群晖勒索连备份一起锁，这种退路才能在机器沦陷后还原

群晖这波勒索灾情报告里，最扎心的一句话不是"文件全被锁了"，而是"我的备份也被锁了"。10月下旬开始，大量群晖NAS被加密，文件名追加 .L0CK3D 后缀，勒索信 read-me3.txt 散布在各层目录。受害清单里，除了照片、文档和代码仓库，还有 Hyper Backup 做出的日常备份。知乎知乎哔哩哔哩

这不是病毒"顺手"把备份一起干掉的。运维社区对样本的复盘显示，攻击者拿到管理员权限后的标准动作是：先删快照、停备份任务、清日志，最后才开始加密。只要备份目录对当前账号可写，它在攻击者的执行流程里就是待加密列表的第N项。知乎知乎

RAID 也帮不上忙。镜像和校验会把已经加密的文件忠实同步到每块硬盘上，冗余在这一刻反而成了帮凶。被讨论最多的翻车姿势是两台 NAS 同机房互备、共用一套账号，结果一起中招。B站有人留言：“我们原来就是这配置，看完打算加一块离线盘，备份完就拔线。”知乎哔哩哔哩

问题出在一个结构性误判：过去十年说的"备份"，大量用户执行的其实是同机备份——从存储池A到存储池B，或者到挂在同一台机器上的USB硬盘。用户心智里这已经是两份数据，勒索软件却只看挂载点和写入权限。知乎

出路在于副本有没有独立的安全边界：物理隔离、独立认证、攻击者无法沿同一条路径触及。具体有三种做法。一是不可变快照，防删防篡改，老款机型原生没有这个开关，社区已经出了实操教程。二是备份专用账号能写不能删，攻击者拿到账号也清不掉副本——备份账号权限过大，等于没有备份。三是用 Cloud Sync 把重要文件同步到网盘，靠网盘的历史版本回滚，关键是对方保存的版本攻击者删不掉。知乎哔哩哔哩知乎

冷备份是最后一块拼图，也最便宜：一块外接盘，接上写完就拔线断电，再凶的自动化扫描也够不到一块不通电的硬盘。至于教科书式的3-2-1，社区现在的主流做法是数据分级先行——大部分人的核心数据可能不到1TB，给真正丢不起的文件做足副本，资源型内容交给网盘和PT。哔哩哔哩

最后提醒两点。群晖10月29日确认这波攻击利用的是2024年12月就已修补的漏洞（CVE-2024-10441），360口径里则涉及9月公告的两个9.8分漏洞，说法不同但动作相同：先把DSM升到最新。另外有应急团队公布过运行最新 7.4.1 Update 1 仍被加密的设备，在原因说清之前，有独立边界的备份是唯一不会白做的功课。知乎知乎

判断备份真假的唯一标准就一句话：整台NAS都沦陷之后，这份副本还能不能独立还原。