群晖 NAS 最新版遭勒索病毒攻击：事件概况与应对建议
重要的事先说：别关机，先关掉群晖对外映射（先断公网），中招了更加别关机！！！一 、 事件核心情况（截至 2026 年 10 月 29 日）这不是谣言，是一起正在发生的真实攻击事件 。 要点如下：**[*]爆发时间：2026 年 10 月 28 日起，B 站 、 小红书等社区集中出现大量群晖用户中招报告，部分经销商已向客户发出 “ 关闭外网访问 ” 的紧急通知 。
[*]勒索家族：暂被命名为C3RB3R（社区也流传 L0CK3D/LOCK3D 称呼）。 识别特征非常明确：
[*]文件被追加.LOCK3D后缀，原文件无法打开；
[*]各目录出现read-me3.txt勒索信，引导通过 Tor 访问暗网站点；
[*]勒索站点高度自动化：提供单文件免费试解密（≤1024KB）、 自动生成钱包地址与支付状态监测 、6 次确认后自动交付解密器 。
[*]最令人担忧的一点：Solar 应急响应团队处置的受害设备，运行的是当时最新版 DSM 7.4.1-90080 Update 1（2026 年 10 月 12 日发布）。 有受害者即使开了双重验证（2FA）、 改了非默认端口 、 禁用了 SSH，仍被加密了 8T 数据 。
[*]入侵入口尚未确认：现阶段不能认定 DSM 本体存在 0day，也不能排除套件漏洞（此前 9 月修复过 SA-26:13 两个 CVSS 9.8 的未授权 RCE 漏洞 、10 月 22 日修复过 ”PHP2Shell” 漏洞 SA-26:14）、 凭据泄露或内网横向传导 。 截至 29 日，群晖官方暂未发布定性安全公告，仅在 10 月 28 日 18:31 预警 “ 请客户尽可能关闭外网访问 ”。
[*]中招案例分布：7.2.1、7.4.x 均有报告，版本口径混乱；ARM 机型暂未见案例 。 任何 “ 升级就安全 ” 或 “ 只有旧版才中招 ” 的说法目前都不成立 。
[*]相关事件链接
[ 原创 ]【 勒索预警 】 群晖 NAS 最新版遭勒索病毒攻击，疑似涉及 0day 漏洞
群晖 DSM+Gitlab CE 遭 C3RB3R 勒索软件攻击！救灾直播贴
群晖重大漏洞 DSM，勒索病毒入侵，多人中招 L0ck3D
二 、 如果你现在就有一台群晖 NAS：立即做四件事
[*]收敛暴露面（最优先）：关闭路由器上的端口映射，让 DSM 管理界面不直接暴露公网 。 远程访问改走 VPN 或 Tailscale/ZeroTier 组网 。 自查方法：断开家里 WiFi、 用手机流量访问 “ 公网 IP:NAS 端口 ”，能看到登录页就是裸奔 。
[*]检查更新：DSM 及套件升至最新修复版（如 7.2.1-69057 Update 12 或更高 、7.4-90075 以上），补齐 SA-26:13、SA-26:14 等修复 。
[*]加固账号：禁用默认 admin、 强独立密码 、 开启 MFA（黑群晖不要开）、 关闭不用的 SSH 和服务 。
[*]备份三道闸：开启不可变只读快照（Btrfs + Snapshot Replication）；备份必须单向（双向同步会把加密文件同步回去覆盖健康备份）；核心数据保留一份离线副本（移动硬盘拔线入抽屉）。 注意：RAID 不防勒索，病毒加密时会把密文忠实地同步到每一块盘 。
三 、 如果已经中招：应急
[*]切记不要关机因有希望从内存 dump 出密钥恢复数据 。
[*]先拔网线，但不要断电关机 —— 阻止扩散，同时保留内存中的取证线索；停止 Cloud Sync 等同步套件，避免勒索信被同步到云端 。
[*]如果你知道怎么关掉群晖的 IPV6 取消路由器对群晖的端口映射，那么插上网线执行关掉群晖的 IPV6 取消路由器对群晖的端口映射
[*]保留现场：截图勒索信全文，保留系统日志和登录记录，不要格式化 、 不要重装 、 不要写入大量数据，更不要使用来路不明的 “ 解密工具 ”。
[*]不要付款：付款不保证恢复（DeadBolt 事件曾有付款两次仍未解密的先例），及时报警并联系专业应急响应团队溯源 。
四 、 尝试恢复文件这边找到一位恢复的案件可以尝试先解决，起码也可以先遏制病毒从而止损
群晖 DSM+Gitlab CE 遭 C3RB3R 勒索软件攻击！救灾直播贴https://linux.do/t/topic/3085082以下针对纯小白，虽然密码给 AI 助手很坑爹但你已经是纯小白了还中招了这世上已经没有比这个更坏的事情发生所以无所谓了 。 大佬自行手动排除恢复吧 。由于你没有翻墙所以有可能打不开 GitHub 但是没关系可以让 AI 帮你处理
