快科技10月30日消息，大量Synology群晖NAS设备近日遭到勒索病毒攻陷，多名用户发现共享文件夹内的企业核心研发文档、数据库映像档及日常备份档均被加密为.L0CK3D，各层目录与系统根目录下被写入名为read-me3.txt的勒索信，内含C3RB3R INSTRUCTIONS字样。
网安团队逆向溯源分析显示，此波感染并非传统Windows电脑中毒后经由SMB共享协议波及NAS，而是黑客针对暴露于公网的群晖设备，利用两个CVSS 10.0满分的远程代码执行高危漏洞展开全网自动化攻击。
第一个攻击路径经由Docker容器，许多企业在NAS的Container Manager中自行架设GitLab代码库、Confluence知识库或开源Web服务，并将端口映射至外部网络。
GitLab日前接连爆出未授权RCE漏洞（CVE-2026-110264、CVE-2026-97229），黑客通过自动化脚本攻入未修补的容器后，利用高权限容器挂载目录或宿主机逃逸缺陷，将恶意拉取脚本写入Linux底层的crond定时排程中静默潜伏。
第二个攻击路径针对群晖原生套件，官方此前发布代号为Synology-SA-26:14的安全公告，证实PHP核心RCE漏洞（CVE-2026-109618与CVE-2026-109619）直接影响MailStation、Synology Calendar等原生套件。
黑客无需任何账号密码，即可从外部网络端口直捣未更新套件的DSM底层，植入加密负载。
勒索程序在Linux底层启动后，会从根目录展开多线程巡检，遍历所有挂载的存储空间，凡是存放于同台机器可写入目录下的本机备份，包括未启用多版本锁定或异地隔离的Hyper Backup目录，均会被视为普通文件一并加密。
底层采用RSA-4096结合AES/ChaCha20算法，暴力破解在数学层面不可行，目前也不存在通用免费解密工具。
群晖官方紧急发布公告，确认有NAS用户遭加密数据并勒索赎金，官方初步排查认为攻击者利用了2024年12月已修补的CVE-2024-10441漏洞（CVSS 9.8分），并列出各分支的最低安全版本：
DSM 6.2：升级至6.2.4-25556-8或更高版本
DSM 7.1：升级至7.1.1-42962-7或更高版本
DSM 7.2：升级至7.2-64570-4或更高版本
DSM 7.2.1：升级至7.2.1-69057-6或更高版本
DSM 7.2.2：升级至7.2.2-72806-1或更高版本
BeeStation Manager（BSM）：升级至1.1-65374或更高版本
Synology Unified Controller（DSMUC）：升级至3.1.4-23079或更高版本
但有用户表示，自己的版本比官方公告建议的还要新，仍然中了.L0CK3D勒索攻击，对官方说法存疑。
对于尚未被攻破的用户，建议立即物理拔除NAS所有网线断网，若仍能从内部网络登入管理界面，应停止Container Manager中所有容器，中止Hyper Backup与Cloud Sync等同步作业，避免受损文件同步覆盖云端备份。
如果不慎中招，须完整保留勒索信与系统日志，切勿自行重装系统或初始化硬盘，等待官方进一步公告。
