10 月 28 日凌晨开始，国内外各大 NAS 社区陆续传出群晖设备遭遇大规模勒索病毒攻击的消息。双 11 的购物车还没结算完，先炸的居然是安全。知乎
现场很好认：文件后缀被改成 .L0CK3D，每个文件夹里还多出一份 read-me3.txt 勒索信。真正让人后背发凉的是，大家平时当成“保险”的三样东西，这次一样都没拦住——RAID 镜像、互相备份的第二台 NAS、还有同机快照。冗余只保证数据还在，不保证数据没被加密，而这三样的共同点是：它们都跟主数据站在同一台机器、同一条网线上。知乎哔哩哔哩知乎
为什么会中招？答案比想象中朴素。这轮攻击靠的不是什么未公开的 0day，而是早就修复过的旧漏洞：不少群晖因为长期没装安全补丁、高危端口直接暴露在公网上，就这么被请了进去。小红书
也有人想，那块常年插在 USB 口上的移动硬盘总该是条退路。可惜只要攻击者拿到 root 权限，外接 USB 盘和局域网里可写挂载的目录会一起被端掉。它还插着、还可写，它就只是第二份战利品。知乎
所以别急着下单换机器，先做减法：关掉公网 DDNS 和 5000、5001 端口映射，改用 Tailscale 或 VPN 回家；停用 admin、guest 这些默认账户并打开双重验证；开启不可变快照，但重要数据仍然要另做一份独立备份。这几件事不花一分钱，一个晚上就能做完。小红书
那换个牌子总行了吧？没那么便宜。TrueNAS 在 11 月 5 日公开的 CVE-2026-123033 里，只要有人从同一局域网用特定地址和端口连上来，系统就当他“是自己人”，直接给管理员权限，不需要口令，连非集群的单机社区版也一样中招。风险从来不挑 logo。知乎
万一真的中招，第一反应千万别是重启。一份流传的救援复盘里，当事人把恶意进程暂停而不是杀掉以保住现场，再从虚拟机里 dump 出 16GB 内存，配合 Ghidra 逆向分析加密算法，硬是从内存里翻出了 48 字节的密钥材料，最后 154 个加密文件解出了副本、49GB 的 GitLab 周备份校验通过。机器还开着，密钥就可能还在内存里，这就是黄金救援窗口。当然，这套活需要逆向能力，也没有通用解密器可以套，普通人别硬学。小红书
另一条路线更粗暴：有受害者当场拔掉电源打断了加密进程，随后不盲目重启、不重装，而是把硬盘拆下来插到一台离线隔离的机器上，全程只读挂载提取日志。选哪条，取决于你有没有能力做内存取证。但有一件事没有分歧：绝不要支付赎金，这是国内外所有安全机构完全一致的底线建议。知乎
双 11 打算添台 NAS 的人，别只盯着盘位、CPU 和到手价。NAS 的全部卖点是“数据在自己手里”，代价是责任也在自己手里：补丁得自己打，端口得自己关，那份真正保命的备份得自己拔下来、断电、放进抽屉。这三件事今晚就能做完，比多买一块硬盘划算得多。
