值友们晚上好！最近NAS圈子里最扎心的事，莫过于群晖用户集体中招勒索病毒了😱。10月28日起，B站、小红书、什么值得买的群晖成片报同一个症状：文件一夜之间全部打不开，后缀全被挂上了一串 .LOCK3D，还留下一个叫 read-me3.txt 的勒索信。

小软同学连夜把整个事件扒了个底朝天：Solar 应急响应团队已处置多起同类事件，把这个家族命名为 C3RB3R（老牌 Cerber 勒索家族的新变种）。今天这篇文章，就给值友们讲清楚三件事：中招长什么样、为什么”该做的防护都做了”还是被打穿、今晚就能做的4件事。

🔍 事件复盘：一夜之间，文件全被”锁”了

一位群晖 DS720+ 用户的描述特别具体：10月28日晚上10点，听见 NAS 一直在响。远程登进控制台一看，磁盘可用空间归零，所有文件后面都多了 .LOCK3D 后缀。他赶紧把盘拔下来插到电脑上，照样读不出来——几十年的照片和资料，说没就没了😢。

这不是孤例。10月28日到29日，同类求助集中爆发，有用户自述家里5台机器中招1台。群晖官方账号也在28日傍晚紧急预警：尽可能关闭外网访问、把账号密码改强壮、做好离线备份。

📌 值友速查特征：文件被加密后追加 .LOCK3D（也可能是 .L0CK3D），并留下 read-me3.txt 勒索信——看到这两样，基本可以断定中招了。

这伙人的”运营”还相当职业化：赎金明码标价 0.085 BTC，五天内不付翻倍到 0.17 BTC；更把整套流程做成自动化暗网站点，上传一个不超过 1024KB 的加密文件就能”免费试解密”一个，交易6次确认后自动给解密器链接。⚠️ 但小软同学提醒：千万别付费。交了赎金多数人拿不到钥匙，对方还可能一边收钱一边把你的数据挂暗网卖，双重收割。

还有一点最让人慌：Solar 团队上机检查的一台受害设备，跑的是 DSM 7.4.1-90080 Update 1——发稿时的最新版。那是不是 0day？官方口径很克制：最新版中招 ≠ 最新版存在 0day，入侵入口还没确认，套件漏洞、第三方插件、泄露凭据、暴露的服务都有可能。在官方归因落地前，”只有旧版才中招”和”升级就安全”这两种说法都不成立。

💔 三个扎心教训：很多中招的人，防护”该做的都做了”

教训一：RAID 不是备份。那位 DS720+ 用户做的就是 RAID1 两盘镜像，结果拔盘插电脑也读不出。RAID 防的是”盘坏”，不防”文件被加密”——加密发生在文件系统层面，两块盘只是同步了一份”完美的加密副本”😅。

教训二：2FA、改端口、禁 SSH，照样被打穿。有受害者自述端口不是默认5000、也开了双重验证，还是被加密了8T数据。原因在于：这些动作保护的是 DSM 登录入口。如果攻击者先攻陷你局域网里某台电脑（比如钓鱼邮件），拿到本机保存的 NAS 账号密码，再走正常的 SMB 协议读写文件——门根本不在这条路上。

教训三：同步套件既是帮凶也是救命绳。有人半夜听到风扇狂响，一看 Cloud Sync 正把加密后的 read-me 文件往 OneDrive 同步——云端”备份”在替病毒打工，把干净备份也覆盖成加密版本。反过来，也有人靠百度网盘里那份没被覆盖的备份救回一命。真正的保险，是”不可被改写”的离线/异地方副本。

🛡️ 今晚就能做的4件事（不管你在用什么NAS）

① 收敛暴露面：把 NAS 和管理界面放在内网，别直接对互联网开放。确需远程访问，走 VPN、IP 白名单、多因素认证，别用 DDNS 直连管理后台。

② 查版本打补丁：核对 DSM、官方套件和第三方插件版本，按官方通告升到修复版，更新前先做配置和数据备份。顺带说一句，爆发前群晖刚修过两个 CVSS 9.8 的高危漏洞（SA-26:13 任意文件读写、SA-26:14 “PHP2Shell”），保持更新不是玄学。

③ 清账号关服务：禁用不再用的账号、SSH 和非必要网络服务，检查异常管理员账号和计划任务；保留账号一律高强度独立密码 + 多因素认证。

④ 验证备份真能用：重要数据至少留一份离线或异地方副本，备份目录别和生产 NAS 长期挂同一个写权限，定期做恢复演练。备份不测试，等于没备份。

万一已经中招，顺序千万别乱：第一步断网隔离防止扩散；第二步留存现场（系统日志、套件日志、登录记录、勒索信），别直接重装；第三步找专业团队溯源恢复。切勿随意删除加密文件或乱用第三方工具。

🔧 快照 + 异地备份，3步就能落地（照着做）

第一步：开快照，防误删防勒索。群晖在 Snapshot Replication 里把快照计划设成每小时一次、保留7天，绿联 UGOS Pro、极空间 ZOS、威联通 QTS 都有等价功能；飞牛 fnOS 的值友可以用 Btrfs 子卷快照。快照存在另一块盘上，加密病毒通常碰不到它，误删文件几十秒就能还原⏱️。

第二步：挂一份”改不了”的异地方副本。每周一次，把照片、文档、财务这类不可再生的数据同步到：移动硬盘（拔下来放抽屉）、另一台主机、或公司/父母家的设备。别把备份盘长期插在 NAS 上——那等于给病毒准备了第二份人质。Hyper Backup、Rsync、甚至手动拷贝都算数。

第三步：每季度做一次恢复演练。随便挑三个文件、三张照片，从快照和异地副本里各恢复一遍，确认能打开、时间戳正常。很多值友的备份是”看起来在跑”，其实任务早就失败三个月了😅。备份这件事，能恢复的才叫备份。

🌐 顺带聊聊外网访问：这次被打穿的真正入口

把 NAS 管理后台直接暴露在公网，本质上是在赌运气。值友常见的四条远程访问路线，安全排序大概是：官方自带穿透（内网穿透不映射端口）> VPN/Tailscale 类组网 > IPv6+DDNS > 公网 IP 直接端口映射。最后一种最方便，也最危险——管理界面只要能被互联网扫到，就永远在爆破脚本的靶子上🎯。

尤其是 SSH 和 5000/5001 这类管理端口，别以为改成冷门端口就安全了：扫描器早就全端口扫。真正的顺序是先收敛暴露面，再谈密码强度；密码再强，入口敞开也只是加高围墙，不是拆掉大门。

📊 值友常问：5种数据防护方案到底怎么选？

🟢 推荐组合：系统快照（防误删、秒级恢复）+ 每周一次异地方副本（防加密、防整机沦陷）。绿联、极空间、飞牛、威联通的成品 NAS 都支持快照或定时备份任务，DIY 飞牛OS 的值友用 Rsync + 异地盘也能低成本搞定。

✅ 小软同学总结

优点（这波事件里做对的事）：官方响应快、社区信息透明，Solar 团队把”最新版中招≠0day”讲得很克制，避免了恐慌传播；同步网盘里留了副本的用户确实救回了数据。

缺点（必须记住的坑）：RAID 当备份、把管理端口暴露公网、同步套件无节制覆盖旧文件——这三点是这轮损失最大的三个放大器。

一句话建议：NAS 不等于数据保险箱🛡️。今晚就把管理后台收回内网、开快照、挂一份离线副本，比刷一百篇”是不是0day”的帖子有用得多。如果你身边有用群晖、或者把全家照片存在 NAS 里的朋友，把这篇转给他，安全无小事！