勒索病毒集中攻击群晖，极空间用户要不要关外网

10月28日凌晨开始，不少群晖NAS用户发现文件被强行加上了".LOCK3D"后缀，每个目录里还多出一封read-me3.txt勒索信，典型开价0.085个BTC。小红书

10月30日，群晖发布公告确认，本次攻击利用的是2024年12月就已修复的已知漏洞，并非新版DSM的零日漏洞，要求用户尽快更新系统。说白了，中招的大都是"补丁早就发了、却一直没装"的机器。IT之家小众软件

恐慌很快漫过了群晖的用户群。有极空间用户发帖，听说勒索病毒在群晖肆虐，吓得赶紧把家里的极空间外网访问关了，SSH权限和文件共享服务一并关掉。另一位极空间用户则说，尽管自家机器的补丁"一直都打得很齐"，还是吓得赶紧行动，先把外网访问关了。小红书小红书

关掉之后，也有用户开始别扭：买NAS图的就是出门在外能看照片、取文件，外网一封，它和一块大移动硬盘还剩多少区别？

先分清事实：这一轮被利用的是群晖DSM的已知漏洞，修补建议也是冲着群晖设备去的；从我收集到的公开信源看，暂时没有发现极空间设备中招的实例。而且极空间的远程访问通常不依赖用户自己开公网端口、把管理面暴露出去——极空间联合中国移动这个月启动的IPv6直连试点，就是为了减少"云中继"，目前招募对象还只是江苏移动宽带下的极空间用户。群晖那套"公网暴露Web服务"的场景，对默认状态下的家庭极空间用户并不成立。知乎

但这不代表可以什么都不做。有用户把厂商公告和公开取证材料整理成帖，其中一句值得听进去：勒索程序"只挑架构不挑牌子"，拿到root权限就能加密，威联通、铁威马、华芸、绿联都在射程内。换成极空间用户该做的事，它提醒的不是关外网，而是把三件通用卫生补齐：系统更新别随缘；回头检查自己有没有手动开过公网映射、把某个Docker的Web端口或SSH暴露过；重要数据留一份不常驻在线的备份。小红书

不更新补丁的代价已经出现：有办公室的群晖因为一直没打补丁被整盘加密，解密工具跑了36小时才解开10TB，后面还剩10TB。而上述整理帖提醒，勒索密钥通常只在内存里，中招后应拔网线但别重启——有人靠冻结进程取回密钥，解开了8.45万个文件。个案之外，这至少说明中招后的第一动作不是慌忙重启。微博小红书

所以，急着关外网的极空间用户可以缓一缓：因为群晖出事就一刀切断所有连接，代价是NAS的价值少掉一半。更实在的动作只有三个——把系统升到当前版本、关掉没在用的对外服务、给重要数据留一份离线备份。