群晖被勒索那晚，先没的是快照，不是照片

10月下旬开始，一批群晖用户的NAS在夜里悄悄变了样：早上打开共享文件夹，照片、文档、代码仓库全打不开，文件名后面多了一串 .L0CK3D，每个目录还躺着一份 read-me3.txt。10月29日，群晖发了一则不太常见的新闻稿，确认有设备遭遇在野勒索攻击。知乎小红书知乎

半个月过去热度没降。11月12日群晖又更新了一版DSM，修的是两处新漏洞：一处CVSS 9.8分，出在Auth API对SQL命令特殊元素的处理上，远程攻击者可以读写任意文件；另一处8.6分，是rsync的认证绕过。按IT时代网的说法，这跟上个月那波勒索“看起来属于另一组独立漏洞”。微博

补丁不会停。真正值得复盘的是，这次为什么这么多人连退路都没了。

进来的门，其实一直开着

群晖官方的归因很短：攻击者利用的是一个2024年12月就已修补的漏洞，目标是仍跑着过时DSM的设备。官方给用户的提醒也直白：系统一直没更新，就可能面临被攻击的风险。360反勒索团队的口径不一样，他们处置的案例用的是9月18日公告、当时已修复的两个9.8分漏洞，不需要账号密码就能远程读写任意文件。两边都没公开可复现的分析，唯一一致的是：没有证据表明存在未修复就被利用的0day。知乎微博知乎

但翻一圈用户自查帖，中招设备还有个更扎眼的交集：DSM的管理端能被公网直接访问，默认的5000/5001端口挂在路由器转发列表里，UPnP还顺手帮它自动开了洞。这不是被谁盯上，是被扫到了。小红书

先没的是快照，不是照片

这是最扎人的地方。多份现场描述里，症状不止“文件被加密”：快照列表变空、Hyper Backup任务异常、日志中心冒出陌生的异地IP。RAID也救不了，RAID1的镜像实时同步，勒索程序拿到写权限，两块盘一起改，在线的备份盘一起陪葬。有人本地的日备份、周备份和原文件一起被加上同一串后缀，连设置成互相备份的两台NAS都被一锅端。原因不难懂：勒索软件拿到管理员权限后，常见的顺序不是先加密，而是先拆退路——删快照、停备份任务、清日志，然后才动手。而大多数人的快照、备份任务、备份目标，用的是同一个高权限账号。很多人的备份策略是“电脑里一份、NAS上一份”，NAS恰恰是那唯一的另一份，加密它一台，等于把所有退路一次性收走。知乎小红书知乎哔哩哔哩知乎

退路要分三层，别混为一谈

同机快照最便宜，点两下就开，防误删好用，但它也是攻击者拿到权限后最先动手的目标；常年挂着的普通备份盘，勒索软件顺着共享一样给你加密，Btrfs的不可变快照能顶一阵，保护期内谁都删不掉、改不了，前提是你出事前就开了。异地副本是另一台设备、另一个地方，但有个隐藏条件：凭据必须不同源。远程备份用的账号如果既能读也能删，攻击者拿到它就顺手把副本清了。离线冷备最土，备份完就弹出、断电、扔抽屉；对普通用户来说，管好两份数据、其中一份做成冷备份，用完后直接弹出断电，勒索软件再厉害也够不到。麻烦，但麻烦在事前。小红书哔哩哔哩

这轮事件里“全身而退”的案例，共同点几乎都在第三层。有位用户靠一块平时备份完就拔掉电源线、锁在抽屉里的2T冷备盘，加一块1T移动硬盘，保住了八成的历史数据。小红书

今晚就能做完的三件事

1. 升DSM。顺手看一眼机型还在不在官方安全公告的覆盖名单里。如果还停在6.x那种老分支，而新公告已经不再覆盖，唯一稳妥的动作就是把公网入口全撤掉，只留内网当存储。知乎

2. 把门收掉。关掉公网DDNS和5000、5001的端口映射，远程访问改用Tailscale或VPN这类组网通道，停用admin和guest默认账户、给管理员开双重验证。QuickConnect里也把管理界面和SSH去掉，让NAS在公网上根本不存在——相册在外面照样能刷，只是换了扇门。小红书

3. 给退路换个位置。备份任务用的账号不给删除权限，重要资料另加一份“用完就弹出、断电收好”的冷备。一块闲置硬盘加一个USB Copy任务，是整套方案里最便宜的一环。

顺序别搞反：动手前先确认自己还留着一条内网或中继的退路，再去改防火墙和端口，不然很容易把自己锁在门外。

补丁会一直有下一版。退路只能提前留。