群晖被加密了别急着拔电源，解密钥匙还在NAS内存里
先说结论，反直觉的那种：群晖被勒索加密的当晚，你最贵的操作就是拔电源。
10月28号开始，C3RB3R勒索病毒批量扫荡群晖和家用NAS：文件后缀被改成 .L0CK3D/.LOCK3D，每个目录里多出一封 read-me3.txt 勒索信，暂时还没有通用解密办法。群晖官方公告的说法是：攻击者利用的是2024年12月就已完成修复的安全弱点，打的是仍在跑旧版DSM的设备，呼吁立即升级并开启自动安全更新。但应急团队处置的现场里也有最新版中招的案例——版本号这几天吵完了，本文只讲一个决定中招机器生死的变量：加密进程有没有退出。知乎群晖官网微博
勒索软件干活的路子是：读文件→加密→覆盖回写→会话密钥留在自己进程的内存里。只要这个进程还没跑完、没被杀掉、机器没重启，那把不用交赎金的密钥，就还躺在你NAS的内存里。一旦断电、重启，或者为了清病毒把进程杀掉，内存里的密钥就彻底没了，后面取证全部白做。知乎小红书
一位工作室主的复盘很惊险：03:05病毒进机，8线程并发每秒锁3个文件；10:37他发现时，共享盘里8.45万个文件、约1.2TB素材已经全部换了后缀，所有文件无法打开，主力存储是一台物理机部署的黑群晖DS918+。他差点拔电源，最后一刻SSH进底层终端，万幸发现伪装成系统文件（/usr/bin/libgld）的加密进程居然还没跑完退出。他做了四步：小红书
定位已被删除本体、但仍驻留内存的加密进程；
`kill -STOP` 把它当场挂起冻结；
导出 `/proc/PID/mem` 整个进程内存空间；
从内存里提取会话密钥，写脚本批量解密。
全部 8.45 万个被加密文件完整解开，抽样校验与原件逐字节一致，0赎金、立省2.6万。他先找数据恢复服务商问到的报价就是2.6万，复盘时称对方"只是充当中间商代交赎金，顺手赚5000块通道费"。而他在暗网上传1个样本测试免费解密就成功还原，证明对方确有私钥、文件底层未损坏——钱从来不是第一选项，内存取证才是。小红书
社区目前公认的开源救生艇有两条：soimy 面向虚拟机环境的 c3rb3r-rescue（可直接导出整机内存），和物理机版的 c3rb3r-baremetal-rescue，至今已知虚拟化与物理机各有一例成功恢复。注意它不是万能钥匙：取的是你自己机器内存里残留的材料，换一台就得重新从内存里取。小红书小红书知乎
那已经关过机的人是不是直接判死刑？还有第三条路：快照。一位微博用户10月28日深夜中招，第二天中午登录才发现——机器已经关机，内存密钥抢不回来了，连"每天一份、保留30天"的计划快照在DSM里也全部看不见了。他把NAS硬盘挂到Ubuntu，通过AI编译群晖魔改的Btrfs内核成功只读挂载，加载社区救援SKILL先试恢复一个目录：无论大小文件，全部100%完整恢复。同案里 PhotoRec 也能捞回大量数据，但文件名和目录结构全部丢失，千万级文件光整理工期就按月算。这条路能不能走通，全看你当初有没有开快照。微博
所以如果今晚真被加密，正确顺序就四件事：
拔网线/关公网映射，切断远程控制——断网可以，断电不行；
不关机、不重启、不跑杀毒、不删文件，现场就是证据；
先找加密进程：`ls -l /proc/*/exe | grep deleted`，找到了就 `kill -STOP` 冻结它、不要杀掉，再走内存取证。小红书
进程已退出、电源已拔过的也别反复开关机：只要开过计划快照，即使群晖系统里看不到快照，也不代表底层快照一定已经消失，走快照恢复，同时报警留痕。微博
最后抄一句评论区最朴素也最被反复验证的话："冷备、冷备、冷备，最安全没有之一。"这波能全身而退的用户，没有一个靠运气，全靠把备份盘从NAS里独立出来、3-2-1那份"老古董"习惯。勒索病毒锁得住在线的一切，锁不住你抽屉里那块不插电的盘。
