群晖NAS遭勒索病毒大规模攻击！文件被锁死，黑客开口就要2952美元赎金

麻薯滑芝士

嗨，屏幕前各位家里摆着群晖NAS存满了孩子成长照片的奶爸奶妈、公司机房里跑着好几台群晖设备负责文件共享和备份的IT管理员、以及那些把全部家当——设计图纸、财务账本、项目方案——全塞进NAS里的小企业主们，你们有没有在某一个深夜躺在床上刷手机的时候，突然闪过一个念头：万一哪天我那个嗡嗡响的小盒子被人从外面黑了，里面所有的文件都打不开了，那我该怎么办？说实话，以前我也觉得这种事离自己挺远的，毕竟群晖的系统界面看起来挺正规的，每次登录都要输密码，还能开两步验证，怎么着也不至于随随便便就被攻破吧？但现实往往就是这么打脸。根据韩国媒体《朝鲜商业》在昨天发布的一篇深度报道，一场专门针对群晖网络附加存储设备安全漏洞的勒索病毒攻击，已经在韩国境内大面积扩散开来。韩国互联网振兴院（KISA），这个专门负责处理网络安全事件的民间应急响应机构，已经收到了多起来自韩国本土用户的损失报告。黑客的作案手法非常清晰：先是通过漏洞偷偷潜入你的NAS，然后把里面存的照片和文档全部加密，让你无论如何都没办法打开这些文件，接着在每个被加密的文件夹里扔下一封勒索信，要求你在五天之内支付0.036960个比特币来换取一个叫做“C3RB3R DECRYPTOR”的解密程序。按照当前的汇率来算，这笔赎金大约是2952美元，而且黑客还在勒索信里明确威胁说，如果五天之内没有按时付款，赎金就会直接翻倍，涨到0.073920个比特币，也就是大约5904美元。



咱们先来搞清楚这次被攻击的对象到底是什么东西。NAS的中文全称叫网络附加存储，你可以把它理解成一台专门用来存数据的小型服务器。把NAS通过网线连接到家里的路由器或者公司的交换机上之后，局域网里所有的电脑、手机、平板、电视就都可以往里面存取文件了。很多人把它当成私人云盘来用，把一家人的照片、电影、下载的学习资料全都存在里面，随时随地都能访问。而公司里的用途就更广泛了，员工之间的文件共享、项目资料的集中归档、服务器的定期备份，全都依赖这台小小的设备。这次黑客盯上的并不是NAS本身硬件上的缺陷，而是群晖自家开发的操作系统DSM里的安全漏洞。DSM这个东西你可以把它理解为NAS的大脑和神经中枢，所有硬盘的管理、用户权限的设置、文件读写的调度、网络连接的维护，全都要靠DSM来完成。如果DSM本身存在可以被利用的漏洞，黑客就可以绕过你的用户名和密码，直接从外部的互联网远程操控你的设备，像逛自家后院一样随意翻阅你硬盘里的所有文件。更让人后背发凉的是，如果连NAS上设置的自动备份也被一并加密了，那你就彻底失去了恢复原始数据的最后一条路。



这场攻击在韩国是从什么时候开始爆发的呢？根据报道中提供的信息，从10月28日开始，韩国境内就陆续出现了多起群晖NAS里存储的文件突然被加密、再也无法正常打开的案例。受害者的设备被植入了恶意程序，这个程序会主动扫描硬盘上存储的所有文件，然后跳过少数几个系统运行必需的文件夹，把剩下的所有文件全部加密。被加密之后的文件，文件名末尾会被强行加上一个“.L0CK3D”的后缀。因为恶意程序加密的是文件本身的内容数据，所以你就算手动把文件名改回去、把那个奇怪的后缀删掉，照片照样显示不出来，文档照样读不了，Word也好Excel也罢，双击之后只会弹出一个错误提示框，告诉你文件已损坏或者格式无法识别。黑客在每个存放了加密文件的文件夹里都留下了一封勒索信，信上清清楚楚地写着：想要拿回你的文件，就去买一个叫“C3RB3R DECRYPTOR”的解密程序。付款方式只接受比特币，付款期限被严格设定为五天。如果五天之内没有付钱，赎金的金额就会翻倍。

实际上，在这次韩国大规模爆发之前，海外早就已经出现了类似的受害案例。根据报道中的描述，就在这个月早些时候，海外已经有用户遭到了完全相同的攻击。咱们国内知名的网络安全厂商360在前一天发布了一份详细的分析报告，表示360的安全服务团队已经接到了多起与此相关的勒索病毒求助请求，并且公布了从受害设备中提取到的恶意程序的分析结果。360的分析人员经过技术研判后认为，黑客是利用了群晖DSM系统中两个已经被公开披露的安全漏洞来实现入侵的。这两个漏洞的编号分别是CVE-2026-13639和CVE-2026-13684，都是在今年9月份被安全研究人员发现并公开的。黑客利用这两个漏洞成功闯入设备之后，再用一个叫做“C3RB3R”的勒索软件来加密硬盘上的所有文件。这个C3RB3R并不是一个从零开始编写的新型病毒，它是之前曾经在全球范围内造成过巨大破坏的勒索病毒Cerber的一个变种。这两个漏洞的危险程度有多高呢？在通用漏洞评分系统评分体系里，满分是10分，而这两个漏洞的严重程度得分都是9.8分。9.8分基本上就是最高级别的危险等级了，意味着漏洞一旦被成功利用，攻击者可以在不需要任何账号密码的情况下，对设备进行完全的远程控制，包括读取文件、修改文件、删除文件、植入恶意程序等等。

