10月28日傍晚起，一批群晖 NAS 用户撞上同一件事：后台磁盘空间归零，文件全被追加 `.L0CK3D` 后缀，每个目录多出一封 `read-me3.txt`。赎金 0.085 BTC，5 天不付翻倍到 0.17 BTC。有人跑了六年的 RAID 6 阵列，主数据和本机备份被一锅端。今日头条知乎知乎
病毒叫 C3RB3R，老牌 Cerber 的 Linux 新变种。但值得熬夜的不是它多凶，而是它怎么进来的，以及你的防护为什么一件都没拦住。今日头条
你的 2FA，在这条路上不设卡
十几位密码、手机令牌、输错 5 次封 IP，怎么还是被锁了？因为它压根没走登录这条路。
攻击者在登录框的"用户名"里伪造一个内部分隔符，追加 LD_PRELOAD 这类动态链接器指令，诱导 glibc 在校验账号之前就以 root 权限往 `/etc/cron.d/` 写进一行脚本。前脚网页还在礼貌提示"登录失败"，后脚那行脚本已经被当成定时任务跑起来了——恶意代码根本不用走到密码核对那一步，而且全程只发一次请求，连封锁阈值都够不到。海内外两位互不认识的受害者，加密前 8 分钟的日志里都命中同一个境外 IP：自动化扫描在全球公网上无差别收割。知乎
“我升了最新版”，这句现在也不牢靠
一度流传"最新 DSM 7.4.1 也中招"“是 0day”。最早发预警的 Solar 应急响应团队 11 月 6 日自己改了口：官方只给了排查方向，没指明本轮的具体 CVE，也不能证明所有现场都是同一入口；此前把 CVE-2026-13639、CVE-2026-13684 当统一入口的说法，“不应继续作为结论传播”。知乎
团队数十起反馈里，DSM 7.2.1 到 7.2.2 占比最高，7.4.x 反而较低，还得排除黑群晖、组件没同步更新、升级晚于入侵这几种情况。翻译成人话：你上个月刚升级，不代表上个月之前没人进来过。知乎
今晚值得做的四件事
一、发现 `.L0CK3D`，断网但别断电。 拔网线或在路由器上禁用它，保持开机。唯一的恢复窗口在内存里：加密器还在跑时，会话密钥还留在进程内存中，应急团队的工具就靠这个抢救数据；一旦关机重启，内存被回收，通常再也提不出来。而这东西加密速度能到 2～3GB/s，数据量不大你根本来不及在事中反应。也别指望拿别人的密钥套自己的文件——那不是通用解密器。今日头条知乎今日头条
二、把门从公网撤回来。 多位受害者的共同特征，是 Web 管理界面或远程端口直接暴露在互联网上。删掉路由器上指向 NAS 的端口转发、关掉 UPnP，远程访问改走 Tailscale、WireGuard、EasyTier 这类组网，别映射 DSM 端口。今日头条小红书小红书
三、RAID 不是备份，同步盘更不是。 病毒在文件系统层面改文件，RAID 会毫秒级把乱码同步进每一块镜像盘，给你一份完美对称的加密副本。有人的 Cloud Sync 正把 `read-me3.txt` 往 OneDrive 上传，把云端干净的备份挨个覆盖成乱码。兜底只有离线一份 + 不可变快照，保护期建议 7 天以上。顺带：别手贱卸 PHP 7.4，Hyper Backup 绑着它，卸了定时备份当场停摆。知乎今日头条
四、别交赎金，也别信"数据恢复"。 灰产的运作逻辑无非是拿 readme 去跟黑客讲价换密钥，和你自己交赎金是同一个技术原理，目前并不存在能破解加密的成熟技术。解密程序本身还可能暗藏病毒。知乎
黑群晖这里有个死结。有人把双重认证、改端口、强密码、SSL、备份全配齐了，“问题就在于，我不会更新 DSM，因为我是黑的”。他最后靠网盘回收站 120 天可恢复捡回了数据，结论是：最关键的不是防范到位，而是备份到位。今日头条
别只盯着群晖
一位 QNAP 用户没做公网映射，本来觉得事不关己，结果在数据卷根目录翻出一个 7 月 4 日创建的隐藏目录，两个可执行文件在硬盘上躺了 118 天。他说救自己的不是安全配置，是运营商给的共享公网 IP 让机器从外网根本不可达。知乎
他那句值得抄下来：攻击者进来之后不一定马上加密，可能在等，可能在横向移动，也可能只是把机器当跳板——加密是最后一步，不是第一步。知乎
半个月过去，讨论区的画风已经从"中招了吗"变成"你整改了吗"，而大多数人卡在同一个地方：升级补丁、关端口、改防火墙、开两步验证、配快照，每项单看都不难，加起来就是一晚上起。那今晚就只做一件：把公网那扇门关上。知乎
