2026 年 10 月下旬，大量运行多年的群晖（Synology）NAS 在一夜之间被勒索病毒集中攻陷：共享文件夹里的研发文档、数据库镜像、日常备份全部被加上 .L0CK3D 后缀，各目录下出现名为 read-me3.txt（内含 C3RB3R INSTRUCTIONS 字样）的勒索信。这就是近期国内影响面最大的 L0CK3D（C3RB3R）勒索病毒事件。作为长期为企业做网络与数据安全服务的团队，我们把这次事件的攻击链路、预防要点和补救措施整理成这篇指南，供企业管理员对照自查。
一、事件回顾：这次攻击特殊在哪
与过去“先感染 Windows 电脑、再通过 SMB 共享波及 NAS”的老套路不同，本轮攻击是黑客针对暴露在公网上的群晖设备发起的全网自动化攻击，不需要任何账号密码。安全团队的溯源分析显示主要存在三条入口：
- DSM 系统高危漏洞：CVE-2026-13639（登录逻辑随机数熵不足）与 CVE-2026-13684（SCGI 组件输出编码不当），CVSS 评分高达 9.8，可远程读写任意文件。群晖已于 2026 年 9 月 18 日通过安全公告 Synology-SA-26:13 一次性修复 8 个漏洞，但大量设备始终没有打补丁。
- 久未更新的老漏洞：部分受害设备 18 个月未装安全更新，被利用的是 2024 年底已修补的 synoplugind 远程代码执行漏洞 CVE-2024-10441。
- 容器与套件被“借道”：在 Container Manager 里对外映射端口的 GitLab、Confluence 等服务被自动化脚本攻破后，攻击者利用高权限容器挂载或逃逸缺陷把恶意脚本写进 Linux 底层的 crond 静默潜伏；另有 PHP 核心 RCE 漏洞（Synology-SA-26:14，CVE-2026-109618/109619）直接影响 MailStation、Calendar 等原生套件。
加密算法采用 RSA-4096 结合 AES/ChaCha20，暴力破解在数学层面不可行，目前不存在公开的免费解密工具。这意味着：事后能不能把数据拿回来，几乎完全取决于你有没有“它够不到”的备份。
二、为什么 RAID 和本地备份救不了你
这是本次事件中损失最惨重的认知误区。加密程序从根目录开始多线程遍历所有挂载的存储空间（/volume1、/volume2……）：
- RAID 的唯一作用是防物理硬盘损坏，对操作系统层面的恶意改写毫无防御能力——RAID 1/5/6 在病毒眼里就是一块普通的大硬盘；
- 凡保存在同一台 NAS 可写目录下的本地日备份、周备份、月备份，包括未开启多版本锁定或异地隔离的 Hyper Backup 目录，都被当成普通文件一并锁死。
三、预防加固清单（对照自查，逐条落实）
1. 立即更新 DSM 至已修复版本
对照 Synology-SA-26:13 公告，各 DSM 分支请至少升级到以下版本：
| DSM 分支 | 最低安全版本 |
|---|---|
| DSM 7.4 | 7.4-90075 及以上 |
| DSM 7.3.2 | 7.3.2-86009-4 及以上 |
| DSM 7.2.2 | 7.2.2-72806-9 及以上 |
| DSM 7.2.1 | 7.2.1-69057-12 及以上 |
同时检查 Node.js 等套件更新（本次事件前后 Node.js v22 套件一次性修复了 28 个 CVE）。
2. 把 DSM 从公网上撤下来（最重要的一条）
- 取消路由器上指向 5000/5001 端口的端口转发，关闭 UPnP 自动开端口；
- 远程访问改走 VPN（WireGuard/Tailscale 均可）；确需直连时至少：改默认端口、强制 HTTPS、限制来源 IP、开启自动封锁与两步验证；
- QuickConnect 能不用就不用。
3. 账号与权限治理
- 禁用默认 admin 账号，管理员启用强口令 + 两步验证（2FA）；
- 共享权限最小化，归档目录只给读权限，把“所有人可写”的大共享拆小，直接缩小一次加密的覆盖面；
- 关闭用不到的 SSH、Telnet、FTP、AFP 等服务。
4. 备份体系重构：3-2-1 + 不可变
- 3 份数据、2 种介质、1 份异地：备份目标必须是另一台设备、外接硬盘（备份后断开）或云端，绝不能写在同一台 NAS 的另一个共享里；
- Btrfs 卷开启 Snapshot Replication 并启用不可变快照（WORM 保留），即使管理员账号被攻陷也无法删除快照；重要归档目录可用 WriteOnce 共享文件夹；
- 定期做恢复演练——没验证过恢复的备份等于没有备份。
四、万一中招：补救措施按顺序执行
- 立即断网隔离：拔网线或关闭交换机端口，阻止加密程序继续外联与扩散；
- 保留现场：不要重启、不要删除任何文件，勒索信、加密样本、DSM 日志都是溯源与报案的关键证据；
- 不要支付赎金：既没有解密保证，也会让你成为二次攻击目标；
- 评估可恢复面：检查不可变快照、异地备份、云同步的完整性，被加密的文本类文件存在部分抢救可能（依赖备份块残留），Office 等文件因文件头被加密基本无法自行修复；
- 重装与加固：全盘重装 DSM（保留数据盘先行完全格式化），更新至最新版本后再迁移数据回迁；
- 全量改密：NAS、域账号、邮箱等所有与该设备相关的口令全部更换；
- 报警与通报：向属地网安部门报案，同步检查是否有客户数据泄露义务；
- 复盘归因：明确入口（漏洞未更新/端口暴露/弱口令），把对应短板列入整改。
五、给企业的三点建议
第一，把 NAS 纳入企业的资产管理与漏洞管理流程，而不是当作家用电器——本次事件的受害者几乎都是“装完三五年没登录过后台”的设备。第二，重要数据必须有离线或不可变副本，勒索病毒加密的是“它能写到的所有目录”，防线必须建在它的写权限之外。第三，条件允许时引入专业力量做一次数据安全评估：暴露面扫描、弱口令排查、备份有效性验证，三项做完，90% 以上的勒索风险可以提前消除。
参考来源：群晖官方安全公告 Synology-SA-26:13、Synology-SA-26:14；360 反勒索团队与多家安全媒体对 2026 年 10 月 L0CK3D 事件的公开分析。
扬帆启航提供企业级数据备份方案设计、NAS/服务器安全加固与勒索事件应急处置服务，如需现场评估，欢迎联系我们。