下载 WorkBuddy或TRAE 我设置了我的推荐码安装注册后默认有送几千积分应该有可能解决此次的问题 。 安装成功之后打开群晖的SSH 功能 ( 如果不会点我只需要操作第一步）在会话窗口中输入以下信息让 AI 助手帮你尝试解决问题下我的群晖 ip 地址为 xxx.xxx.xxx.xxx ssh 端口为 xxx用户名：替换为有管理员权限的用户名 密码：替换你的密码进来 此账户有 root 权限 正版群晖 xxx 型号或黑群晖 xxx 型号，如果能得到解决建议修改密码 。https://github.com/soimy/c3rb3r-rescue
阅读 README 与 skills/dsm-ransomware-rescue/SKILL.md。 以保住易失密钥为优先，确认当前机器是虚拟机还是物理机，区分进程内存和整机 RAM。 先调查可用权限 、 暂停状态 、 目标存储和采集兼容性，再在现有授权内采取适用的步骤 。 保留原始文件 、 独立副本和校验收据；不要执行样本 、 自动加载不匹配的内核模块或重启受灾机 。 只对副本尝试解密，分别报告已验证结果 、 猜测和未覆盖范围 。分析完之后可以在会话窗口中进行咨询和要求 ai 助理帮你恢复，排查可疑程序，隔离等等 。五 、 建议：等群晖官方解决方案无论黑白群晖建议先断公网等群晖官方推送，理论上只要你不对外映射群晖的端口或 ipv6 一般很难中招，其实 ipv6 本身也很安全因为地址范围太大了黑客扫不过来，被扫中只能是天选之子 。**
几点补充，都是实操上容易踩的。
1、快照别只看开没开，要看拿到 admin 权限后能不能删。DSM 里做不可变快照得配好 Snapshot Replication 的保留策略，再用独立账号保护，否则一个管理员会话进去，先删快照再加密，快照等于没做。2、IPv6 那段说“地址范围大扫不过来”，我不太认同。不少家用路由器 IPv6 防火墙默认放通入站，再叠个 UPnP 自己开洞，实际暴露面比想的大。排查顺序是先看路由器有没有 IPv6 入站规则，再看 DSM 里 QuickConnect、外部访问开没开。3、首帖说别关机等内存 dump 密钥，方向对，但普通用户基本没可操作性，内存取证是专业团队干的活；个人能做的就是拔网线、停同步、别写盘、别格盘，然后找应急。4、帖子里让小白把管理员账号密码交给在线 AI 工具走 SSH 去“恢复”，这条我不敢认同。受灾机本来 SSH 就不该开，密码给出去等于二次授权；真要试解密，只在隔离出来的副本上做。入口这块现在说什么都早，得看后续信息：是套件版本、QuickConnect 直连，还是内网横向进来的，这三种对应的处置完全不一样。 写在前面近日，Solar应急响应团队处置了多起群晖NAS勒索事件。攻击者加密NAS中的文件，在原扩展名后追加 .LOCK3D，并留下名为 read-me3.txt 的勒索信。根据勒索信及暗网站点信息，我们目前暂将该家族称为 C3RB3R。值得注意的是，受害设备已经更新至DSM 7.4.1-90080 Update 1。由于入侵入口尚未确认，现阶段不能认定DSM本体存在0day，也不能排除套件、插件、账号凭据或其他服务被利用。本文先同步现场信息与防护建议，具体攻击入口将在后续溯源后更新。一、最新版群晖NAS遭到加密现场文件显示，多个文档在加密后被追加 .LOCK3D 后缀，原文件已无法正常打开。https://bbs.kanxue.com/upload/attach/202610/999921_EA5GC4Z7XAFBZ5T.webp受害NAS中的文件被追加 .LOCK3D 后缀攻击者同时留下 read-me3.txt 勒索信，声称文件已经加密，并引导受害者通过Tor浏览器访问其暗网站点。信中包含免费试解密及后续处置指引，相关暗网地址已做脱敏处理。https://bbs.kanxue.com/upload/attach/202610/999921_VXGH6PKFRFRW482.webpC3RB3R勒索信要求受害者访问指定暗网站点，敏感地址已脱敏上机检查后确认，受害设备运行的版本为 DSM 7.4.1-90080 Update 1，截至本文撰写时为当前版本。这也是本次事件需要优先预警的原因，但设备升级与实际入侵的先后关系仍待核实。
