某建筑设计公司群晖 NAS 图纸库被 BeijingCrypt 加密的处置

客户为一家以建筑设计为主、兼做地产开发的中型公司，总部设计中心与两个在建项目的资料集中存放在一台群晖 NAS 上。另有一台 Windows 文件服务器运行造价软件及其数据库，并以固定盘符挂载 NAS 共享目录，每晚把图纸库复制到本地磁盘作为备份。

为了方便设计师在项目现场和家中调图，运维人员在出口路由器上把文件服务器的 3389 端口直接映射到公网，登录用的仍是沿用多年的管理员口令；NAS 共享目录为协作方便设为「所有人可读写」，并在十余台设计师工作站上映射。

事件发生在三月中旬的一个周末。周一早晨第一位到岗的设计师发现图纸目录里的 .dwg、.rvt 与造价数据文件全部被追加了 .beijing 后缀，每一级目录里都落有 !RECOVER.txt，给出主备两个邮箱并要求附上机器 ID。文件服务器上的数据库服务已被停止，本地备份目录一并被加密。公司当时正在准备投标，提交截止时间在九天之后。

联系我们之前，客户已在一台设计师工作站上运行过从网上下载的所谓「.beijing 专用解密工具」，未产生任何效果。

接警当天下发止损指令：NAS 与文件服务器拔网线保持开机，挂载共享的工作站断网，不要重置 NAS 或重建存储池。

• 取证与镜像：对文件服务器系统盘与数据盘做只读镜像，导出安全日志、端口映射配置与 DSM 日志中心记录；NAS 不触碰存储池，作业均在副本上进行。
• 家族确认与可恢复性判断：!RECOVER.txt 加 .beijing 后缀指向 BeijingCrypt，与 Phobos 的 info.txt 加 info.hta、Makop 的 readme-warning.txt 可区分；该家族为 AES-256 加 RSA-2048 混合加密，无公开免费解密工具，解密路径不成立。DSM 账号与登录日志无异常、SSH 未开启，判定为中招主机沿挂载共享扩散而非 NAS 被攻破，Btrfs 只读快照完好。
• 恢复实施：确认最近的只读快照早于加密开始时间，先镜像当前状态再按共享分批回滚；两个新建项目共享未纳入快照任务，由事发时离线的移动硬盘与工作站副本补齐；造价数据库从离线备份还原并校验。
• 同步加固：取消 3389 公网映射改走 VPN 并强制多因素认证，清理攻击者账号与持久化、重置口令，共享权限按项目与角色收敛，启用不可变快照，离线备份两盘轮换。
• 交付物：事件报告（含爆破来源 IP 与时间线）、恢复清单与校验记录、图纸版本核对表、加固验收清单。