一觉醒来，成千上万的群晖NAS已经被0 day勒索病毒攻击，所有的文件数据遭受损失。
家里有群晖 NAS 的，今天抽几分钟检查一下：文件还能不能打开，有没有陌生后缀，管理后台是不是还直接暴露在公网上。已经有人遇到了文件被加密、留下勒索信的情况。
据 360 发布的分析，今年 10 月以来，他们连续收到多起群晖 NAS 勒索求助，样本被识别为 Cerber 的变种 C3RB3R。文件遭加密后被追加 .L0CK3D 后缀，目录里留下 read-me3.txt 勒索信。网络截图中也出现了 .LOCK3D 的写法。
这已经足够严重。对把家庭照片、工作资料和备份集中存放的人来说，一台 NAS 失陷，可能意味着几类重要数据同时无法使用。
群晖 10 月 29 日的官方回应称，攻击利用了 2024 年 12 月已经修补的旧漏洞，目标是运行旧版 DSM 的设备；360 的分析则指向今年 9 月披露并修复的两个高危漏洞。
网上流传的 Solar 截图还提到，有受害设备运行着 DSM 7.4.1-90080 Update 1。不过截图正文也明确说了，入口尚未确认，不能认定 DSM 本体存在 0day，也不能排除套件、插件、账号凭据或其他服务被利用。
这些材料是否对应同一条攻击链，目前还不清楚。“受害时显示最新版”，不能单独证明“最新版存在新漏洞”。 但入口没查清之前，用户也不能只凭版本号就放心。
🔒 还没发现异常，先做几件能落地的事。
先查路由器和 NAS，把不必要的公网端口映射、自动映射和外网服务关掉。确实需要远程管理，优先通过妥善配置、持续更新的 VPN 访问。改个端口号，替代不了补漏洞。
然后更新 DSM 和套件，停用不用的服务；停用默认 admin，使用独立强密码，开启两步验证、自动封锁和防火墙。
还有一件容易拖着不做的事：检查备份到底能不能恢复。 支持的机型和配置可以启用不可变快照，重要资料再留一份平时断开连接的离线备份。实际恢复几个文件看看，比看到“备份成功”四个字更让人踏实。
🔎 怎么判断自己有没有受到影响？
先看照片、文档能不能正常打开，有没有批量出现 .L0CK3D、.LOCK3D 后缀，以及陌生的 read-me3.txt。再看日志里有没有不认识的成功登录、异常时间访问和批量文件修改。
反过来，没找到这些后缀，也不能宣布绝对安全。这些检查只能帮你初步发现异常。
🆘 已经出现加密文件，先隔离，再处理。
断开受害 NAS 与公网、局域网的连接，暂停相关同步，保护尚未受影响的备份。只关掉公网映射，还不算完成内网隔离。
也要注意，断网不保证停止已经在 NAS 本地运行的加密程序。隔离后，应尽快联系群晖支持或可信的应急团队，判断如何停止加密、保留证据。
网上的“马上拔电”和“绝对别关机”，都别直接当成适用于所有现场的答案。CISA 的建议是优先断网，无法隔离时才考虑关机，同时提醒关机会丢失内存中的取证信息。
保留勒索信、日志、设备版本和异常时间。先别急着初始化、重装或删除加密文件，必要时让专业人员制作镜像。之后再排查入口、重建可信环境，从干净设备更换相关密码，使用确认正常的备份恢复。
不建议支付赎金，付款没有恢复保证。没有备份，也先留住加密数据，可以查询 No More Ransom 是否有适用工具；目前我没有核实到适用于本次具体变种的免费解密方案，不能承诺能救回来。
我觉得，这次最值得重新想一遍的，是我们把多少安全感寄托在了一台设备上。
“我有 NAS”“我开了备份”“我更新过系统”，每句话后面其实都还差一次检查：备份会不会一起被改写？恢复有没有试过？不需要的外网入口有没有关？
群晖也应该继续解释官方旧漏洞结论与最新版受害报告之间的关系，让用户有足够的信息判断风险。
如果今天整台 NAS 的数据都打不开，你手里的备份能恢复到哪一天？
https://x.com/Blind___Gamer/status/2116020652222427154?a=e63Gl3Zz4koKxazzeZc&s=35
