群晖 NAS 活跃勒索病毒 LOCK3D，请立即自查（最新 DSM 也有中招）

[Ericality]

各位群晖的 V 友请注意：近期出现活跃勒索病毒，会将用户文件加密为 .LOCK3D （或 .L0CK3D ）文件，并投放勒索信。已有 NAS 确认中招，据 V2EX 讨论，最新 DSM 系统也有中招案例。

请立刻自查：

1. 检查关键目录是否有 .LOCK3D / .L0CK3D 后缀文件及勒索信；
2. 检查 DSM 管理端口、SSH 、GitLab 等容器服务是否直接暴露公网，非必要立即关闭；
3. 确认 DSM 套件、容器镜像已更新，但不要以为只升级 DSM 就安全；
4. 确认重要数据有离线或异地不可写备份，本机长期可写备份也可能被一并加密。

若已中招：立即断网隔离设备，保留系统日志、套件日志和勒索信；不要随意删除文件、重建存储池，也不要轻信“包解密”服务，避免二次破坏。

当前攻击仍在活跃期，请尽快转发提醒身边群晖用户，优先收敛公网暴露面并检查备份。
相关讨论贴：/t/1252735
因该讨论贴标题不包含重要信息 故决定单起一帖提醒各位

[walkbox]

抓紧拔电

[Ericality]

物理断网也可 目前我已经在断网后用大肥鱼排查 初步怀疑的对象有 webdav gitlab 稍后有结论了我会更新

[alfawei]

大概率 smb webdav 或者其他形式被访问到了

国外没有这个反馈，国内某个 IT 人自己的某个个人部署业务的疏漏被利用了？

[huruiqing001122]

片子重新下就好了，你们不会在 nas 里面放其他东西吧

[Ericality]

@huruiqing001122 片子无所谓了 那 3 块盘重新下就行 还有很多个人数据的哇 不过这次我很幸运 没损失数据 因为脚本自己把自己内存撑爆了 不过还有 v 友如果配置高或者脚本运行完了 那估计就是全盘加密了

[thinkm]

我群晖只跑在内网，应该影响不大吧？

[hubayi]

怎么修复啊

[emmo]

@alfawei 国外怎么就没有反馈？不知道你们这些出了问题先找国内用户问题的人心态。你上 reddit 上的 synology sub 看一下，许多中了勒索病毒的。

[emmo]

@alfawei https://www.reddit.com/r/synology/comments/1xhzxmt/question_for_ransomware_victims/

自己去这个帖子看吧。真的服了你们这样的人。

[superrichman]

@alfawei 谁说没有，reddit 上一堆 🐶
https://www.reddit.com/r/synology/comments/1xhyt6w/hit_with_c3rb3r_ransomware_this_am/

[Autonomous]

UniFi 的网关路由器运行 WireGuard ，把群晖保护在内网，这样安全吗？

[alfawei]

@emmo #9 多谢，来看看什么个情况

[cslive]

没有公网，ipv6 最近也被回收了

[fredcc]

漏洞披露时间 2025-03-19
群晖补丁时间线


https://www.synology.cn/zh-cn/security/advisory/Synology_SA_24_20

[noahs]

昨天刚感染，我的应该是从 6690 群辉的 drive 服务端口进来的，早上一看文件都加了 LOCK3D 后缀，然后尝试重启结果主机的系统目录都被改写了，无法启动系统，应该是拿到 root 权限以后投毒。还好每周有备份，目前正在恢复数据，后期还是只能通过 vpn 访问不开任何端口