NAS 被加密以后，人最想做的往往是重启、重装，或者把硬盘拆下来插到电脑上看个究竟。这几样都可以缓一缓。机器眼下的状态本身就是线索：日志和勒索说明文件记着时间线，共享文件夹的快照也许还完好，后台说不定还有没跑完的进程。动手太快，这些东西会一起丢掉，后面查入口、做恢复都更难。
已经中招的
- 断外网，但别急着断电。路由器上指向 NAS 的端口转发全部删掉，DSM 里到 Control Panel > External Access > QuickConnect 把它停用，自己搭的反向代理、内网穿透也一并关掉。机器保持开机，方便后面取证。
- 勒索说明文件和系统日志原样留着，另外拷一份到别的机器上。有安全厂商分析称这批说明文件名叫 read-me3.txt，可以按这个名字在各个共享文件夹里找。
- 打开 Snapshot Replication 看快照还在不在。快照在，数据就有指望。不过动手回滚之前要确认外部访问已经全部断开，否则刚找回来的文件可能被再加密一遍。
- 不建议付赎金，网上流传的来路不明的“解密工具”也别下，这类东西经常自带别的惊喜。
- 把 DSM 版本、装过的套件、哪些服务映射到了公网都记下来，后面判断入口要用。
- 家里其他电脑上挂载过这台 NAS 共享盘的，也逐台检查一下，确认加密有没有蔓延出去，同时把各个账号的密码换掉。
入侵途径：未确认
群晖 9 月 18 日发过一份安全公告 Synology-SA-26:13，评级 Critical。其中几个漏洞允许远程攻击者读写任意文件，CVE-2026-13684 和 CVE-2026-13639 的 CVSS3 评分都是 9.8。公告只讲漏洞和修复版本，没有把它和 .L0CK3D 联系起来。
10 月 29 日群晖又发了一篇新闻稿：排查 PHP2Shell 漏洞影响时，发现有攻击者在利用一个 2024 年 12 月就已修补的漏洞，目标是停止支持的旧版 DSM，手法是加密数据再勒索。这篇同样没提 .L0CK3D 后缀，也没说两件事有没有关系。
用户那边的说法也对不上：有人说升到新版 DSM 照样中招，也有用户称被打穿的是同一台机器上跑的 GitLab 之类第三方服务。几种说法摆在一起，入侵途径目前只能算未确认，没有哪个单一入口被证实。处理的时候，就把每一个对外开放的服务都当成可能的入口。
还没中招的
DSM 升到 SA-26:13 列出的修复版本或更高：
- DSM 7.4 升到 7.4-90075
- DSM 7.3 升到 7.3.2-86009-4
- DSM 7.2.2 升到 7.2.2-72806-9
- DSM 7.2.1 升到 7.2.1-69057-12
Web Station、WordPress、phpMyAdmin、Calendar、MailStation 这类套件都依赖 PHP。装了其中任何一个，就去 Package Center 把 PHP 更新掉。新闻稿里特别提醒，MailStation 得手动更新。
剩下的加固动作，官方知识库这篇文章基本都列了：
- 停用默认的 admin 账号，给管理员开双重验证。
- 在 Control Panel > Security > Protection 里打开 Auto Block，登录失败到一定次数就封 IP。
- 跑一遍系统自带的 Security Advisor，看它报了哪些问题。
- 路由器上只为真正需要的服务开端口，管理界面别直接映射到公网，从外面连回家改走 VPN。
快照这块多花几分钟不亏。Snapshot Replication 里可以勾选 Enable immutable snapshots，设定的期限内快照删不掉也改不了。官方说明建议保护期设 7 到 14 天，要求 DSM 7.2 及以上且机型支持。快照毕竟和数据在同一台机器上，另外再留一份平时不插着的离线备份更稳。顺手把不用的分享链接和套件清一清，攻击面能小一点是一点。
中过招的朋友，你那台机器当时对外开着哪些服务？