群晖NAS遭C3RB3R勒索病毒大规模攻击，你的数据还安全吗？

利信科技安全预警 ｜ 未及时更新DSM，企业核心数据正面临真实威胁

2026年10月29日，群晖科技（Synology）官方发布安全声明，确认近期爆发了针对NAS设备的大规模勒索病毒攻击浪潮。值得注意的是，攻击者利用的并非新版系统的“零日漏洞”，而是早在2024年12月就已完成修复的旧漏洞——受害设备无一例外，都是“未及时更新DSM系统”的公网暴露设备。

这意味着：只要你的群晖NAS没有及时更新系统，就可能已经进入攻击者的自动扫描范围，企业核心研发文档、数据库、备份数据随时面临被加密勒索的风险。作为长期服务上海企业客户的弱电与IT运维服务商，上海利信信息科技有限公司特为您整理本次事件的多方权威信源与应对方案，帮助您第一时间保护好自己的数据资产。

·             群晖官方确认：10月29日，Synology发布公告，攻击者正在利用2024年12月已修复的漏洞，针对运行旧版DSM的设备发起攻击，加密数据并索取赎金，官方强烈敦促所有用户立即更新DSM并开启自动更新（信源1）。

·             国内安全社区同步报警：10月29日起，360安全团队、存储吧及多个技术社区集中曝出受灾案例。经安全厂商确认，本次攻击主力为Cerber家族变种勒索软件C3RB3R（信源2）。

·             群晖澄清定性：官方重申此次攻击源于旧漏洞，并非新版DSM存在零日漏洞；攻击者会加密系统分区，导致DSM无法正常启动。

·             所有可访问的共享文件被追加“.L0CK3D”后缀（用数字0和3替代字母）。

·             每个被加密的文件夹内都会生成名为“read-me3.txt”的勒索说明文件，文件头部带有“C3RB3R INSTRUCTIONS”标识。

·             企业核心研发文档、数据库映像、日常备份档均可能被一并加密（信源2、信源4）。

本次攻击主要通过两条路径完成入侵（信源2）：

1. Docker容器暴露：NAS的Docker中运行的GitLab等服务被直接映射到公网，攻击者利用GitLab未授权远程代码执行漏洞攻入容器，再进一步进入宿主机。

2. 原生套件漏洞：群晖原生套件存在PHP2Shell远程代码执行漏洞（CVE-2026-13639 / CVE-2026-13684），无需账号密码即可从外部直接打穿DSM。

NAS勒索攻击由来已久，几乎每一次都指向同一个致命习惯——不及时更新：

·             2014年 SynoLocker：利用2013年12月已修复的漏洞，针对运行旧版DSM的设备发起攻击（信源5）。

·             2019年 eCh0raix（QNAPCrypt）：同时针对群晖与威联通，至今仍活跃（信源6）。

·             2022年 DeadBolt：主要攻击威联通设备，单台勒索约0.03个比特币（信源6、信源7）。

·             弱口令风险：群晖与台湾TWCERT/CC联合声明指出，大量攻击并非利用系统漏洞，而是直接破解系统默认admin账户的弱口令，获得权限后加密文件（信源8）。

规律非常清晰：未及时更新 ＋ 公网暴露 ＋ 弱口令/未开启双因素认证 ＝ 高概率中招。

1. 攻击是“自动化”的：补丁公布后，攻击者会第一时间逆向分析补丁、编写利用脚本，并在全网自动扫描仍在运行旧版本的设备。从补丁发布到大规模攻击之间，往往只有数天到数周。

2. 中招后数据极难找回：群晖官方明确表示，一旦数据被勒索软件加密，官方无法访问数据，也无法帮助用户解密（信源9）。

3. 同设备备份会一并沦陷：如果你的备份也存放在这台NAS上，将同时被加密，失去最后一道防线。

（一）未中招 · 立即自查防护

·             1. 立即升级：将DSM及全部套件更新到最新修复版本，并开启“自动更新”功能。

·             2. 关闭公网暴露：不要在路由器上把DSM管理端口（默认5000/5001）映射到公网，关闭UPnP；需要远程访问时，请使用VPN。

·             3. 加固账户：禁用默认admin账户，为所有账户设置强密码，并开启双因素认证（2FA）。

·             4. 启用不可变快照：为共享文件夹配置不可变快照（Immutable Snapshot），防止备份被加密或篡改。

·             5. 落实3-2-1备份：至少保留3份数据副本、存储在2种不同介质、其中1份离线或异地/云端存放。

（二）已中招 · 正确处理步骤

·             1. 立即断网：优先在路由器上禁用对NAS的端口转发（避免直接断电导致内存中的解密密钥丢失）。

·             2. 不要支付赎金：支付不等于一定能拿回数据，反而可能助长攻击。

·             3. 不要自行删除加密文件“腾空间”，不要重建存储池，不要在受灾设备上继续写入新数据。

·             4. 依靠离线备份或未被篡改的快照恢复数据；可参考开源工具c3rb3r-rescue尝试复原部分备份（信源4）。

（三）利信科技能为您做什么

作为深耕上海弱电、监控、网络布线与IT运维的专业服务商，上海利信信息科技有限公司（智能化二级资质与ICT系统集成解决方案和网络安全解决方案）可为您提供：

·             NAS及服务器安全体检、DSM升级与维护；

·             企业数据备份与容灾方案设计（含异地/云端备份）；

·             网络架构整改与安全加固（端口收敛、VPN远程访问、访问控制）；

·             7×24小时IT运维外包，让专业团队守护您的数据安全。

数据是企业的生命线，而勒索病毒专挑“最省事”的目标下手。不要等到所有文件都被加密、屏幕弹出勒索提示时再追悔莫及——现在就去检查你的NAS系统版本，并立即更新、加固账户、收敛公网端口、落实异地备份。

需要专业帮助？上海利信信息科技有限公司就在您身边。我们以智能化二级资质的专业团队，为您的NAS与IT系统提供安全体检、备份容灾与全年运维服务，让专业的人守护您的数据安全。