登录
群晖被加密了，威联通用户先别笑：自查完，我翻出了潜伏118天的后门
群晖勒索事件刷屏那几天，评论区里"群晖关我威联通什么事"这句话收获了不少点赞。一位威联通用户深以为然——然后他在自家 NAS 的硬盘深处，翻出了一个躺了 118 天的隐藏目录。知乎
这波是什么打法
10 月 28 日凌晨起，大量群晖共享盘被加上 .L0CK3D / .LOCK3D 后缀，每个目录多出一封 read-me3.txt 勒索信，典型开价 0.085 BTC。补丁 9 月 18 日就发了，爆发在 41 天后：不是防不住，是没装。知乎小红书小红书
取证帖里几个和直觉相反的结论，值得每个 NAS 用户记住：
强密码、双重验证、高位端口这轮基本全废：攻击直接在登录接口执行，校验密码之前就拿到了 root。小红书小红书
升级系统不等于请人出去：后门以计划任务形式藏在系统目录，有案例静默驻留 37 天。升级只是换了把新锁，人还在屋里。
那威联通安全吗？
先说实话：这波公开中招的几乎全是群晖。 但"这轮没打我"和"没被打过"是两回事。那位自查的威联通用户，机器是 TS-251，从没映射过公网，排查后他写下了一句话：在我以为它安全的四个月里，机器其实已经被入侵过了。数据卷根目录下有个随机字符串命名的隐藏目录，里面躺着两个可执行文件；样本属主是普通账户而非 root，结合当时 FTP 对所有网卡开放，他把矛头指向专打 NAS 的 eCh0raix 家族。而救下这台机器的不是配置，是运气：动态 IP 让它公网不可达，入侵者没再进来过。知乎
威联通自己的门这阵子也没关严：10 月底曝出的 PHP2Shell 漏洞一度全球无补丁，随后官方已完成 QTS、QuTS hero、QuTScloud 的修复并推出安全固件，提醒用户尽快安装更新。再往前，7 月那台用两年 TS-464 一夜全盘乱码后缀的事故就摆在上一个季度。知乎微博小红书
花 10 分钟，查这 5 件事
打开隐藏文件显示，看数据卷根目录有没有随机命名文件夹——见到先别碰，保留现场；
翻计划任务和进程列表，留意伪装成系统文件的路径（有受害机器上的恶意进程就叫 /usr/bin/libgld）；
关掉不用的 FTP、WebDAV，确认 myQNAPcloud 和 UPnP 都是关闭状态——这同时是官方对 PHP2Shell 的缓解第一条：关端口转发和 UPnP、停用 myQNAPcloud、用 VPN 远程访问、把管理端口限制在内网。知乎
从外部视角对自己的公网 IP 扫一遍，看究竟开了几扇门；
普通账户弱密码全部改掉，管理界面加双重验证。
万一已经中招：48 小时军规
第一动作是拔网线断外网，但千万别重启，也别扫盘——密钥只在内存里，重启即永久丢失。小红书
真事儿：工作室 8.45 万个文件被锁，黑客开价 0.03696 BTC，"专业恢复机构"报价 2.6 万——本质是代交赎金赚通道费。当事人发现加密进程还没退出，冻结进程、从进程内存里导出会话密钥，全量解密，抽样校验与原件逐字节一致。GitHub 上的 c3rb3r-rescue 救援脚本也已开源，走的正是内存密钥提取这条路。过了黄金 48 小时，"不重启、断外网"的提醒就不再管用了，剩下的基本只有备份。小红书GitHub小红书
日常只做三件事
补丁见了就装：官方公告原话是"尽快检查系统版本，及时安装更新，避免NAS设备遭到攻击"，这轮没装补丁的成了大多数。微博
管理面从公网收回来：撤掉端口映射和 DMZ，用 VPN 或内网穿透，这是唯一"今天就能消失"的风险。小红书
留一份离线冷备份：这一波里，连互相备份的两台 NAS 都被一锅端。备份盘拔出来断电，勒索软件再狠也够不着。哔哩哔哩
NAS 是家里 365 天不关机、装着全家照片和合同的设备，也是警惕度最低的设备。双十一刚到货的威联通，插盘之前，先花十分钟看看后门开没开。
（事件归因与漏洞细节以厂商及 360 通报最终结论为准；内存取密钥、开源脚本均为个案复盘，不保证所有感染情况有效。）
