群晖 NAS 突发 LOCK3D 勒索病毒：事件解析与关键防范措施

2026 年 10 月 29 日左右，针对群晖（Synology）网络附加存储（NAS）设备的大规模勒索病毒攻击在国内外集中爆发。受害者的重要工作文档、数据库以及个人照片等资料被全量强制加密，包括 Reddit (r/synology)、V2EX、Chiphell 以及看雪安全论坛在内的多个技术社区均出现了大量紧急求助帖。

一、 事件概况与病毒特征

• 病毒家族归属：经安全研究团队分析，该勒索软件属于 Cerber（C3RB3R）家族针对 Linux / NAS 存储系统深度定制的变种。
• 篡改文件后缀：所有被加密的文件原扩展名后均被强行追加 .LOCK3D 或 .L0CK3D 后缀（例如 document.pdf.LOCK3D）。
• 投放勒索信：攻击者在各受害目录及根目录下投放名为 read-me3.txt 的说明文件（内含 C3RB3R INSTRUCTIONS 标识），引导用户通过 Tor 浏览器访问暗网支持页面。
• 高度自动化的暗网勒索体系：暗网站点已实现全自动化运营，提供 1 个小于 1024 KB 文件的免费试解密服务以证明解密能力，并内置自动收款与解密器自动分发机制。

二、 攻击路径与疑似成因分析

群晖官方与一线应急响应团队针对本次集中攻击的排查显示，以下几个关键因素是主要诱因：

• 高危远程代码执行（RCE）漏洞利用：官方初步公告指出攻击疑似利用了历史已披露但部分用户未打补丁的严重漏洞（如 CVSS 9.8 的 CVE-2024-10441），针对过时 DSM 系统发起自动化批量打击。
• 自动更新假死与滞后：部分旧机型（如 DS918+ 等）由于历史安装依赖或版本跨越限制，控制面板误提示“系统已是最新”，实际版本落后官方最新补丁长达数个版本。
• 公网管理端口裸奔：不少受害者在路由器上开启了 UPnP，或将 DSM 默认管理端口（5000/5001）、SSH（22）直接映射到公网 IP，成为扫描器探测的活靶子。
• 凭据泄露与套件漏洞：部分案例涉及弱口令撞库、MFA 绑定邮箱被盗取导致应急验证码泄露，或第三方套件、Docker 容器服务、Web Station/PHP 以及 Synology Photos 的潜在暴露面。

三、 中招后的“黄金处置”应急原则

若发现 NAS 中已经出现 .LOCK3D 后缀文件或 read-me3.txt 勒索信，每一个动作都关乎底层未覆写扇区的数据生死，请立即执行以下操作：

• 立即物理断网：第一时间拔除 NAS 网线或断开 Wi-Fi 连接，并在路由器上关闭所有外网端口映射与内网 SMB 共享，切断黑客进程与后续加密蔓延。
• 停用云端同步与备份任务：立即暂停 Cloud Sync 和 Hyper Backup 同步计划，严防被加密的废文件同步覆盖云端网盘或异地健康的未受损历史版本。
• 严禁随意删除文件或整理磁盘：切勿在 DSM 中盲目删除受损文件，严禁执行存储空间整理（Data Scrubbing）或磁盘碎片清理。否则将瞬间覆写清零 Btrfs 系统的写时复制（CoW）残留块与底层快照节点，彻底丧失恢复希望。
• 完整保留现场与日志：切勿自行重装系统或格式化存储池，完整保留 read-me3.txt、系统登录日志、SSH 日志与容器运行记录，作为溯源与数据修复的核心证据。
• 切勿盲目使用老旧解密脚本：切勿使用多年前 Windows 版 Cerber 的旧解密工具强行批量覆写文件，避免因加密步长与算法演进而造成不可逆的二次毁损。

四、 群晖 NAS 全方位防范与安全加固指南

• 严格收敛公网暴露面（核心防线）：立即关闭路由器上的 UPnP 功能。撤销 DSM 默认管理端口（5000/5001）与 SSH（22）的公网映射。外网远程访问强制通过安全 VPN 隧道（Tailscale、WireGuard、OpenVPN）或群晖官方 QuickConnect 连接（据称目前（30 日） QC 开启后仍有中招案例，请谨慎操作）。
• 手动核对并升级固件与套件：登录群晖官方下载中心核对当前机型对应的最新版本，手动升级 DSM（至 7.2.2 或 7.4.x 系列最新维护版）；同步更新 Container Manager、Web Station、Synology Photos 等所有已安装套件。
• 强化账号安全与权限隔离：停用系统默认的 admin 和 guest 账户，创建自定义管理员账号；强制开启基于认证器 App（TOTP）的双重身份验证（2FA / MFA）；在控制面板启用“自动封锁”（Auto Block）策略限制爆破行为，并修改默认服务端口。
• 部署不可变快照（Immutable Snapshots）：在支持 Btrfs 文件系统的机型上，通过 Snapshot Replication 开启定期快照，并针对关键共享文件夹启用“不可变快照”并设置锁定期。在锁定期内，即便攻击者夺取 root 权限也无法删除或加密快照。
• 落实 3-2-1 容灾备份体系：确保关键数据拥有 3 份副本、存储在 2 种不同存储介质上，且至少有 1 份位于异地或离线冷备状态（如定期冷备至离线外置硬盘，或备份至支持对象锁定/WORM 的云端存储）。