10月28日开始，NAS圈里陆续出现同一种描述：硬盘风扇突然起飞，共享文件夹里多出一个read-me3.txt，照片、片库、工程文件的后缀全变成了.L0CK3D。知乎
这不是某一台机器中了毒。360的预警说，这是一轮针对群晖NAS的勒索攻击，10月以来已接到多起求助。知乎
群晖在10月29日的公告里确认了攻击，但给出的判断不一样：攻击者利用的是2024年12月就已经修复的旧漏洞，不是新版DSM的零日漏洞。360则把入口指向今年9月披露的两个高危漏洞。微博知乎知乎专栏
双方各说各的，普通用户没必要押注哪个版本是真的。因为不管从哪个口进来，条件都差不多：机器暴露在公网，补丁没跟上。
版本号也不能兜底。
Solar应急团队确实处置到一台跑着DSM 7.4.1-90080 Update 1的机器，但他们的措辞很谨慎——最新版被加密，不等于最新版有0day。知乎专栏
入口也可能是套件、凭据或者别的暴露服务。版本号只是其中一道门。
一位QNAP用户看到新闻后去查自己的机器。他没有把NAS映射到公网，型号也不是群晖，本来觉得这事跟自己无关。
结果在硬盘深处翻到一个随机命名的隐藏目录，创建时间是7月4日凌晨。也就是说，机器早在118天前就被进过一次，只是对方没来得及加密。知乎
最后拦住攻击者的不是他的安全设置，而是运营商的大内网地址——外面根本连不进来。知乎专栏
没被加密，不等于没被入侵。
这轮攻击里也有人靠快照把文件拉了回来。但运气成分不小：那批自动化脚本加密完就走，没顺手删快照。群晖的普通快照，管理员或root权限可以一键清空。知乎
真正能扛住的是DSM 7.2之后、Btrfs文件系统上的“不可变快照”，保护期可以设1到30天。倒计时没走完，谁也删不掉，改系统时间也没用，它按硬盘实际通电时间算。知乎专栏
代价是占空间，别给PT下载目录、监控录像目录开。
还要记住一件事：RAID不是备份。它只能扛硬盘坏，扛不住文件被加密；快照也不是异地备份，机器整个被端走就一起没了。
如果你家里也有一台24小时开机的NAS，今晚先做四件事，顺序别反。
先把公网入口关掉。路由器里的端口映射、UPnP、DMZ逐项看，尤其是5000、5001这两个管理端口。群晖的QuickConnect如果开了自动端口映射，也一并检查。知乎
要在外面用，走VPN、Tailscale这类组网，不要把管理后台直接挂在公网。反代也一样：对扫描器来说，只开一个入口和把DSM挂出去，没有本质区别。
再把DSM和套件都更新。PHP相关的套件要单独升，DSM更新不等于套件更新。官方建议开自动更新，省得补丁发出来半年还没装上。知乎
然后收权限。关掉不用的SSH、FTP、WebDAV，禁用默认admin账号，开两步验证、自动封锁和防火墙，只放行自己真正在用的端口。
最后做一份不跟NAS长期连线的备份。移动硬盘备份完就拔，或者推到另一台机器。做完要真的还原一次，确认不是“任务成功、文件是空的”。知乎
已经中招的，第一件事不是重装，是断网、别关机。有安全团队靠内存取证找到密钥，恢复过一批文件；一旦重启，内存里的东西就没了。勒索信和日志都留着，再找专业救援。知乎专栏
这波之后，很多人问要不要换NAS。其实品牌不是重点。黑群晖、旧电脑装的飞牛、自己拼的all in one，只要把管理端口挂在公网、长期不打补丁，面对的是同一批扫描器。
NAS的好用，建立在“它一直在网上”；也正因为一直在网上，它跟桌上那台电脑不是一回事。
换一台更贵的机器，解决不了门没关的问题。把公网入口关上，把不可变快照和离线备份做起来，才是这轮勒索潮留下的作业。
