8.45 万个文件、约 1.2T 素材，在一台工作室的群晖 NAS 上变成 .L0CK3D。群晖在 10 月 29 日的公告里已经说明，攻击者利用的是 2024 年 12 月就修好的漏洞，目标是还在跑旧版 DSM 的设备。
10 月底这波集中加密，补丁发出到事发隔了 22 个月。这个时间差比漏洞本身更值得看。攻击者没有找到什么新入口，他们只是等到了足够多没升级的机器。
这次事件的现场很统一。共享文件夹里的文件被追加 .L0CK3D 后缀，每个目录多出一封 read-me3.txt，快照列表变空，Hyper Backup 任务异常。公开复盘里，机主收到的报价是 0.03696 比特币，约 2.1 万元；他找国内恢复服务商，对方报到 2.6 万元，意思很直接，数据价值不破万就恢复出厂设置。
这次被点名的是一批长期在线的旧设备。家庭用户拿它放照片，小工作室拿它放素材，共同点是同一台机器既当主存储，又当备份终点。攻击者要的就是这个结构。
群晖官方把入口指向 SA-24:20，也就是 CVE-2024-10441，CVSS 9.8，未认证远程代码执行。360 反勒索团队的说法指向今年 9 月修的两个漏洞。两边的样本分析都没有公开，但指向同一个动作，把 DSM 升到官方修复线。官方给了四条线，DSM 7.2.1、7.2.2、7.3、7.4 各有对应的最低版本，升到每条线的最新版就行。还在 DSM 6.x 的机器，先确认还能不能升上去；升不上去，就别把它当成唯一的副本。
我判断这波被锁的机器，问题不在硬件新旧。一台老款 DS918+ 只要补丁打齐、管理面不挂在公网、备份不在同一台机器上，损失不会走到这一步。反过来，一台刚拆封的四盘位新机，如果照旧开着 UPnP、端口映射、全家共用一个管理员口令，备份也放在同一台机器里，它只是把同样的风险重买了一遍。
也有人觉得换个品牌就安全了。管理面挂在公网，备份和源在同一台机器上，这两件事不因品牌改变。真要换，先把这两件事想清楚，再谈品牌。
很多人知道要升级，只是觉得“还能用”。老机型怕升完变慢，黑群晖怕升级掉引导，套件怕不兼容，自动更新一直关着。只要在事发前把 DSM 更到当时的最新版，这波的风险就低得多，但很多机器没有这么做。攻击者不需要多高明，他们只需要你保持原样。
比补丁更容易被忽略的是退路。攻击者拿到管理员权限后，标准动作是先删快照、停备份、清日志，再开始加密。同机快照往往是最先被删的那个，备份账号如果既能读又能删，它就不算备份。RAID 也当不了备份，它只保证一块盘坏了数据还在，保证不了整台机器被加密后你还有一份干净副本。共享目录的 everyone 权限、全家共用的管理员账号、能读能删的备份账号，这三样比端口更容易被忽略。盘位多、机器贵、阵列级别高，都不改变这件事。
今晚能做的事不复杂。打开 DSM 自动更新，把版本升到修复线以上；关掉路由器上的端口转发和 UPnP，管理界面不要直接暴露在公网；所有管理员开两步验证；把 QuickConnect 里的管理面和 SSH 关掉；重新打开快照，保留 30 天以上；找一份不在这台机器上的备份，随便恢复一个文件，确认它真的能读。已经中招的机器，先断外网，不要关机，不要格式化，不要删勒索信，也不要继续用原来的管理员口令。关机可能让内存里的进程和密钥一起消失，格式化会把样本和日志一起清掉。
花钱的顺序应该反过来。先补一条能拔掉的离线副本，再谈换机。京东上东芝新小黑 A5 的 2T 档现在是 759 元，4T 档 1189 元；西数 Elements 的 4T 档是 1319 元。这点钱离一台四盘位空机还差一截，绿联 DXP4800 的 N100 8G 空机就要 2498 元，还没算盘。但一块能拔下来、放在另一个房间或另一个城市的盘，能在 NAS 被加密的晚上，给你一个不依赖这台机器的恢复点。
网盘也能当异地副本的一部分，但它需要网络和账号才能打开，恢复速度受上行带宽限制。它可以当第二层，不能替代手边那块能拔下来的盘。
换机可以等，补丁和退路不能等。我看不出这波会让新 NAS 立刻降价，也不觉得还能更新的老机器会一夜贬值；它先改变的是买家的花钱顺序。老机器如果已经升不到受支持的 DSM，或者只有单盘位、没有快照、连独立备份账号都设不了，那它确实该退。新机值得买的地方是还在安全支持期、能开快照、能设权限分离的备份账号。四盘位本身不解决这件事。还在正常更新、只是没打补丁的 DS918+ 这类机器，先把补丁和退路补齐，比换一台新机更划算。
已经中招的人，最不该做的是急着付钱。开头那台 NAS 的机主最终把数据救回来了，靠的是加密进程还没退出，他从内存里取到了会话密钥。这套操作需要 SSH、进程冻结和内存提取，普通人不该把它当成标准流程。付费恢复里混着大量中介，先断网、保现场、验证自己的备份，再考虑外部服务，顺序不要反。
这波之后，我不急着换机。我先回答一个问题，如果今晚被加密，我能回到哪一天。答不上来的时候，换什么牌子、买几个盘位，都只是把同一件事再做一遍。
