10月28日起，大量群晖NAS的照片、文档、代码仓库被加密，文件名被加上 .L0CK3D 后缀，文件夹里多出 read-me3.txt 勒索信。10月29日，群晖发声明确认 C3RB3R 勒索攻击。小红书知乎知乎
最扎心的是归因：官方口径是攻击「主要源自 2024 年已修复完毕的漏洞」，360 则指向 9 月修复的两个 9.8 分洞。从补丁发布到集中加密，中间隔了 22 个月，中招的几乎全是没升级的设备。知乎知乎
双方也给了同一颗定心丸：目前没有证据表明存在尚未修复却被利用的 0day。知乎
极空间用户也慌了。小红书上一条"吓得我赶紧把家里的极空间外网访问关了，防护全开，什么 ssh 权限，文件共享服务全关了"。"先关了再说"底下只有四个字：怕了怕了。小红书小红书
看完整轮事件你会发现，勒索软件惩罚的不是某个品牌，而是一串习惯：NAS 永远在线，常常能从外面被打开，还装着全家唯一的"备份"。知乎
这条链不挑牌子：飞牛用户在 2025 年 10 月就先尝过一遍。美国政府的 KEV 清单里，被明确标注遭勒索团伙利用的 NAS 相关漏洞已有 14 条。知乎知乎
所以，极空间用户今晚值得做的就4件事：
1. 先把系统更新点了，把"以后再说"当威胁。 群晖的病不是"没有药"，是"药发了两年没人吃"。上一轮飞牛事件里的木马更会篡改 DNS 把升级域名指到无效地址，让设备没法自动更新。打开 ZOS 更新检查，有版本更就装。知乎知乎
2. 查自己的门，中转≠隐身。 极空间远程访问默认走厂商服务器中转，结构上比端口映射难扫到——连试点中的 IPv6 直连加速，都把"减少云中继"当卖点。但你暴露的每一条通道都是一条独立风险线：Docker 里自己开的网页、"临时"忘了关的端口转发、IPv6 直连、路由器的 UPnP 自动开洞。按暴露面给 6 种远程访问方式排序，端口映射和公网+DDNS 正是中招设备的典型姿势。这波勒索对"要不要把 NAS 挂公网"的回答很干脆：先关掉，你的日子不会停。知乎知乎
3. 留一份攻击者碰不到的副本——最贵的一课。 攻击者拿到管理员权限后，先删快照、停备份、清日志，再开始加密，这是标准动作。有用户两台互为备份的NAS被一锅端。同机快照不是底牌，底牌是离线的：用完就拔电断网的冷备份，或者云备份把目标端设成"源能追加新备份，但不能立刻删历史"。知乎哔哩哔哩知乎
4. 万一已经中招，先断网，别关机、别重装。 中招后第一时间拔网线隔离，不要关机、重启或杀进程——应急团队的结论是：在加密器仍在运行、能提取同一会话密钥材料等特定条件下，存在技术恢复数据的可能。知乎
一旦加密进程退出或设备重启，这条路基本就断了。没备份的加密文件，至今没有公开的通用解密工具。恢复机构也直言：没有任何逆向破解的可能，只能通过密钥恢复。知乎知乎小红书
说句公道的：换品牌只是换了一种欠账方式。真正决定安不安全的是两个变量——补丁延迟有多长，退路有多硬。知乎
这波勒索的赎金标价 0.085 比特币，五天不付就翻倍。极空间用户真正的损失不在赎金，在"更新以后再说"这个习惯。知乎
