群晖 NAS 活跃勒索病毒 LOCK3D，请立即自查（最新 DSM 也有中招）

Ericality 2026-10-29 12:37 1

各位群晖的 V 友请注意：近期出现活跃勒索病毒，会将用户文件加密为 .LOCK3D （或 .L0CK3D ）文件，并投放勒索信。已有 NAS 确认中招，据 V2EX 讨论，最新 DSM 系统也有中招案例。

请立刻自查：

1. 检查关键目录是否有 .LOCK3D / .L0CK3D 后缀文件及勒索信；
2. 检查 DSM 管理端口、SSH 、GitLab 等容器服务是否直接暴露公网，非必要立即关闭；
3. 确认 DSM 套件、容器镜像已更新，但不要以为只升级 DSM 就安全；
4. 确认重要数据有离线或异地不可写备份，本机长期可写备份也可能被一并加密。

若已中招：立即断网隔离设备，保留系统日志、套件日志和勒索信；不要随意删除文件、重建存储池，也不要轻信“包解密”服务，避免二次破坏。

当前攻击仍在活跃期，请尽快转发提醒身边群晖用户，优先收敛公网暴露面并检查备份。
相关讨论贴：/t/1252735
因该讨论贴标题不包含重要信息故决定单起一帖提醒各位

最新回复 (19)

walkbox 10-29 13:30

1楼

抓紧拔电
Ericality 楼主 10-29 13:31

2楼

物理断网也可目前我已经在断网后用大肥鱼排查初步怀疑的对象有 webdav gitlab 稍后有结论了我会更新
alfawei 10-29 14:07

3楼

大概率 smb webdav 或者其他形式被访问到了

国外没有这个反馈，国内某个 IT 人自己的某个个人部署业务的疏漏被利用了？
huruiqing001122 10-29 14:22

4楼

片子重新下就好了，你们不会在 nas 里面放其他东西吧
Ericality 楼主 10-29 14:25

5楼

@huruiqing001122 片子无所谓了那 3 块盘重新下就行还有很多个人数据的哇不过这次我很幸运没损失数据因为脚本自己把自己内存撑爆了不过还有 v 友如果配置高或者脚本运行完了那估计就是全盘加密了
thinkm 10-29 14:31

6楼

我群晖只跑在内网，应该影响不大吧？
hubayi 10-29 14:32

7楼

怎么修复啊
emmo 10-29 14:35

8楼

@alfawei 国外怎么就没有反馈？不知道你们这些出了问题先找国内用户问题的人心态。你上 reddit 上的 synology sub 看一下，许多中了勒索病毒的。
emmo 10-29 14:37

9楼

@alfawei https://www.reddit.com/r/synology/comments/1xhzxmt/question_for_ransomware_victims/

自己去这个帖子看吧。真的服了你们这样的人。
superrichman 10-29 14:38

10楼

@alfawei 谁说没有，reddit 上一堆 🐶
https://www.reddit.com/r/synology/comments/1xhyt6w/hit_with_c3rb3r_ransomware_this_am/
Autonomous 10-29 14:41

11楼

UniFi 的网关路由器运行 WireGuard ，把群晖保护在内网，这样安全吗？
alfawei 10-29 14:49

12楼

@emmo #9 多谢，来看看什么个情况
cslive 10-29 15:17

13楼

没有公网，ipv6 最近也被回收了
fredcc 10-29 15:17

14楼

漏洞披露时间 2025-03-19
群晖补丁时间线

https://www.synology.cn/zh-cn/security/advisory/Synology_SA_24_20
noahs 10-29 15:25

15楼

昨天刚感染，我的应该是从 6690 群辉的 drive 服务端口进来的，早上一看文件都加了 LOCK3D 后缀，然后尝试重启结果主机的系统目录都被改写了，无法启动系统，应该是拿到 root 权限以后投毒。还好每周有备份，目前正在恢复数据，后期还是只能通过 vpn 访问不开任何端口
wclebb 10-29 16:00

16楼

但是我不明白，听说最新版本 DSM 也是一样
hoythan 10-29 18:19

17楼

可是我更新刚出来就升级了，我是 1819+设备，我已经赶紧把公网端口关闭了，但是数据根本没法备份，我根本卖不起同容量的 80 多 TB 硬盘。只能等真的修复再说了。
sonnetbreeze 10-29 19:45

18楼

不如说下网络环境，怎么中招的
alfawei 10-29 20:12

19楼

@noahs #15 windows 客户端呢？