写在前面

近日，Solar应急响应团队处置了多起群晖NAS勒索事件。攻击者加密NAS中的文件，在原扩展名后追加 .LOCK3D，并留下名为 read-me3.txt 的勒索信。根据勒索信及暗网站点信息，我们目前暂将该家族称为 C3RB3R。

值得注意的是，受害设备已经更新至DSM 7.4.1-90080 Update 1。由于入侵入口尚未确认，现阶段不能认定DSM本体存在0day，也不能排除套件、插件、账号凭据或其他服务被利用。本文先同步现场信息与防护建议，具体攻击入口将在后续溯源后更新。

一、最新版群晖NAS遭到加密

现场文件显示，多个文档在加密后被追加 .LOCK3D 后缀，原文件已无法正常打开。

受害NAS中的文件被追加 .LOCK3D 后缀

攻击者同时留下 read-me3.txt 勒索信，声称文件已经加密，并引导受害者通过Tor浏览器访问其暗网站点。信中包含免费试解密及后续处置指引，相关暗网地址已做脱敏处理。

C3RB3R勒索信要求受害者访问指定暗网站点，敏感地址已脱敏

上机检查后确认，受害设备运行的版本为 DSM 7.4.1-90080 Update 1，截至本文撰写时为当前版本。这也是本次事件需要优先预警的原因，但设备升级与实际入侵的先后关系仍待核实。

受害设备的DSM版本为7.4.1-90080 Update 1

不过，最新版遭到攻击，不等于最新版存在0day。攻击者也可能通过套件漏洞、泄露凭据、弱口令或其他暴露服务进入设备，仍需结合日志和现场痕迹进一步判断。

二、勒索站点已实现自动化运营

C3RB3R的暗网站点提供“免费解密1个文件”入口，允许上传不超过1024 KB的 .LOCK3D 文件，用于向受害者证明其具备解密能力。

勒索站点提供单文件免费试解密，并限制文件大小和后缀（已翻译）

站点还设置了FAQ和支持入口，围绕文件解密、数据泄露及页面可访问性等问题提供指引，减少了传统勒索事件中反复邮件沟通的过程。

勒索站点通过FAQ引导受害者完成后续操作（已翻译）

更值得关注的是支付与交付环节。页面自动生成钱包地址和二维码，并提供支付历史与状态监测。按照页面说明，交易完成6次确认后，受害者刷新页面即可获取解密器下载链接

勒索站点集成收款状态监测与解密器交付，钱包信息已脱敏（已翻译）

从试解密、问题解答到收款监测和解密器交付，整个流程基本由站点自动完成，人工沟通占比明显降低。这表明该家族的勒索运营自动化程度较高，但仅凭页面形式，暂时无法判断其实际攻击规模。

三、是否涉及0day仍待确认

群晖官方发布说明显示，DSM 7.4.1-90080 Update 1 于2026年10月12日发布，属于重要更新，官方仅注明“修正了安全性弱点”，未公开具体漏洞编号和受影响组件。

本次受害设备已经安装该版本，但目前尚无证据证明本次攻击与此次安全更新直接相关。后续溯源需要重点核对实际入侵时间、DSM升级时间、套件清单、远程访问配置、账号登录记录及任务执行痕迹。

在证据完善前，我们将本次事件表述为疑似涉及0day，不排除DSM本体、第三方套件或插件存在未公开漏洞，也保留凭据泄露及其他入侵方式的可能。

四、防护建议

1. 立即收敛NAS暴露面：尽量将NAS及DSM管理界面部署在内网，不要直接向互联网开放。确需远程访问时，通过VPN、访问白名单和多因素认证限制访问来源。
2. 检查系统与套件更新：核对DSM、官方套件及第三方插件版本，按照群晖官方说明及时安装安全更新。更新前做好配置与数据备份，并评估业务影响。
3. 清理无用账号和服务：禁用不再使用的账号、SSH及非必要网络服务，检查异常管理员账号、计划任务和远程访问配置，为保留账号启用高强度独立密码与多因素认证。
4. 检查备份是否真正可用：重要数据至少保留一份离线或异地副本，避免备份目录与生产NAS长期处于可写状态，并定期进行恢复验证。
5. 发现加密后先保护现场：如出现 .LOCK3D 文件或 read-me3.txt 勒索信，应立即隔离受影响NAS，保留系统日志、套件日志、登录记录和勒索信，不要直接重装或清理痕迹，及时联系专业团队处置。

目前，本次事件的具体入侵入口仍在溯源。若确认涉及DSM、套件或插件漏洞，我们将同步更新文章。建议群晖NAS用户先完成暴露面收敛和账号检查，也欢迎转发给身边使用NAS的同事朋友。

文章撰写与优化：州弟学安全（徐龙州）

排版优化：超级油麦

在企业日常的安全运维中，突发勒索病毒往往让人措手不及。遇到这种情况，正确的应急响应流程能够最大程度控制影响范围、降低数据损失。

这里为大家准备了一张完整的《勒索病毒应急处置指南》长图，建议各位安全从业者和IT运维人员收藏备用。如遇突发情况，请保持冷静，参考本图进行快速、规范的处置

附加资料下载：防御与响应同样重要。扫描图末的二维码，还可以直接获取完整的《2025年勒索病毒年报》、《2026年勒索病毒上半年报》以及《勒索处置一体化》等专业文件，帮助大家深入了解当前的威胁趋势，提前做好防御规划。

安全无小事，掌握科学的处置流程，是我们应对突发安全事件最有效的武器。