群晖 NAS 遭勒索病毒攻击：最新 DSM 版本也有受害报告，入侵原因不明
内容提要
360与Solar团队披露，群晖NAS遭勒索攻击，文件被加密为.L0CK3D后缀并留下勒索信，暂称C3RB3R。受害设备运行最新DSM 7.4.1，入侵入口未明，不排除新漏洞。建议暂时关闭公网访问，改用Tailscale、WireGuard等VPN组网，更新系统套件，检查账号并做好离线备份。作者认为个人难敌自动化攻击，应牺牲便利性，避免NAS等内网服务直接暴露公网。
延伸解读
最新系统也中招，漏洞疑云未散
受害设备运行最新的 DSM 7.4.1-90080 Update 1，说明仅靠更新系统未必能完全避免此次攻击。360 认为攻击者利用了此前已修复的高危漏洞，但 Solar 团队仍在分析入侵入口，不排除存在新的未知漏洞。在原因查明前，用户需保持警惕，不能因系统版本新而放松防护。
临时防护：关闭公网入口是关键
在攻击原因不明时，最直接的缓解措施是关闭 DSM 管理界面、SSH 及端口映射、反向代理、Cloudflare Tunnel 等公网入口。远程访问改用 Tailscale、WireGuard 等 VPN 组网，避免 NAS 服务直接暴露。同时更新 DSM 和套件、检查异常账号与计划任务、启用双重验证，并确保有独立的离线或异地备份。
个人用户难敌自动化攻击，组网优于暴露
文章作者认为，个人用户很难与自动化攻击对抗，与其耗费精力做防护，不如牺牲便利性，全面采用 VPN 组网方案。无论是 Tailscale、WireGuard、Zerotier，还是 NetBird、Headscale 等，核心思路一致：让 NAS、远程桌面等内网服务不直接暴露在公网，必须通过授权才能进入网络。作者本人已断开 cloudflared，不再让 NAS 通过外网直接访问。
Q&A
群晖NAS最近发生了什么安全事件？
360安全团队和Solar应急响应团队披露了多起群晖NAS遭勒索病毒攻击的事件，受害设备中的文件被加密并追加.L0CK3D后缀，同时留下read-me3.txt勒索信，该勒索软件家族暂被称为C3RB3R。
运行最新DSM版本的群晖NAS也会中招吗？
是的，Solar团队公布的受害设备运行着最新的DSM 7.4.1-90080 Update 1，说明即使更新到最新版本也可能遭受攻击。
这次攻击是利用了已知漏洞还是新漏洞？
目前还不能确定。360的报告认为攻击者利用了此前的漏洞（群晖已修复CVE-2026-13639和CVE-2026-13684），但Solar团队表示仍在分析具体入侵入口，不排除存在新的未知漏洞。
群晖NAS用户现在应该采取哪些临时防护措施？
建议：1. 暂时关闭公网访问，尤其是DSM管理界面、SSH及端口映射、反向代理、Cloudflare Tunnel等入口；2. 远程访问改用Tailscale、WireGuard等VPN；3. 更新DSM和套件至最新安全补丁；4. 检查账号异常登录、未知管理员及计划任务，启用双重验证，并确保重要数据有离线或异地备份。
如果NAS文件已经被加密了该怎么办？
文章建议去找找备份。如果已发现文件被加密，恢复数据主要依靠事先做好的离线或异地备份。
为什么建议用VPN代替直接暴露NAS到公网？
因为个人用户很难对抗自动化攻击，直接暴露NAS等内网服务到公网风险极高。使用Tailscale、WireGuard等VPN组网方案，可以避免服务直接暴露，必须通过授权才能进入网络，虽然牺牲了一些便利性，但更安全省心。
