上周末，NAS圈炸了。10月28日开始，大量用户发现自己的群晖NAS文件全被改成了.L0CK3D后缀，目录里躺着一封read-me3.txt勒索信。这款勒索病毒叫C3RB3R，是Cerber的变种，目前没有通用解密办法。知乎知乎
群晖10月29日发了公告：攻击者用的不是新漏洞，而是2024年12月就已经修补的CVE-2024-10441（CVSS 9.8），当年Pwn2Own上被攻破的命令注入漏洞。换句话说，中招的多是还在跑老版本DSM的机器。知乎微博
但事情没这么简单。有应急响应团队发现，升级到当时最新版7.4.1 Update 1的机器也有中招案例；360还点名了另外两个2026年的新漏洞。是不是0day，留给安全研究员去查。对普通人来说，真正要紧的变量只有两个：机器有没有暴露在公网，补丁有没有打。知乎微博知乎
别以为这只是群晖的事
说的就是用迷你主机跑fnOS、跑TrueNAS，PVE里塞了十几个docker的你。这次勒索病毒打的是群晖，但攻击路径——公网暴露的管理面、没打的补丁、弱口令——不认牌子。DIY虾缸里跑的服务往往比成品NAS更杂：fnOS的远程访问、PVE的8006网页、SSH、各种反代出去的面板，每一个都是门。
有人说，我走的是反代，端口没直开。但对扫描器来说，把管理后台挂上公网和把门全开没有区别，反代不会让系统变安全，它只是把门牌号换了个更体面的。知乎
四个地方，现在就查
一、关掉公网。管理后台别再直挂公网，路由器里的端口映射、UPnP删掉，DDNS也清一清；一些免端口转发的远程访问服务同样挂在公网上，最容易被漏掉。远程访问走Tailscale、ZeroTier这类内网穿透，速度慢一点，觉睡得香。知乎
二、打开自动更新。系统、套件都要跟上；群晖用户注意PHP组件得在套件中心单独升，只升DSM不算完。
三、管住账号。禁用默认admin，改强密码，两步验证和登录失败封锁都开上。密码被撞开的话，攻击者根本不需要漏洞。
四、数据别只有一份。3-2-1备份，至少一份放在另一台物理机或离线盘上。迷你主机如果跑的是PVE，可以把备份盘直通给另一台虚拟机——主机被加密，它都摸不到那块盘。知乎
真中招了，先别关机
这是整个事件里最反直觉的一条：中招后第一个动作不是关机重装，而是保持开机——加密密钥可能还留在内存里。10月30日有研究员开源了c3rb3r-rescue工具，靠内存取证恢复文件，有实际案例把近49GB的GitLab备份完整找回了80个项目。但它不是万能钥匙，只能从中招那台机器的内存里取，一关机、一杀进程，就全没了。微博知乎微博
这次事件的教训不新，也不贵：门别开在公网，补丁勤打，数据别只有一份。品牌NAS不一定安全，迷你主机虾缸也不一定危险——安全从来不看用的是哪台机器，看的是习惯。
