乎小红书
查定时任务。有取证整理发现，后门写在 /etc/cron.d/ 里，升级系统并不会把它清掉。静默驻留37天的案例都有。升级只是换了把新锁，人还在屋里。小红书
关光用不上的入口：rsync、SSH、Telnet、FTP、QuickConnect，每一个都算一扇门。
做一次恢复演练。离线冷备份到底救不救得急，亲手验证，别猜。
有人会问：强密码、两步验证、改端口，怎么全没拦住？按那份取证的归因，代码在核对密码之前就执行完了，一次请求拿到root。而且这轮没有0day。群晖称是2024年就修掉的旧漏洞，360说是今年9月修的两个，两边说法有出入，但共同点一致——补丁早就发了，装没装是另一回事。另外，勒索程序只挑架构不挑牌子，威联通、铁威马、华芸、绿联都在射程内，指望换品牌避祸，不如指望自己手快。小红书小红书
11月11日群晖又发SA-26:19公告：一个9.8分漏洞，不用账号密码就能远程读写文件，外加rsync组件的8.6分认证绕过。官方特别说明这和之前那批勒索漏洞不是一回事，也没有迹象表明已被用于勒索。但自查的逻辑一模一样，等不出事，不如做点事。知乎小红书
买NAS不就图个数据攥在自己手里。前提是先出手的，别是你自己。
