这周随便推开哪扇NAS群的门，第一句都是"群晖中勒索了"。文件被加上.L0CK3D后缀、每个文件夹里躺着一份勒索信，连设了强密码、改了端口、开了双重验证的机器都没拦住——因为这波攻击链是登录表单里的代码注入，恶意指令在"核对密码"之前就执行完了，封IP只数输错次数，根本触发不了。知乎知乎
威联通用户在评论区悄悄庆幸：牌子不同、系统不同，这轮烧不着我。先别笑，有个威联通真例子的主人，之前也是这么想的。知乎
数码博主大黑蚊子里有台威联通TS-251，他同样笃定"我从没映射公网，外面进不来"。直到10月底他进硬盘排查，在数据卷根目录挖出一个随机字符串命名的隐藏目录，里面躺着两个可执行文件，创建时间是7月4日凌晨——在他以为"很安全"的这4个月里，这台机器已经被入侵118天了。救他的也不是配置，是运气：移动宽带动态IP让机器从公网不可达，攻击者再也进不来，样本在硬盘上躺了118天没等到第二次指令。知乎
威联通用户的安全感同样没有数据支撑。美国政府那份"现实中真的被利用过"的漏洞清单（CISA KEV）里，缩小到NAS和网络设备后，明确标注"被勒索团伙使用"的有14条，威联通一家就占9条：4条落在相册类套件，5条落在系统的授权与文件操作。高危的文件系统链接跟随漏洞CVE-2025-66277（9.8分），官方给的修复线是QTS 5.2.8.3350 build 20251216及之后，很多老机器根本没到这条线；而上月刚公布的PHP2Shell漏洞至今全球无补丁，QNAP官方缓解措施第一条就写得直白：让设备远离互联网。知乎知乎
所以按保命优先级，今晚花10分钟查完这四件事：
先把门锁之外的事做了——关暴露面：关掉不用的FTP、WebDAV，确认路由器UPnP和myQNAPcloud是关的，远程访问改成自己走VPN或隧道。别赌锁够硬，先让门不存在。知乎
排查有没有人来过：看一眼数据卷根目录有没有随机字符串命名的隐藏文件夹、crontab里有没有陌生条目。发现可疑先留存哈希取证再动手，慌乱中点错删除目录，损失可能比木马本身更大。
固件跟上官方节奏：社区已有用户更新到QTS 5.2.11.3661，但新漏洞补丁没落地前，该断的外网还是断着。
给备份留一份"离线副本"：这轮事件里最贵的错觉是"我有快照"。普通家庭的备份公式往往是"电脑一份+NAS一份"，而NAS恰恰是那唯一的另一份——加密它一台，等于把你所有退路一次性收走。离线移动硬盘或云端，再放一份。知乎
最后两句提醒：加密是入侵的最后一步，不是第一步。没中勒索≠没被入侵，所以自查要查痕迹、别只盯文件；好消息是截至11月6日，.L0CK3D已被发现在特定条件下可解密，部分受灾用户不用付赎金也有机会找回数据。知乎知乎
NAS常年开机的安全感，从来不是牌子给的，是暴露面给的。
