一夜之间，NAS 里的文件全变成 `.L0CK3D` 后缀打不开，目录里还留下一封 `read-me3.txt` 勒索信——这不是段子，是上周真实发生的事。10 月 28 日起大批群晖用户踩进同一个坑，有人几个 T 的资料被锁定改了后缀、多年心血荡然无存。更扎心的是有受害者自述物理黑群已中招，最坏的情况是十几年的照片都在里面。小红书微博小红书微博哔哩哔哩
这波勒索，专挑"裸奔"的 NAS
攻击者以 “C3RB3R” 为名，是老牌勒索软件家族 Cerber 的变种，专门批量扫射暴露在公网上的群晖机器。群晖官方公告确认：本次攻击利用的是 2024 年 12 月就已修复的已知漏洞，并非新版 DSM 的 0day，请各位用户升级 DSM。而攻击入口集中在群晖自身的 Web 服务：管理端口 5000、音乐、影视、Drive 等一个都没放过。勒索页索要比特币还带限时涨价倒计时，专业数据服务商报价高达 2.6 万，但拒绝付款的那位玩家最后 0 元自救成功。小红书哔哩哔哩微博微博哔哩哔哩小红书
一句话归因：公网端口 + 老固件 = 迎门请进。
已经中招的，先别急着交钱，三条自救路都有人验证过
别关机、别重启、别 kill 进程：加密还在进行时，密钥可能还躺在内存里，已有玩家靠转储内存提取密钥还原了文件，但提醒窗口只有"黄金 48 小时"。小红书小红书
开了 Btrfs 快照的，恭喜：不需要密钥、直接从快照恢复的开源工具 c3rb3r-btrfs-recovery 已经放出。哔哩哔哩
最后的稻草：断电拆盘、挂到电脑上用 DiskGenius 扫描，真有人这么捞回了一大堆可恢复的照片和文件。
没中招的，光"更新固件"还不够
今晚就做三件事：停掉所有 DSM 对外的 Web 端口映射并更到最新版；外网访问改用 WireGuard、Tailscale、蒲公英这类加密隧道；实在要留公网入口的，再套一层 IP 白名单——有玩家的实测是只放行本省 IP 就能挡住绝大部分扫描。有位博主让机器人巡检自家内网，两天被扫了一万六千次。攻击者从不缺勤，缺的只是我们的意识。哔哩哔哩小红书
而这次最扎心的教训是：还插在机器上、还挂在网络里的"备份"，未必比原件值钱——中招的用户里，就有"n 年的东西都被加密勒索了，幸好还有离线备份"的。3-2-1 对普通人确实贵，评论区已经吵明白要先做数据分级：核心数据多半撑不满 1T，家庭照片、工作文档这类东西，至少留一份平时不通电的离线副本，一块同步完就拔的移动盘、一台老电脑，就够当保命符。微博哔哩哔哩
NAS 的卖点是"数据握在自己手里"，这一课补上了后半句：握在自己手里 ≠ 安全。双 11 挑硬盘之前，先回家看看 NAS 的端口列表和固件版本——它比升级 18T 巨盘值钱多了。
