群晖 Synology NAS 被勒索病毒加密

群晖在国内中小企业和设计、影视、医疗影像类团队里使用极广，往往同时承担文件共享、虚拟机存储、监控录像、备份目标四种角色。一台 NAS 被加密，可能意味着生产数据和备份数据在同一时刻失效。

要先分清两种形态，因为它们的风险和处置完全不同：

形态一：内网 SMB 扩散。 最常见。一台中招的 Windows 终端或服务器挂载了 NAS 共享，加密器沿着写权限把共享目录里的文件逐个加密。NAS 系统本身没有被入侵，DSM、快照、Hyper Backup 配置通常完好——这种情况下 Btrfs 快照往往能直接救回数据，是最好处理的一类。

形态二：NAS 自身被攻破。 通常发生在 DSM 管理界面或 SSH 暴露公网、账号口令薄弱的环境。群晖官方曾在 2021 年 8 月公开说明，其设备遭到以 StealthWorker 恶意软件为主的僵尸网络大规模暴力破解，攻击者猜中管理凭据后会植入恶意载荷，其中可能包含勒索软件；官方同时说明该轮攻击没有迹象表明利用了软件漏洞。此外历史上还有针对 NAS 的家族（如 eCh0raix）同时波及群晖与威联通设备。攻击者拿到管理员权限后，会先删快照、停备份任务，再加密，恢复难度显著上升。

需要澄清一个常见误解：公开资料显示 DeadBolt 勒索软件主要针对 QNAP、ASUSTOR 与 TerraMaster 设备，并未见针对群晖的规模性事件；如果你的群晖出现了 DeadBolt 式的「登录页被劫持」现象，更需要仔细核实设备型号与家族归属，不要按错误的家族去找解密工具。

2026 年 10 月：Lock3d（C3RB3R）直接攻破群晖。 这是目前群晖用户面临的最紧迫的威胁，属于上面的形态二。360 反勒索团队 10 月 29 日发布预警：10 月以来连续接到群晖 NAS 被勒索的求助，攻击者是 C3RB3R（360 称为 Cerber 变种），入口是群晖 9 月 18 日已经修复的两个严重漏洞 CVE-2026-13639 与 CVE-2026-13684（群晖安全公告 Synology-SA-26:13，未经认证即可远程读写任意文件），典型的「补丁出了、大量设备还没装」的 1day 攻击；10 月 28 日至 29 日社区集中出现大量中招报告。修复版本为 DSM 7.4-90075、7.3.2-86009-4、7.2.2-72806-9、7.2.1-69057-12 及以上。但入口还没有完全定论：Solar 应急响应团队处置的受害设备已经是 DSM 7.4.1-90080 Update 1，暂不能排除 DSM 新漏洞、第三方套件（有受害者运行了 GitLab 容器）或凭据泄露。共同点是 NAS 能从公网访问到。

这一波的特征：文件被追加 .L0CK3D（也有现场记录为 .LOCK3D），每个目录留下 read-me3.txt，信中带 6 位设备 ID，引导受害者用 Tor 访问暗网站点，站点提供免费解密 1 个不超过 1024 KB 文件的入口。360 的样本分析显示它用 ChaCha8 加密、每个文件独立密钥，再用内置的 RSA-2048 公钥封装；187 类常见扩展名整文件加密，其余文件按大小部分加密，并跳过 27 个系统目录以免把 NAS 弄崩。对恢复最重要的两点：没有公开解密工具；但有受害者趁加密进程还没结束，挂起进程并导出内存，从中取出了密钥并成功解密——所以发现中招时千万不要关机、重启或重装，先保住现场。

此外，形态一同样可能出现 Lock3d：C3RB3R 的 Windows 版本会加密所有能访问到的 SMB 共享（2023 年起常见于被攻破的 Atlassian Confluence 服务器），这种情况下群晖本身没被入侵，快照通常完好。

常见误操作：

• 重置 NAS、重建存储池、重新初始化磁盘。 一次操作抹掉全部恢复可能，是这个场景最致命的错误。
• 拔盘换序、重建 RAID、在 PC 上用数据恢复软件直接扫描群晖硬盘并写入。 群晖使用 Linux mdadm + LVM + Btrfs/ext4 的组合，随意操作会破坏阵列元数据。
• 删除加密文件或清空回收站腾空间。
• 在未清源的情况下恢复共享并让终端重新连上。
• 升级 DSM 或更新套件来「修复」。 会产生大量写入，也可能覆盖证据。

我们不建议支付赎金，也不提供代谈判服务。

• DSM 管理界面不要暴露公网。 取消路由器上的端口转发与 UPnP 自动开放，远程访问用 VPN；确需外网访问时至少改默认端口、启用 HTTPS、限制来源并开启自动封锁。
• 账号治理是第一道门。 禁用默认 admin 账号、所有管理员使用强口令并开启两步验证，启用账号保护与自适应 MFA；定期检查用户列表与登录日志。群晖官方曾公开说明其设备遭遇过以猜测管理凭据为手段的大规模僵尸网络暴力破解。
• 开启快照，并优先使用不可变快照。 Btrfs 卷上配置 Snapshot Replication，按业务定保留策略；DSM 7.2 起启用不可变快照（WORM 保留），让攻陷管理员账号也无法删除快照；重要归档目录可考虑 WriteOnce 共享文件夹。
• Hyper Backup 目标要放在 NAS 之外。 备份到另一台群晖（异地更好）、外接硬盘（备份后断开）或云端，并保留多版本；不要把备份写在同一台 NAS 的另一个共享里。
• 共享权限最小化。 按部门和项目分配，归档目录只给读权限；把「所有人可写」的大共享拆小，直接缩小一次加密的覆盖面。
• 关闭不需要的服务。 SSH、Telnet、FTP、AFP 等按需开启；QuickConnect 与外部访问功能不用就关。
• 群晖安全公告里的「严重」级更新要尽快装。 2026 年 10 月的 Lock3d 事件，主要打的就是没装 9 月 18 日 Synology-SA-26:13 补丁的设备；开启 DSM 自动更新与套件自动更新，不用的套件和容器及时卸载。
• 保持 DSM 与套件更新，并开启安全顾问（Security Advisor）定期扫描配置与弱口令。
• 内网终端同样要管。 群晖被加密既可能是 NAS 自己暴露公网被直接攻破（如 2026 年 10 月的 Lock3d），也常源于内网一台中招的 Windows 主机，终端 EDR、补丁与最小权限同样是 NAS 的防线。