10月下旬开始，中文技术社区里陆续出现群晖NAS用户的发帖：相册、合同文档、代码仓库打不开了，文件名统一多了 .L0CK3D 后缀，目录里多出勒索说明。10月29日，群晖官方发布新闻稿，确认在野攻击正在针对仍运行旧版DSM的设备。知乎知乎知乎
比病毒本身更扎眼的，是官方通报里的一句话：攻击者利用的漏洞，2024年12月就已经修复。补丁发出到集中加密，中间隔了22个月。知乎知乎
这也回答了社区里问得最多的一件事：密码明明设得很复杂，为什么还是被加密了？
看群晖指向的那份公告就明白。SA-24:20 公告里 CVSS 9.8 分的 CVE-2024-10441，缺陷出在系统插件守护进程的输出编码上，攻击所需权限为"无"，也不需要用户交互。密码保护的是正常登录流程，这类漏洞却给攻击者开了另一个执行代码的入口；HTTPS 保护的是传输过程，管不了服务端的程序缺陷。所以只要设备能从公网被访问到、版本停在修复线之前，挡不住的是漏洞，不是密码。知乎知乎
归因目前还没有完全收敛。群晖指向2024年12月的 SA-24:20；360反勒索团队则称，其处置的多起事件涉及 C3RB3R 勒索软件，利用的是2026年9月18日公告中的两个9.8分漏洞，同样不需要登录就能任意读写文件。两边都没有公开可复现的分析，但有一件事是一致的：目前没有证据表明存在未修复却被利用的0day，中招的都是没更新的设备。知乎
为什么中招？用户发帖和厂商通告指向同一个共同特征：NAS 直接或间接暴露公网——端口转发一直没关，UPnP 自动开了映射，或者管理面挂在 QuickConnect 上。自动化扫描工具会把这些设备挨个撞上，不需要谁专门来找你。同期威联通发布的 Plex2Shell 通告也提醒：“现在关了"不等于"以前没开过”，漏洞窗口期曾公网可达的设备，要按潜在入侵处理，而不是只升级。知乎知乎
补丁决定中招概率，备份决定损失大小。这波事件掀翻了一个常被忽略的坑：备份任务账号如果带着删除权限，攻击者拿到最高权限后可以把备份一起清掉；同机本地快照往往最先被删。判断一份备份算不算退路，看三样就够：恢复点有多新；攻击者拿到最高权限后能不能删掉它；恢复过程要不要依赖被感染的这台机器。知乎
如果这台NAS还跑着旧版DSM，今晚能做完的是：更新到适用分支修复线以上的安全版本；删掉不必要的端口转发、关闭UPnP；把重要数据另存一份不在这台设备上的副本，并真的试一次恢复。文件已经被加密的，断外网、别关机，保留勒索信和日志，不要指望升级DSM后数据自动回来——补丁管的是后续利用，恢复要靠没被波及的副本。知乎知乎
