威联通 QNAP NAS 被勒索病毒加密

威联通设备在公开记录中经历过多轮针对性勒索事件，了解这些事件的差异有助于判断自己的处境：

• DeadBolt（2022 年起）：劫持设备登录页显示勒索信息，使用 AES-128 加密文件并追加 .deadbolt 后缀，采用「向厂商也索要费用」的多层勒索模式。公开记录显示它先后针对 QNAP，随后波及 ASUSTOR 与 TerraMaster 设备。
• Qlocker（2021 年）：不做传统加密，而是用 7-Zip 把文件打包成带密码的压缩包，速度极快，破坏面极广。相关报道指其与利用 HBS 3 中的硬编码凭据漏洞（CVE-2021-28799）有关。
• eCh0raix：针对 NAS 的家族，公开报道显示其在多轮活动中同时波及威联通与群晖设备。
• Checkmate（2022 年）：威联通官方通告说明，攻击面向开启 SMB 服务并暴露在公网的设备，通过字典攻击破解弱口令账号，加密后追加 .checkmate 后缀并留下 !CHECKMATE_DECRYPTION_README 说明文件；官方建议不要把 NAS 暴露公网、改用 VPN、检查账号强度、禁用 SMB 1、保持固件更新并做好备份与快照。

这些事件的共同前提高度一致：设备可从公网访问 + 账号口令弱或存在未修补漏洞。

误操作风险：

• 重置设备、重建 RAID、初始化存储池。 一次性摧毁所有恢复可能。DeadBolt 场景下由于登录页被劫持，很多人会直接想到「恢复出厂设置」，这恰恰是最糟的选择。
• 删除加密文件或 7z 压缩包。 它们可能是唯一可恢复素材。
• 在 PC 上直接扫描威联通硬盘并写入。 QTS 同样基于 Linux 软 RAID + LVM，随意操作会破坏阵列。
• 升级固件试图「修复」。 会产生写入，也可能覆盖证据；固件升级属于事后加固步骤，不是当下的恢复手段。
• 按网上教程输入攻击者提供的密钥。 部分事件中存在伪造页面与二次诈骗。

我们不建议支付赎金，也不提供代谈判服务。

• 不要把 NAS 暴露在公网。 这是所有公开记录的威联通勒索事件的共同前提。取消路由器端口转发与 UPnP、关闭不必要的外部访问服务，远程访问统一改用 VPN——这也是威联通官方在 Checkmate 通告中的首条建议。
• 账号与口令治理。 立即检查全部账号，禁用或重命名默认管理员、设置强口令、启用两步验证，开启登录失败自动封锁；删除长期不用的账号。
• 禁用 SMB 1，只使用 SMB 2 或更高版本，并关闭不需要的服务（SSH、Telnet、FTP、Web 服务器、相册与容器套件）。
• 保持固件与套件更新。 历史事件中，未修补的套件漏洞（如备份同步套件的硬编码凭据问题）曾被直接用于批量投放；开启自动更新或定期人工检查。
• 开启快照并合理设置保留策略。 快照是 NAS 场景最有效的恢复手段之一，但要认识到管理员权限被攻陷时快照可能被删，因此它不能替代离线备份。
• 备份目标放在设备之外。 用 HBS 备份到另一台设备、外接硬盘（备份后断开）或云端，保留多版本；不要把备份写在同一台 NAS 上。
• 共享权限最小化并限制内网可达范围。 归档目录只读，普通用户不给全盘写权限，避免一台中招终端加密全部共享。
• 定期检查日志与做恢复演练。 关注异常登录与大量文件变更告警；每半年从备份真实恢复一次关键目录，验证链路可用。