紧急预警：.L0CK3D勒索攻击波及群晖NAS，先隔离、再评估

安全预警：本文不是恢复成功案例。

360于10月29日发布群晖NAS攻击预警。发现.L0CK3D后缀或read-me3.txt时，应立即隔离并保护原始数据；尚未发现异常的设备应核对DSM修复版本、管理入口和隔离备份。

一、近期发生了什么？

360于2026年10月29日发布预警，称10月以来收到多起群晖NAS受攻击求助，样本分析指向Cerber的C3RB3R变种。通报提到的线索包括.L0CK3D后缀、read-me3.txt勒索信，以及CVE-2026-13639、CVE-2026-13684相关攻击入口。

这属于已公开报道的攻击动向，并非快回来接单统计。原文未给出受害设备总数，不能据此宣称所有群晖设备都受影响。单看后缀也不足以确认某台NAS的病毒家族和入侵路径。来源：360事件预警

二、先分清：尚未发现异常，还是已经加密？

尚未发现异常：尽快核查设备型号、DSM版本、管理入口和备份状态，按官方说明安排更新。

已经出现加密或勒索信：先执行隔离与应急评估，不要把直接升级、重装或初始化当成数据恢复。修复漏洞可以降低相关入口风险，但不能自动解密已经受损的文件。

三、尚未发现异常：核对DSM修复基线

群晖官方公告Synology-SA-26:13于2026年9月18日发布，列出以下分支的修复版本。它们是公告所列基线，不是所有机型都应强行安装同一个版本。

两项重点CVE均被官方评为严重级别。请以设备支持的正式更新和当前公告为准，提前确认备份与业务兼容性。仅凭“已设置强密码”，不能判定相关漏洞已修复。来源：群晖官方安全公告

四、已经出现.L0CK3D：优先控制损失

1. 立即隔离：在交换机、路由器等边界限制受影响NAS的网络连接，并排查连接它的可疑客户端及共享访问。断网并不一定停止设备本地的加密；若破坏仍在继续，应立即由应急人员判断停止进程或关机的必要性，兼顾损失控制与易失证据。
2. 保护原始材料：记录首次异常时间，保存勒索信、异常文件名、DSM及套件版本和可取得的日志。留取样本副本，不公开上传包含业务机密或个人资料的文件。
3. 避免进一步覆盖：在专业人员评估前，不盲目初始化、格式化、重建存储池、批量修改后缀或运行来历不明的“解密器”。需要分析时，优先在受控副本上操作，不反复试改原始数据。

上述是应急原则，不替代针对设备和现场状态的处置判断。参考：联合#StopRansomware应急指南

五、恢复前，先确认环境是否可信

不要只处理表面加密文件就恢复对外服务。应核查受影响范围、可疑账号和持续访问途径，在干净设备上管理必要的凭证变更，并确认恢复环境可信。调查、清理和业务恢复需要协调，避免重新暴露仍有风险的系统。

“删除恶意程序”“装补丁”和“把文件后缀改回来”，都不能单独证明数据已恢复。恢复后仍需核验关键业务文件及相关应用。参考：微软勒索事件响应实践

六、备份必须能恢复，不能只显示任务成功

检查备份是否真正独立于受影响的生产环境、历史版本是否可用，并在隔离的干净环境验证恢复。NAS里的另一份文件副本、同机快照或同步任务，不能仅凭名称就认定是可用的离线备份。

恢复评估应区分备份恢复、数据重建、未加密副本提取与密码学解密。具体可行性取决于样本、存储状态、损坏范围和备份条件；看到.L0CK3D后缀，既不能保证一定可恢复，也不能在检测前武断认定全部无望。参考：NIST备份维护与恢复测试建议

七、联系评估时，请先准备这些信息

• 群晖型号、DSM版本、硬盘数量，以及已知的存储池或卷配置。
• 最早发现异常的时间、文件后缀、勒索信名称及截图。
• 备份、快照和同步任务的情况，以及已进行过的升级、重启、恢复或重装操作。
• 可以合法提供的少量脱敏样本；不要在公开留言中发送密码、完整业务库或客户隐私。

快回来可先沟通设备状态与资料范围，再确认检测及恢复评估安排。本文不构成已经完成解密的证明，也不承诺恢复比例或包成功。查看快回来勒索病毒修复服务

资料来源（核验于2026-10-30）

• 360：Cerber勒索攻击群晖NAS事件预警（2026-10-29）
• 群晖：Synology-SA-26:13 DSM（2026-09-18）
• CISA等联合#StopRansomware指南（IC3托管）（2023-05）
• 微软：勒索事件响应实践（核验于2026-10-30）
• NIST：备份的维护与测试建议（2020-04）