10月28日晚上10点，一位DS720+用户是被NAS的报警声惊动的。远程登进控制台一看：磁盘可用空间归零，所有文件末尾多了`.LOCK3D`后缀，根目录还多出一个`read-me3.txt`。他慌忙拔盘插电脑——照样读不出。几十年的照片，一夜成了乱码。知乎
这不是孤例。10月28日到29日，全网求助集中爆发：群晖NAS正被一波勒索病毒扫荡，特征完全一致——文件加密后追加`.LOCK3D`（或`.L0CK3D`），留下勒索信`read-me3.txt`。看到这两样，基本可以断定中招。知乎360官网
"最新版也中招"是真的，但"0day"这个帽子，安全厂商们暂时没人肯戴。 Solar应急响应团队上机检查发现，受害设备跑的正是当时的最新版DSM 7.4.1-90080 Update 1，但对方的表述非常克制：入侵入口尚未确认，不能认定DSM本体存在0day，也不能排除套件、插件、账号凭据被利用。360反勒索团队对样本的分析则把主要入口指向两个9月就已披露的高危远程漏洞：CVE-2026-13639和CVE-2026-13684，典型的1day攻击场景。群晖在漏洞披露第一时间（9月18日）就发布了修复补丁，一个月过去，大量设备根本没更新。还有企业受害者报警后翻了日志，近期确有大量暴力破解的访问请求。证据到哪，防守就守到哪。知乎360官网知乎
真正扎心的是：这轮里很多中招的人，该做的安全设置全都做了，结果照样被打穿。三个反常识教训——知乎
RAID不是备份。 那位DS720+用户做的是RAID1，两块盘互为镜像。但RAID防"盘坏"，不防"文件被加密"：加密发生在文件系统层面，两块盘只是同步了一份"完美的加密副本"。
改端口、关SSH、开2FA，照样被打穿。 这些守的是DSM登录门。攻击者若先拿下局域网里某台电脑，拿到本机自动保存的NAS账号密码，再用正常的SMB协议读写文件——门根本不在这条路上。把管理入口直接暴露公网，本质上是在赌运气。
同步套件既是帮凶，也是救命绳。 一位家有5台群晖的用户半夜听到风扇狂转，查看发现Cloud Sync正把加密后的勒索信往OneDrive同步，云端备份正在"替病毒打工"；庆幸的是他手里还有一份没被覆盖的网盘副本，最后靠它救回一命。
已经中招的，记住顺序：先拔网线隔离，再留存现场。 系统日志、套件日志、登录记录、勒索信一个都别动，不要直接重装或清理痕迹。GitHub上已有公开的处置复盘：保住虚拟机内存，从中dump出48字节会话密钥，五组已知明密文逐字节一致。重装系统一时爽，这条恢复路径就没了。知乎GitHub
赎金别轻易交。 勒索信明码标价0.085 BTC，五天之内不付就翻倍到0.17 BTC。交钱拿不到钥匙的案例比比皆是，数据还可能被二次售卖；对方站点甚至设计了"免费解密1个文件"的入口来证明自己有钥匙。至于淘宝上一堆"数据恢复"灰产，运作逻辑无非是联系上黑客讲价拿解密密钥，和你自己交赎金本质相同。知乎知乎知乎
NAS还安全的，今晚就把四件事做了：收敛暴露面——管理界面收回内网，远程访问走VPN或官方中转服务，别DDNS直连后台；核对版本打补丁——9月18日之后的DSM修复版就该升，群晖和第三方插件一起查，更新前先备份配置和数据；清账号关服务——停用默认管理员账号、关闭SSH，强口令加两步验证加自动IP封锁；验证备份真的能用——360这次点名了：开启共享文件夹快照并打开快照防篡改功能，定期检查快照是否正常生成。再留一份平时断开的离线副本，做一次真实恢复演练。备份不测试，等于没备份。360官网
据用户转述，群晖官方账号已在28日傍晚紧急预警：请客户尽可能关闭外网访问、把账号密码改强壮、做好离线备份。截至发稿，官方尚未公布针对已加密数据的兜底方案，事件溯源仍在继续。知乎知乎
NAS从来不是数据保险箱。它只是把数据从"别人的云"搬回"你自己的家"，权限、账号、备份这三关，一关都得自己守。在补丁面前躺平一个月，和把家门钥匙插在门上，没有区别。
