一夜之间，8.45万个文件换了后缀
10月28日凌晨3点05分，一间摄影工作室的DS918+开始高速读写。上午10点37分，有人打开共享盘：8.45万个文件、约1.2TB素材，后缀全变成.L0CK3D。
每个文件夹里多了一封read-me3.txt。暗网页面开价0.03696个比特币，约2.1万元，5天倒计时，超时翻倍。数据恢复公司报的价更直接：2.6万元，其中5000元是“通道费”。
这位工作室用户算了一笔账：2.6万里，真正给黑客的约2.1万。那家数据恢复公司给出的方案，其实就是代交赎金，再收5000元通道费。
这不是孤例。10月28日起，群晖NAS在全球范围遭遇集中勒索攻击，文件后缀多为.L0CK3D或.LOCK3D。样本被命名为C3RB3R，是老牌勒索家族Cerber的Linux变种。
看雪、V2EX、360反勒索团队、Solar应急响应团队，几天内收到大量求助。中招的不只是个人，还有把研发文档、数据库镜像、备份文件全放在一台NAS上的小公司。
强密码和2FA，为什么没拦住
很多中招设备并不“裸奔”：十几位复杂密码、手机令牌二次验证、改掉默认端口、输错5次自动封锁IP。
问题在于，这些措施都发生在“核对密码”之后。以安全研究者复盘的CVE-2024-10441为例，群晖的网页登录框在处理用户名时，没有检查用户是否塞进了内部字段分隔符。
攻击者借这个入口，在验证账号之前就以root权限执行命令。
整个过程只需要一次请求。密码对不对、有没有开2FA，根本不参与。所谓“输错5次封IP”，也等不到触发。知乎
360把入口指向9月18日公开、并已发布补丁的两个高危漏洞，CVE-2026-13639和CVE-2026-13684。这两个漏洞的CVSS评分都是9.8。群晖安全公告
群晖官方则说，攻击利用的是2024年12月就修复的旧漏洞。安全研究者把这条链路对应到CVE-2024-10441，评分同样是9.8。群晖科技群晖安全公告
两边对具体入口的判断并不一致。能确认的是：补丁发了一个多月，公网上仍有大量设备没装。小红书
还有一个容易被忽略的情况。最新版系统也中招，不等于最新版有漏洞。社区排查给出的解释之一是：攻击者可能在更早的时候就已经进来，把后门写进计划任务，静默驻留几十天。系统升级换了锁，人还在屋里。
这波攻击里，正版群晖、黑群晖都有中招。勒索程序只认架构，不挑牌子。
RAID、云同步、USB硬盘，救不了也躲不开
第一个反直觉：RAID不是备份。它在毫秒级把加密后的乱码同步到每一块镜像盘，等于帮你复制了一份加密副本。知乎
第二个：云同步会帮倒忙。有受害者的Cloud Sync在加密开始后继续工作，把.L0CK3D文件和勒索信同步到OneDrive，覆盖掉原本干净的云端备份。
第三个：常年插在NAS上的USB移动硬盘，也不安全。攻击者拿到root权限后，外接盘和局域网可写目录会被一起加密。
所以“我做了备份”这句话，要看备份是不是离线、只读、能不能真还原。长期在线可写的备份，在勒索软件面前只是另一块待加密的盘。
8.45万个文件，怎么一分钱没付救回来
这位用户发现得不算晚。加密进程从3点05分跑起，到10点37分已经跑了7.5小时，8线程并发，平均每秒锁3个文件，但还没退出。
他没有重启，也没有运行杀毒软件，而是SSH登进系统，用kill -STOP把进程当场冻结，再从/proc/PID/mem里导出内存，提取会话密钥，写脚本批量解密。
8.45万个文件全部恢复，抽样校验逐字节一致。他把流程和工具开源到了GitHub。小红书
这条路有严格前提：加密进程还活着，密钥还在内存里。一旦重启、关机或杀进程，内存清空，密钥就没了。已经中招的人，第一件事是拔网线，然后保住内存现场，再找专业救援。安全机构给出的建议很一致：不要支付赎金。
今晚能做的四件事
第一，把管理界面从公网收回来：关掉路由器上的5000/5001端口映射、UPnP和DMZ，检查IPv6有没有直接暴露。远程访问改用VPN或Tailscale这类打洞工具，这一步比任何密码策略都有效。小红书
第二，更新DSM和套件，打开自动更新。但别把“升级”当成消毒：升级前就存在的计划任务、陌生账号、SSH密钥，要单独查一遍。
第三，备份要离线、只读、能还原。快照放在Btrfs存储空间上，开不可变快照或WriteOnce；冷备盘平时拔掉；云同步开版本历史，别做单向镜像。做完之后，真机试一次还原。
第四，查一遍暴露面。路由器里有没有UPnP自动开的端口、DMZ主机、DDNS，NAS上有没有admin账号、默认端口、长期没更新的套件。
NAS本来该是最安静的角落：照片、文档、老电影，都在里面。它的安全感不来自密码有多长，而来自一件很朴素的事——它最好别从公网够得着。
“私有云”的第一个字，是“私”。
