10月28日凌晨，很多人家里最勤快的成员——NAS，风扇狂转了一整夜。第二天早上打开电脑，全家照片、工作文档、数据库和片子全被挂上 .L0CK3D 后缀，每个文件夹里躺着一封 read-me3.txt 勒索信，受害者晒出的典型赎金是0.085个比特币，约合四万块。10月29日，群晖发声明确认在野攻击属实，并紧急呼吁用户升级。知乎小红书知乎
把360、Solar应急响应、比利时安全机构nxtbit和Reddit受害者的取证帖翻完，先说三个和直觉相反的事实：
1. 解药比爆发早41天。 360确认被大规模利用的两个CVSS 9.8远程代码执行漏洞（CVE-2026-13639/13684），群晖9月18日就发布了补丁。爆发在补丁发布41天后，这波本质是"没装更新税"。另一条取证线追到2024年12月就已修复的预认证远程执行老洞。最新系统也有中招案例，但入口归因尚存争议，官方未确认DSM本体存在0day。别慌，但补丁必打。知乎知乎小红书知乎知乎
2. 强密码和2FA被集体打穿。 恶意代码走到密码核对和二次验证之前就执行完了，全程只需一次请求。复杂密码、动态令牌、输错封IP、改端口，在免认证远程执行面前全是纸老虎。知乎小红书
3. 换牌子不等于脱险。 勒索程序只挑架构不挑牌子，拿到root就能加密，威联通、铁威马、绿联、华芸都在射程内。飞牛年初也出过洞，当时全网暴露设备可能超30万台。一位威联通用户跟风自查，从硬盘里挖出118天前被弱口令爆破留下的隐藏后门目录。小红书小红书知乎
今晚花十分钟做四件事：路由器关掉5000/5001等端口映射、关闭UPnP。IPv6还是隐藏雷区，"没有公网IPv4"的机器可能其实在裸奔。确认DSM版本、断开公网访问并升级到最新版本，再全盘搜索 .L0CK3D 和 read-me3.txt 异常文件。别顺手卸载PHP 7.4——它绑着Hyper Backup，实测只在本地跑小脚本、不接收来自互联网的Web访问请求，留着反而安全。知乎知乎知乎知乎
已中招的记住"一拔两不"：拔网线、不重启、不重装。 会话密钥只存在加密进程的内存里，重启即永久销毁。Solar应急响应团队11月6日发布的内存密钥提取工具，只在加密器仍在运行、文件属于同一运行环境时才有恢复价值。而据恢复志愿者实测，"黄金48小时"已过，对加密完毕的设备，不重启、不断网也已无助于恢复。三个"救命稻草"都靠不住：RAID镜像盘毫秒级同步的是密文，Cloud Sync会把加密文件反手覆盖云端备份；淘宝"解密服务"本质是找黑客砍价拿密钥，工具还可能带毒。全球安全机构口径一致：别付赎金。小红书知乎小红书知乎知乎
真正救命的从来是那个朴素组合：快照+离线备份，至少一份常年不联网。这波中招设备的最大共同点，是管理端都能被公网直接访问到。被打的其实是"永远在线、公网直达"这个用法本身。补丁打上、公网关小、底稿留好——今晚就做。知乎