https://bbs.kanxue.com/upload/attach/202610/999921_WWHM38WVY8ANCCG.webp受害设备的DSM版本为7.4.1-90080 Update 1不过，最新版遭到攻击，不等于最新版存在0day。攻击者也可能通过套件漏洞、泄露凭据、弱口令或其他暴露服务进入设备，仍需结合日志和现场痕迹进一步判断。二、勒索站点已实现自动化运营C3RB3R的暗网站点提供“免费解密1个文件”入口，允许上传不超过1024 KB的 .LOCK3D 文件，用于向受害者证明其具备解密能力。https://bbs.kanxue.com/upload/attach/202610/999921_7ZKPG5EG47GEYNJ.webp
勒索站点提供单文件免费试解密，并限制文件大小和后缀（已翻译）**站点还设置了FAQ和支持入口，围绕文件解密、数据泄露及页面可访问性等问题提供指引，减少了传统勒索事件中反复邮件沟通的过程。
https://bbs.kanxue.com/upload/attach/202610/999921_TT3JDBCCW54KRHU.webp勒索站点通过FAQ引导受害者完成后续操作（已翻译）更值得关注的是支付与交付环节。页面自动生成钱包地址和二维码，并提供支付历史与状态监测。按照页面说明，交易完成6次确认后，受害者刷新页面即可获取解密器下载链接https://bbs.kanxue.com/upload/attach/202610/999921_D4WXKPEADJMFQE7.webp勒索站点集成收款状态监测与解密器交付，钱包信息已脱敏（已翻译）从试解密、问题解答到收款监测和解密器交付，整个流程基本由站点自动完成，人工沟通占比明显降低。这表明该家族的勒索运营自动化程度较高，但仅凭页面形式，暂时无法判断其实际攻击规模。三、是否涉及0day仍待确认群晖官方发布说明显示，DSM 7.4.1-90080 Update 1 于2026年10月12日发布，属于重要更新，官方仅注明“修正了安全性弱点”，未公开具体漏洞编号和受影响组件。本次受害设备已经安装该版本，但目前尚无证据证明本次攻击与此次安全更新直接相关。后续溯源需要重点核对实际入侵时间、DSM升级时间、套件清单、远程访问配置、账号登录记录及任务执行痕迹。在证据完善前，我们将本次事件表述为 疑似涉及0day，不排除DSM本体、第三方套件或插件存在未公开漏洞，也保留凭据泄露及其他入侵方式的可能。**四、防护建议
[*]立即收敛NAS暴露面： 尽量将NAS及DSM管理界面部署在内网，不要直接向互联网开放。确需远程访问时，通过VPN、访问白名单和多因素认证限制访问来源。
[*]检查系统与套件更新： 核对DSM、官方套件及第三方插件版本，按照群晖官方说明及时安装安全更新。更新前做好配置与数据备份，并评估业务影响。
[*]清理无用账号和服务： 禁用不再使用的账号、SSH及非必要网络服务，检查异常管理员账号、计划任务和远程访问配置，为保留账号启用高强度独立密码与多因素认证。
[*]检查备份是否真正可用： 重要数据至少保留一份离线或异地副本，避免备份目录与生产NAS长期处于可写状态，并定期进行恢复验证。
[*]发现加密后先保护现场： 如出现 .LOCK3D 文件或 read-me3.txt 勒索信，应立即隔离受影响NAS，保留系统日志、套件日志、登录记录和勒索信，不要直接重装或清理痕迹，及时联系专业团队处置。
目前，本次事件的具体入侵入口仍在溯源。若确认涉及DSM、套件或插件漏洞，我们将同步更新文章。建议群晖NAS用户先完成暴露面收敛和账号检查，也欢迎转发给身边使用NAS的同事朋友。**
mammoth 发表于 2026-10-29 16:03
写在前面近日，Solar应急响应团队处置了多起群晖NAS勒索事件。攻击者加密NAS中的文件，在原扩展名后追加 .L ...
我注意到受害机器开了 2FA、改了非默认端口、禁了 SSH，还是被加密了。这说明入口大概率不在 DSM 登录界面，更像是套件或插件那层被攻破了，比如 Web Station、Photos、Docker 里跑的第三方应用，或者内网某台设备泄露出的凭据被横向传过来了。所以我建议在版本号之外，把“跑过哪些套件、开过哪些端口、有没有别的设备用同一套密码”一起排查。
页:
[1]