10 月 28 日凌晨起，一批 NAS 用户早上开机就傻眼了：风扇整夜狂转，共享盘里的照片、文档、影视素材后缀全变成 `.L0CK3D`，每个文件夹多出一封 `read-me3.txt`。知乎
一个摄影工作室的黑群晖 DS918+ 里，8.45 万个文件、约 1.2TB 素材全部锁死。暗网开价 0.03696 BTC，约 2.1 万人民币，页面挂着 5 天倒计时，超时翻倍。他一分没付，8.45 万个文件全捞回来了。差别只在一件事上：他没关机。小红书
关机那一下，才是真丢数据
这轮攻击叫 C3RB3R，老牌 Cerber 家族针对 Linux 和 NAS 演化出的变种。ChaCha8 加密正文，每个文件一把独立密钥，外面再套一层 RSA-2048 公钥——没有对方私钥，数学上暴破不了。小红书知乎
但有条缝：加密器跑着的时候，那把会话钥匙（16 字节 IV + 32 字节 AES key）就明文躺在进程内存里，同一次运行加密的所有文件共用这一组。进程一退出、机器一重启，操作系统立刻回收这块内存，钥匙没了就是真没了。所以拔电源、重启、装个杀软扫一遍——这些本能反应，恰好是把唯一的机会亲手掐死。知乎小红书
窗口有多窄
那台机器 03:05 被入侵，8 线程并发，平均每秒锁 3 个文件，峰值一小时 1.56 万个。他 10:37 到工作室才发现，伪装成 `/usr/bin/libgld` 的加密进程已经跑了 7.5 小时，还没退出。
四步：定位进程 → `kill -STOP` 冻住（千万别 `kill -9`）→ 读 `/proc/PID/mem` 导出内存 → 提出会话密钥，写脚本批量解密。抽样校验与原件逐字节一致。小红书
另一位把群晖跑在 PVE 虚拟机上的程序员路子类似：暂停进程、dump 出 16GB 内存、Ghidra 逆向，49GB 的 GitLab 周备份校验通过，80 个项目、9253 个 LFS 对象在隔离环境完整恢复。小红书
边界得说清：这不是通用解密器，加密器已退出、设备重启过、样本不同、会话材料被清，任一条命中就救不回来。知乎
Solar 应急响应团队做了个工具（`c3rb3r_memscan.sys`），能从固定内存地址直接取会话指针，前提同样是“加密器还在跑”。他们实测这病毒的加密速度约 2–3 GB/s，盘里数据不多的，往往等你发现时早就结束了。知乎
三个正在帮你放大损失的东西
RAID 不是备份，是复印机。 勒索在文件系统层面改写文件，你的 RAID 1 / 5 / 6 会兢兢业业在毫秒级把乱码同步进每一块盘，交给你一份完美对称的加密副本。自建党最引以为傲的多盘阵列，这件事上一分力帮不上。知乎
同步盘会把灾难推上云。 有受害者半夜听见风扇狂转起床查看，发现 Cloud Sync 正在高速运转，把刚生成的 `read-me3.txt` 和 `.L0CK3D` 源源不断上传到 OneDrive，把云端原本干净的备份挨个覆盖成乱码。自己拿 rclone 做同步的，同理。知乎
常年插着的 USB 备份盘会被一锅端。 对方拿到 root 之后，外接盘和局域网里可写挂载的目录一起没。
所以能救你的那一份，必须是它够不着的。群晖的“不可变快照”就是这个思路：Btrfs 的 copy-on-write 让被保护的数据区块改不了也删不掉，保护期内连管理员账号都不行。自建机上 ZFS 快照同理——真中了招，被加密的也不是快照里那份。代价是保护期内你自己也删不动，电影这类可再生数据别拿去快照，太费空间。小红书
顺带一个冷知识：C3RB3R 是分级加密的。大于 5MB 的普通文件每隔 5MB 只加密头部 1MB，几秒钟废掉一部几十 GB 的蓝光原盘；但内置的 187 个扩展名优先名单（`.sql`、`.vmdk`、`.qcow2`、`.iso` 等）一旦命中，就 100% 全量加密，不留残余扇区。影视素材也许还能局部抢救，数据库和虚拟机镜像基本别想。知乎
真中招，按这个顺序
拔网线隔离，然后什么都别做：不关机、不重启、不杀软、不重装、不删加密文件和勒索信。条件允许先只读克隆一份，所有操作都在副本上做。首次解密一定带 `–keep-source` 保住源文件，先拿一个非核心文件试，能真打开、大小对得上，再批量。知乎
数据捞回来不算完——计划任务、持久化项、账号凭据都得再查一遍，不然它还会回来。
赎金别付。国内外安全机构口径一致：付完拿到假解密器、或被脱库数据二次敲诈的案例都不少。知乎
