# Synology 的 NAS 文件全变成 .L0CK3D 后缀，中招后哪些操作会让恢复更难？ **URL:** \ **Category:** 问题求助\ **Tags:** Synology, 问与答, NAS, 信息安全\ **Created:** [2026 年10 月 30 日 02:19 UTC](https://www.shiqidu.com/t/topic/1851 "2026-10-30T02:19:52Z")\ **Posts on this page:** 1\ **Page:** 1
作者： ![shiqidu\_editor](https://www.shiqidu.com/user_avatar/www.shiqidu.com/shiqidu_editor/32/528_2.png) [@shiqidu\_editor](https://www.shiqidu.com/u/shiqidu_editor)\ 发布日期： [2026 年10 月 30 日 02:19 UTC](https://www.shiqidu.com/t/topic/1851/1 "2026-10-30T02:19:53Z")
NAS 被加密以后，人最想做的往往是重启、重装，或者把硬盘拆下来插到电脑上看个究竟。这几样都可以缓一缓。机器眼下的状态本身就是线索：日志和勒索说明文件记着时间线，共享文件夹的快照也许还完好，后台说不定还有没跑完的进程。动手太快，这些东西会一起丢掉，后面查入口、做恢复都更难。 ## 已经中招的 - 断外网，但别急着断电。路由器上指向 NAS 的端口转发全部删掉，DSM 里到 Control Panel \> External Access \> QuickConnect 把它停用，自己搭的反向代理、内网穿透也一并关掉。机器保持开机，方便后面取证。 - 勒索说明文件和系统日志原样留着，另外拷一份到别的机器上。有安全厂商分析称这批说明文件名叫 read-me3.txt，可以按这个名字在各个共享文件夹里找。 - 打开 Snapshot Replication 看快照还在不在。快照在，数据就有指望。不过动手回滚之前要确认外部访问已经全部断开，否则刚找回来的文件可能被再加密一遍。 - 不建议付赎金，网上流传的来路不明的“解密工具”也别下，这类东西经常自带别的惊喜。 - 把 DSM 版本、装过的套件、哪些服务映射到了公网都记下来，后面判断入口要用。 - 家里其他电脑上挂载过这台 NAS 共享盘的，也逐台检查一下，确认加密有没有蔓延出去，同时把各个账号的密码换掉。 ## 入侵途径：未确认 群晖 9 月 18 日发过一份安全公告 [Synology-SA-26:13](https://www.synology.com/en-global/security/advisory/Synology_SA_26_13)，评级 Critical。其中几个漏洞允许远程攻击者读写任意文件，CVE-2026-13684 和 CVE-2026-13639 的 CVSS3 评分都是 9.8。公告只讲漏洞和修复版本，没有把它和 .L0CK3D 联系起来。 10 月 29 日群晖又发了一篇[新闻稿](https://www.synology.com/en-us/company/news/article/C3RB3R/Synology%20urges%20users%20to%20apply%20security%20updates%2C%20extends%20PHP2Shell%20fixes%20to%20older%20DSM%20releases)：排查 PHP2Shell 漏洞影响时，发现有攻击者在利用一个 2024 年 12 月就已修补的漏洞，目标是停止支持的旧版 DSM，手法是加密数据再勒索。这篇同样没提 .L0CK3D 后缀，也没说两件事有没有关系。 用户那边的说法也对不上：有人说升到新版 DSM 照样中招，也有用户称被打穿的是同一台机器上跑的 GitLab 之类第三方服务。几种说法摆在一起，入侵途径目前只能算未确认，没有哪个单一入口被证实。处理的时候，就把每一个对外开放的服务都当成可能的入口。 ## 还没中招的 DSM 升到 SA-26:13 列出的修复版本或更高： - DSM 7.4 升到 7.4-90075 - DSM 7.3 升到 7.3.2-86009-4 - DSM 7.2.2 升到 7.2.2-72806-9 - DSM 7.2.1 升到 7.2.1-69057-12 Web Station、WordPress、phpMyAdmin、Calendar、MailStation 这类套件都依赖 PHP。装了其中任何一个，就去 Package Center 把 PHP 更新掉。新闻稿里特别提醒，MailStation 得手动更新。 剩下的加固动作，官方知识库[这篇文章](https://kb.synology.com/en-global/DSM/tutorial/How_to_add_extra_security_to_your_Synology_NAS)基本都列了： - 停用默认的 admin 账号，给管理员开双重验证。 - 在 Control Panel \> Security \> Protection 里打开 Auto Block，登录失败到一定次数就封 IP。 - 跑一遍系统自带的 Security Advisor，看它报了哪些问题。 - 路由器上只为真正需要的服务开端口，管理界面别直接映射到公网，从外面连回家改走 VPN。 快照这块多花几分钟不亏。Snapshot Replication 里可以勾选 Enable immutable snapshots，设定的期限内快照删不掉也改不了。[官方说明](https://kb.synology.com/en-us/DSM/tutorial/what_is_an_immutable_snapshot)建议保护期设 7 到 14 天，要求 DSM 7.2 及以上且机型支持。快照毕竟和数据在同一台机器上，另外再留一份平时不插着的离线备份更稳。顺手把不用的分享链接和套件清一清，攻击面能小一点是一点。 中过招的朋友，你那台机器当时对外开着哪些服务？