群晖 NAS 遭"L0CK3D"勒索攻击：发生了什么，普通用户该怎么办？

一、事件现状：攻击路径尚未确定

目前确切的攻击入口还没有定论。社区里主要有几种推测：

• 可能涉及 GitLab、Docker 等容器服务的漏洞；

• 也可能是系统 0day（尚未公开的漏洞）；

• 另一种观点认为，问题不在群晖 DSM 系统本身，而是用户暴露在外的外部服务被突破，攻击者借此进入设备。

在原因查明之前，受影响用户的普遍建议是：先不要把 NAS 连接到外网。

二、安全公司"舍末无勒"的分析

安全公司"舍末无勒"给出了一个相对具体的判断：攻击源于 GitLab 等容器服务的 CVSS 10.0 满分漏洞，以及 PHP 内核远程代码执行漏洞（编号 Synology-SA-26:14）。攻击者进入系统后，会在 crond（Linux 定时任务服务）中植入后门，实现持久化并精准发起攻击。

小白注解：CVSS 10.0 是漏洞严重程度的最高分，意味着"利用门槛低、危害极大"。crond 是系统里负责定时执行任务的组件，后门藏在这里，相当于攻击者在你的机器里安了一个"定时闹钟"，到点就干活，不容易被发现。

三、几个必须知道的误区

1. RAID 救不了你。
RAID 阵列做的是"硬盘冗余"——一块盘坏了数据还在。但勒索病毒加密的是文件本身，RAID 会忠实地把加密后的文件同步到每一块盘上。所以 RAID ≠ 备份，防不住加密。

2. 出事之后，别乱动。
专家特别警告：不要自行重装系统、不要删除文件、不要盲目使用旧版恢复工具。这些操作会覆盖或破坏残留数据，让原本可能恢复的文件彻底没救。

四、如果已经中招：先做这两件事

1. 立即物理断网（拔网线 / 关 Wi-Fi），阻止加密继续扩散和回传。

2. 保留日志和现场证据，不要格式化、不要重装。

"舍末无勒"提出了一种无赎金抢救思路：利用 Btrfs 文件系统的底层机制，结合"间歇性加密"过程中留下的盲区进行数据重构。简单说，加密脚本运行需要时间，过程中可能留下未被覆盖的数据痕迹，专业手段可以据此尝试找回部分文件。这属于技术性恢复，建议交给专业机构处理，不要自己瞎试。

五、还没中招？社区推荐的防护措施

• 禁止将 NAS 端口直接暴露到公网（这是最重要的一条）；

• 远程访问只走 VPN，不要图方便开公网端口；

• 部署 Fail2ban，自动封禁暴力破解的 IP；

• 限制境外 IP 访问，缩小攻击面；

• 及时更新 DSM 及 Docker、GitLab 等容器服务的补丁——这次攻击很可能就出在这些"外围服务"上；

• 做好离线备份（备份盘平时不挂载、不联网），这才是对抗勒索的最终底牌。

小结

这次"L0CK3D"事件的关键信息是：攻击路径还没完全查清，但矛头多指向暴露在公网的外部服务和容器漏洞，而非 DSM 本身。对普通用户来说，最实际的动作就是——别把 NAS 裸奔在公网上，远程走 VPN，补丁及时打，备份要离线。已经中招的，断网、留证据、别乱动，找专业恢复。

注：文中"舍末无勒"的分析及漏洞编号 Synology-SA-26:14 来自社区