家里有群晖 NAS 的，今天抽几分钟检查一下：文件还能不能打开，有没有陌生后缀，管理后台是不是还直接暴露在公网上。已经有人遇到了文件被加密、留下勒索信的情况。
据 360 发布的分析，今年 10 月以来，他们连续收到多起群晖 NAS 勒索求助，样本被识别为 Cerber 的变种 C3RB3R。文件遭加密后被追加 .L0CK3D 后缀，目录里留下 read-me3.txt 勒索信。网络截图中也出现了 .LOCK3D 的写法。
这已经足够严重。对把家庭照片、工作资料和备份集中存放的人来说，一台 NAS 失陷，可能意味着几类重要数据同时无法使用。
群晖 10 月 29 日的官方回应称，攻击利用了 2024 年 12 月已经修补的旧漏洞，目标是运行旧版 DSM 的设备；360 的分析则指向今年 9 月披露并修复的两个高危漏洞。
网上流传的 Solar 截图还提到，有受害设备运行着 DSM 7.4.1-90080 Update 1。不过截图正文也明确说了，入口尚未确认，不能认定 DSM 本体存在 0day，也不能排除套件、插件、账号凭据或其他服务被利用。
这些材料是否对应同一条攻击链，目前还不清楚。“受害时显示最新版”，不能单独证明“最新版存在新漏洞”。 但入口没查清之前，用户也不能只凭版本号就放心。
🔒 还没发现异常，先做几件能落地的事。
先查路由器和 NAS，把不必要的公网端口映射、自动映射和外网服务关掉。确实需要远程管理，优先通过妥善配置、持续更新的 VPN 访问。改个端口号，替代不了补漏洞。
然后更新 DSM 和套件，停用不用的服务；停用默认 admin，使用独立强密码，开启两步验证、自动封锁和防火墙。
还有一件容易拖着不做的事：检查备份到底能不能恢复。 支持的机型和配置可以启用不可变快照，重要资料再留一份平时断开连接的离线备份。实际恢复几个文件看看，比看到“备份成功”四个字更让人踏实。
🔎 怎么判断自己有没有受到影响？
先看照片、文档能不能正常打开，有没有批量出现 .L0CK3D、.LOCK3D 后缀，以及陌生的 read-me3.txt。再看日志里有没有不认识的成功登录、异常时间访问和批量文件修改。
反过来，没找到这些后缀，也不能宣布绝对安全。这些检查只能帮你初步发现异常。
🆘 已经出现加密文件，先隔离，再处理。
断开受害 NAS 与公网、局域网的连接，暂停相关同步，保护尚未受影响的备份。只关掉公网映射，还不算完成内网隔离。
也要注意，断网不保证停止已经在 NAS 本地运行的加密程序。隔离后，应尽快联系群晖支持或可信的应急团队，判断如何停止加密、保留证据。
网上的“马上拔电”和“绝对别关机”，都别直接当成适用于所有现场的答案。CISA 的建议是优先断网，无法隔离时才考虑关机，同时提醒关机会丢失内存中的取证信息。
保留勒索信、日志、设备版本和异常时间。先别急着初始化、重装或删除加密文件，必要时让专业人员制作镜像。之后再排查入口、重建可信环境，从干净设备更换相关密码，使用确认正常的备份恢复。
不建议支付赎金，付款没有恢复保证。没有备份，也先留住加密数据，可以查询 No More Ransom 是否有适用工具；目前我没有核实到适用于本次具体变种的免费解密方案，不能承诺能救回来。
我觉得，这次最值得重新想一遍的，是我们把多少安全感寄托在了一台设备上。
“我有 NAS”“我开了备份”“我更新过系统”，每句话后面其实都还差一次检查：备份会不会一起被改写？恢复有没有试过？不需要的外网入口有没有关？
群晖也应该继续解释官方旧漏洞结论与最新版受害报告之间的关系，让用户有足够的信息判断风险。
如果今天整台 NAS 的数据都打不开，你手里的备份能恢复到哪一天？
https://x.com/Blind___Gamer/status/2116020652222427154?a=e63Gl3Zz4koKxazzeZc&s=35
Comments
Be the first to add a comment
Log in to comment