某高校群晖 NAS 被 Makop 加密的科研数据恢复

客户为一所高校的科研团队，使用一台群晖 NAS 存放实验数据、测量记录、论文草稿与图表素材，累计数年积累，容量数十 TB。NAS 由学生轮流管理，为方便在校外访问，开启了外网映射与快速连接功能，管理员账号沿用了一个简单口令，并且从未启用两步验证。

NAS 上启用过快照功能，但在容量紧张时被调整为较短的保留周期；同步到另一块外接硬盘的计划一直没有执行，外接硬盘长期挂载在 NAS 上作为扩展存储使用。

某个周末，团队成员发现共享文件夹中的文件无法打开，文件名被追加了包含随机字符与联系邮箱的后缀，每个目录中都出现了一份短小的勒索信文本。NAS 的管理界面仍可登录，但套件与部分系统目录也受到影响。挂载的外接硬盘同样被加密。

由于正值项目结题阶段，部分原始测量数据无法重新采集，团队情绪紧张，有人提出考虑支付赎金。

第一通电话里我们明确了两点：不要重置 NAS、不要删除套件重装，也不要急于支付；先把可用数据源盘点清楚再做决定。

• 止损：断开 NAS 的外网映射与快速连接，停止所有同步与套件任务，卸载外接硬盘避免继续写入，保留勒索信与一份加密样本。
• 家族确认：依据后缀结构与勒索信格式确认为 Makop 家族的某一变种，无可用公开解密工具，解密路径不可行。
• 数据源盘点：一是 NAS 上仍保留的最近一次快照（虽然保留周期短，但恰好覆盖了事件前一天）；二是各成员工作站上因日常分析而缓存的本地副本；三是已投稿论文的附件与共享云文档中的中间版本；四是 NAS 卷内未分配空间中的残留数据。
• 分层恢复：先从快照回滚绝大部分共享目录；再用工作站本地副本补齐快照之后的新增数据；对仍缺失的原始测量文件，在卷镜像上做残留扫描与文件特征重组，按文件类型批量还原；最后由团队按目录逐项确认完整性。
• 访问控制重做：关闭外网直连，改为学校 VPN 访问，管理员与使用者账号分离，启用两步验证。