写在前面

近日，Solar应急响应团队处置了多起群晖NAS勒索事件。攻击者加密NAS中的文件，在原扩展名后追加 .LOCK3D，并留下名为 read-me3.txt 的勒索信。根据勒索信及暗网站点信息，我们目前暂将该家族称为 C3RB3R。

值得注意的是，受害设备已经更新至DSM 7.4.1-90080 Update 1。由于入侵入口尚未确认，现阶段不能认定DSM本体存在0day，也不能排除套件、插件、账号凭据或其他服务被利用。本文先同步现场信息与防护建议，具体攻击入口将在后续溯源后更新。

一、最新版群晖NAS遭到加密

现场文件显示，多个文档在加密后被追加 .LOCK3D 后缀，原文件已无法正常打开。

受害NAS中的文件被追加 .LOCK3D 后缀

攻击者同时留下 read-me3.txt 勒索信，声称文件已经加密，并引导受害者通过Tor浏览器访问其暗网站点。信中包含免费试解密及后续处置指引，相关暗网地址已做脱敏处理。

C3RB3R勒索信要求受害者访问指定暗网站点，敏感地址已脱敏

上机检查后确认，受害设备运行的版本为 DSM 7.4.1-90080 Update 1，截至本文撰写时为当前版本。这也是本次事件需要优先预警的原因，但设备升级与实际入侵的先后关系仍待核实。

受害设备的DSM版本为7.4.1-90080 Update 1

不过，最新版遭到攻击，不等于最新版存在0day。攻击者也可能通过套件漏洞、泄露凭据、弱口令或其他暴露服务进入设备，仍需结合日志和现场痕迹进一步判断。

二、勒索站点已实现自动化运营

C3RB3R的暗网站点提供“免费解密1个文件”入口，允许上传不超过1024 KB的 .LOCK3D 文件，用于向受害者证明其具备解密能力。

勒索站点提供单文件免费试解密，并限制文件大小和后缀（已翻译）

站点还设置了FAQ和支持入口，围绕文件解密、数据泄露及页面可访问性等问题提供指引，减少了传统勒索事件中反复邮件沟通的过程。

勒索站点通过FAQ引导受害者完成后续操作（已翻译）

更值得关注的是支付与交付环节。页面自动生成钱包地址和二维码，并提供支付历史与状态监测。按照页面说明，交易完成6次确认后，受害者刷新页面即可获取解密器下载链接

勒索站点集成收款状态监测与解密器交付，钱包信息已脱敏（已翻译）

从试解密、问题解答到收款监测和解密器交付，整个流程基本由站点自动完成，人工沟通占比明显降低。这表明该家族的勒索运营自动化程度较高，但仅凭页面形式，暂时无法判断其实际攻击规模。

三、是否涉及0day仍待确认

群晖官方发布说明显示，DSM 7.4.1-90080 Update 1 于2026年10月12日发布，属于重要更新，官方仅注明“修正了安全性弱点”，未公开具体漏洞编号和受影响组件。

本次受害设备已经安装该版本，但目前尚无证据证明本次攻击与此次安全更新直接相关。后续溯源需要重点核对实际入侵时间、DSM升级时间、套件清单、远程访问配置、账号登录记录及任务执行痕迹。

在证据完善前，我们将本次事件表述为 疑似涉及0day，不排除DSM本体、第三方套件或插件存在未公开漏洞，也保留凭据泄露及其他入侵方式的可能。

四、防护建议

1. 立即收敛NAS暴露面： 尽量将NAS及DSM管理界面部署在内网，不要直接向互联网开放。确需远程访问时，通过VPN、访问白名单和多因素认证限制访问来源。
2. 检查系统与套件更新： 核对DSM、官方套件及第三方插件版本，按照群晖官方说明及时安装安全更新。更新前做好配置与数据备份，并评估业务影响。
3. 清理无用账号和服务： 禁用不再使用的账号、SSH及非必要网络服务，检查异常管理员账号、计划任务和远程访问配置，为保留账号启用高强度独立密码与多因素认证。
4. 检查备份是否真正可用： 重要数据至少保留一份离线或异地副本，避免备份目录与生产NAS长期处于可写状态，并定期进行恢复验证。
5. 发现加密后先保护现场： 如出现 .LOCK3D 文件或 read-me3.txt 勒索信，应立即隔离受影响NAS，保留系统日志、套件日志、登录记录和勒索信，不要直接重装或清理痕迹，及时联系专业团队处置。

目前，本次事件的具体入侵入口仍在溯源。若确认涉及DSM、套件或插件漏洞，我们将同步更新文章。建议群晖NAS用户先完成暴露面收敛和账号检查，也欢迎转发给身边使用NAS的同事朋友。