这两天NAS圈炸了锅。10月28日凌晨开始，海内外群晖用户陆续中招勒索病毒：存储空间里的文档、照片被批量加上.LOCK3D后缀，每个文件夹里多出一份read-me3.txt勒索信。知乎知乎知乎
让人头皮发麻的是中招者画像：有人开了2FA，有人改了默认端口、禁用admin账号，甚至连已经升级到最新DSM 7.4.1-90080 Update 1的机器也出现了中招案例。强密码和二次验证，这次集体成了摆设。知乎知乎
凶手是谁：老牌病毒C3RB3R的还魂
这波攻击被安全团队暂命名为C3RB3R，是2016年就成名的Cerber勒索家族针对Linux/NAS环境演化出的最新变种，按"勒索软件即服务"模式运作。暗网洽谈站点全自动：试解密、答疑、收款确认后自动交付解密器，几乎零人工。知乎知乎
加密用ChaCha8配RSA-2048，每个文件单独生成密钥，没有私钥数学上就解不开。它还搞"分级加密"：大文件每隔5MB只加密头部一段，几十GB的影片几秒就报废。数据库、虚拟机镜像则按内置清单全量加密，不给恢复软件留拼凑余地。知乎
国内外安全机构口径一致：别付赎金，付了也可能拿到假解密器。知乎
怎么进来的：目前能看到三条线
入侵入口仍在溯源。Solar应急响应团队上机处置后把话说得很克制：最新版遭到攻击，不等于最新版存在0day，现阶段不能下这个结论。但已确认的线索指向三条路。知乎知乎
一、老版本的免认证RCE。Reddit一位DS918+受害者只读挂载硬盘提取日志，还原了全程：攻击者在登录页用户名框里塞入注入指令，系统在核对密码之前，就以root权限把恶意脚本写进了计划任务。前脚网页界面还在礼貌地提示"登录失败"，后脚恶意指令已经被系统当成合法定时任务拉起来跑了。2FA根本没轮到出场。知乎
二、黑客大规模利用了群晖9月18日刚披露的两个高危远程漏洞CVE-2026-13639和CVE-2026-13684。CVSS评分高达9.8，群晖9月底就发了补丁，但把5000/5001端口映射到公网、又拖着没更新的设备，成了1day脚本的首批猎物。国内V2EX一位中招用户的日志里，出现了和Reddit受害者完全相同的境外IP——全球公网无差别扫街。知乎
三、10月21日PHP官方刚紧急修复的PHP2Shell漏洞，CVSS满分9.8，补丁发布前4天就已被黑客在公网扫描利用。群晖一周内连发三次公告，破例给已停止支持的DSM 6.2推送更新；威联通、铁威马、绿联、华芸都在威胁名单里。知乎
DIY NAS玩家，别当看客
你可能想：我用的是飞牛、TrueNAS，关我什么事。但这波攻击打的不是某个品牌，是所有暴露在公网的NAS的共同宿命。三个实战里放大损失的坑，对DIY机器同样致命：
RAID救不了勒索。病毒在文件系统层改写文件，RAID反而会毫秒级把密文同步进每块镜像盘，给你一份完美对称的加密副本。知乎
云同步会变帮凶。有受害者的Cloud Sync套件连夜把加密文件和勒索信上传到OneDrive，把云端干净的备份挨个覆盖成乱码。
常年插着的USB备份盘，拿到root权限的攻击者会一锅端。
今晚十分钟自查清单
自查前先判断有没有已经中招：除了.LOCK3D后缀和勒索信，系统发来的"账户数据库已损坏"这类异常通知邮件，也是值得警惕的信号。
管理后台的公网端口映射立刻关掉，远程访问改走VPN或内网穿透；
系统升到最新并打开自动更新；群晖用户别顺手卸载PHP 7.4——强行卸载会让群晖顺带把备份套件Hyper Backup一起卸掉，定时备份任务当场停摆。只要没拿它对外建站，留在机器里是安全的；知乎
备份改成离线+带版本：USB备份盘定期拔下离线保存，云端备份开启版本历史；
万一中招：立刻拔网线隔离，别重启、别重装。有受害者保住开机现场，靠内存里残留的密钥救回了部分文件——黄金救援窗口是"机器还开着"，一关机密钥就没了。这只是针对特定样本的个案；断电虽能中断加密，也会掐灭这个可能，权衡后再动手。保留好日志，绝不付赎金。小红书
NAS是家里最安静的角落，存着几十年的家人照片。趁机器还安然无恙，今晚就关上公网口子、打上补丁——别等风扇半夜狂转，才想起这篇文章。
