10 月下旬，一批群晖 NAS 用户打开共享文件夹，发现里面多了一份 read-me3.txt。
照片、合同、工程文件的后缀统一变成 .L0CK3D，也有样本写成 .LOCK3D。硬盘还在转，文件已经打不开。
10 月 28 日，Solar 应急响应团队发出公开预警。网上流传的说法是「最新版 DSM 也中了 0day」，群晖随后否认了这个方向。
官方的说法是，攻击利用的是 2024 年 12 月就已修复的漏洞，不是新版系统的零日漏洞。门不是昨天才装上的。微博
Solar 分析的样本是一个 64 位 Linux 程序，用 ChaCha8 加密文件正文，每个文件配一把独立密钥。
测试环境里，加密速度能到 2-3GB/s。一块 8TB 的盘，快的话不到一小时，慢也只要一个多小时。知乎
等你在相册里翻到第一张打不开的图，通常已经来不及了。
为什么偏偏是 NAS？三个条件凑在一起：它常年不关机；很多人为了在外网看照片，给它做了端口映射；它还装着全家的「备份」。
最后一条最要命。很多人的方案是电脑里一份、NAS 上一份，NAS 就是那唯一的一份「另一份」。加密这一台，等于一次收走所有退路。
快照也常被当成退路。它留在同一台机器、同一套账号权限里，防的是误删和手滑，防不了已经进门的攻击者。
所以先分清两件事：备份是「同一间屋子里的第二个抽屉」；退路是「火烧到这间屋子时，东西还在别处」。只有离开这台机器、平时不挂载、写不进去的那一份，才算退路。
至于换品牌，问题不会跟着牌子一起消失。群晖这轮是套件和旧补丁，威联通的老问题集中在相册套件，TrueNAS、Unraid 也各有各的门。真正决定风险的，是补丁拖了多久，退路有多硬。
还没中招的，先把该堵的口子堵上。
先把 DSM 的 5000/5001 管理端口从公网撤下来，别再拿「改个端口号」当安全措施。再把防火墙的默认策略改成拒绝，只给需要的端口开口子。
系统和套件都要升，尤其是 PHP、Web Station、相册这些对外提供页面的。再开两步验证，别全家共用一套管理员口令。最后留一份离线或异地副本，并且真的还原一次。
已经中招的，顺序反过来：先断网隔离，别关机、别重启、别重装。保留勒索信和可疑进程，条件允许就只读克隆存储，再在副本上试恢复。
Solar 提到一种很窄的恢复条件：加密进程还在运行，内存里的会话密钥还没被回收。设备一重启，这条路通常就断了。知乎
NAS 的全称是 Network Attached Storage。买它的时候，大家看的是 Storage；出事的时候，问题几乎都出在 Network。