面对这场来势汹汹的攻击浪潮，群晖官方是怎么回应的呢？根据报道中的描述，群晖在海外的受害案例已经大量出现、多家安全公司也纷纷发布了详细的攻击分析报告之后，并没有第一时间发出单独的紧急预警声明，而是直到最近才在自己的官方网站上公开了这次攻击的相关信息，并推荐用户安装安全更新。群晖官方在声明中表示，他们已经确认这是一次针对运行旧版本DSM系统的设备的勒索病毒攻击，黑客利用的是那些早在2024年12月就已经发布了安全补丁的漏洞。群晖强烈敦促所有仍在使用存在漏洞的DSM版本的用户，立即将系统更新到最新版本，这样才能有效保护自己的设备不受侵害。群晖还进一步解释说，只要安装了最新版本的DSM，就可以从根本上免受这些已知漏洞的威胁。对于已经不幸中招的设备，群晖建议用户立即将设备从网络中隔离出来，拔掉网线或者断开WiFi连接；如果因为某些原因实在没办法断开网络连接，那就直接按下电源键关机。同时还要整理好事件发生的具体时间、设备的系统版本信息和近期的登录日志记录，然后联系群晖的技术支持团队寻求进一步的帮助。

至于数据恢复这个最关键的问题，群晖给出的解决方案是：利用之前备份好的数据进行还原。说得更具体一点，就是用预先保存在其他硬盘或者外部存储设备上的备份文件，或者用DSM系统自带的“快照”功能——这个功能可以记录某个特定时间点上所有文件的状态——把数据恢复到被加密之前的那一刻。但是，在整个回应过程中，群晖始终没有就以下几个重点问题给出任何明确的说法：第一，群晖目前是否已经掌握了破解这个勒索病毒的方法，或者正在开发专门的解密工具；第二，是否会为受害用户承担数据恢复产生的费用，或者提供任何形式的补偿方案；第三，截至目前，全球具体的受害规模到底有多大、受影响的主要是哪些型号的NAS设备、群晖最早是在什么时候得知这次攻击事件的。这三个问题全部处于沉默状态，一个字都没有提。

韩国互联网振兴院这边也在着手准备技术支持和应急处置工作。根据报道中的信息，韩国国内从10月28日左右开始就有受害用户向KISA提交了正式的损失报告。KISA的技术支持团队计划对这些报告进行逐一审核，然后联系提交报告的用户，指导他们采取相应的应对措施。但是当《朝鲜商业》的记者向KISA询问当前的应对进展、最初的攻击时间、攻击的根本原因、受害的具体规模以及后续的跟进措施时，KISA给出的答复非常谨慎：很难就特定企业和服务的相关事件情况、原因、受害规模以及应对现状提供具体的回答。

最后再说说群晖这家公司本身的一些背景信息。群晖是一家总部位于台湾的数据存储设备制造商，在全球范围内已经累计部署了超过1400万套系统，业务增长速度非常迅猛。特别是在韩国市场，过去三年时间里，群晖在当地的销售额保持了两位数的年均增长率，面向企业机构的B2B业务年收入增幅甚至超过了50%。在韩国，SBS电视台采用了群晖的系统作为视频存储和后期剪辑的文件服务器；SK海运公司使用群晖进行日常的文件共享和远程数据备份；大韩航空的航空航天部门也依赖群晖来实现跨部门的文件共享和协同办公。群晖在今年9月18日发布了一次系统更新，专门用来修复这些被黑客利用的安全漏洞。一位网络安全行业的专家在接受《朝鲜商业》采访时指出，当企业日常运转所依赖的核心设备遭到攻击时，不仅工作资料和备份数据可能受损，还可能进一步演变为整个业务流程中断的连锁反应，因此厂商必须在第一时间采取果断行动。对于所有正在使用群晖NAS的用户来说，不管你现在有没有收到勒索信，也不管你的设备目前看起来是否一切正常，今天最重要的事情就是立刻登录你的DSM系统，看一眼当前的系统版本号，然后马上打开浏览器访问群晖的官方网站，查看最新的安全公告和系统更新。如果你的DSM版本低于2024年12月发布的那个安全补丁版本，一分钟都不要耽误，立刻断网、把还没被加密的重要文件拷贝出来、然后升级系统。毕竟，将近三千美元的赎金可不是一笔小数目，而比赔钱更让人崩溃的是，那些存了多年的旅行照片、孩子的成长视频、公司积累的项目文档，可能因为一次疏忽就永远消失在你的硬盘里了。