NAS被勒索加密后，先别关机！黑客的钥匙其实还躺在你内存里
10月28日凌晨起，大量群晖NAS用户的文档、照片、数据库一夜之间被加上`.L0CK3D`后缀，每个文件夹里多出一封名为read-me3.txt的勒索信。这被安全机构归因为老牌勒索家族Cerber的全球自动化大规模攻击。但先说一条反直觉的进展：已经有人一分钱没掏，把全部文件解了回来。知乎微博
先看你现在能做的事。群晖官方已公告：本轮攻击利用的是2024年12月就已修复的旧漏洞，并非新版DSM的0day。Solar应急响应团队的排查方向也指向旧漏洞Synology-SA-24:20，而不是笼统的"疑似0day"。第一动作就是立刻更新DSM并开启自动更新。网传的两个2026年CVE编号目前不能统一归因，别当结论传播，泰国CERT也指出官方既没披露受影响设备数量、也没指明被利用的具体缺陷。但注意：已升级到 DSM 7.4.1-90080 Update 1 的机器也出现了中招案例。所有没更过的机器，先按危险处理。微博知乎微博小红书知乎
如果已经中招，第一步是"别动"：先拔网线，但严禁关机、严禁重启、严禁运行杀毒软件。原因很硬核：这批勒索样本逐文件加密，而解开文件的会话钥匙共48字节，在加密器运行期间一直保存在进程内存中。另一位救援者正是从进程内存里翻出了这48字节。小红书知乎小红书
进程一结束、机器一重启，内存回收，钥匙当场蒸发——救援的黄金窗口，就是"机器还开着"。小红书小红书
真有人从内存里抢回了钥匙。一位工作室老板的黑群晖共享盘里8.45万个文件、约1.2TB素材全被锁，病毒凌晨03:05入侵，8线程并发、平均每秒锁3个文件。万幸发现时加密进程还没跑完。小红书
他SSH登进群晖底层，用kill -STOP把进程当场挂起冻结（严禁kill -9），转储内存、提取会话密钥、写脚本批量解密——全部8.45万个文件完整解开，抽样校验与原件逐字节一致，0赎金立省2.6万。同一思路下，跑在PVE虚拟机里的程序员直接导出整机16GB内存，恢复出的备份正是49GB的GitLab周备份。整套方案都已开源（GitHub可检索c3rb3r-baremetal-rescue），Solar应急响应团队也在11月6日发布了整合密钥提取与解密的内存扫描工具。小红书小红书知乎
顺便提醒：有受害者咨询的"数据恢复机构"报价2.6万，说白了就是中间商代交赎金、顺手赚5000块通道费。小红书
但别把它当万能解药。这套路线的前提是加密器还在跑：加密进程退出或设备重启后，内存中的会话材料通常无法再直接提取。被锁文件的加密方式也分三档：56%分段加密、31%只加密开头1MB、13%全量加密，能救回多少取决于具体样本。文件系统是Btrfs的还有一条路：有用户靠Btrfs找回了628GB数据。GitHub上也有人开源了无密钥从Btrfs旧数据块找回文件的项目，ext4则几乎没戏。交赎金更是下下策：要从黑客指定网址下载加密浏览器，存在二次中毒和后续再次被勒索的风险。知乎小红书小红书GitHub知乎
解完数据不是结束。取证显示，攻击者是抢在账号校验之前，以root权限把恶意脚本强行写进系统的计划任务目录。所以恢复文件之后，还得排查异常计划任务、持久化项和账号凭据，补好漏洞前别急着再开公网。真正靠得住的，仍然是拔线离线冷备＋只读快照：还挂在NAS上互相同步的"备份盘"，在勒索病毒眼里不是备份，是人质。知乎知乎
如果你今早打开NAS看到的是一片`.L0CK3D`：把手从电源键上拿开，先拔网线。窗口按小时计算，能不能自救，就看你第一步有没有动错。
