2026 年 10 月底，一波勒索病毒專門鎖定連上網路的群暉（Synology）NAS：檔案被加密成 .L0CK3D 副檔名，每層資料夾多出一份 read-me3.txt 勒索信，信裡寫著「C3RB3R INSTRUCTIONS」。如果你的 NAS 還沒中，現在就把對外連線關掉、把 DSM 和所有套件更新到最新；如果已經中了，第一件事是拔網路線，接著保留現場、查快照，不要重灌、不要初始化硬碟。
上週 PHP2Shell 漏洞 公告時，我們才把自家網站從頭盤點過一輪，這週輪到 NAS。這篇把 HKEPC 那串引起大量轉發的貼文拆開來看：哪些說法有官方公告撐腰、哪些還沒證實；駭客是怎麼從外面一路走到 NAS 最底層；以及中毒後的急救順序、平常該怎麼設定 NAS，才不會在某天早上打開檔案總管時，看到滿螢幕的 .L0CK3D。
⚠️NAS 還沒中毒？今天先做這三件事
一、到路由器把 NAS 的對外埠轉發（5000、5001、22、445 以及 Docker 容器映射出去的埠）全部關掉，遠端存取改走 VPN。二、到 DSM「控制台 → 更新與還原」與「套件中心」把系統和套件更新到最新。三、確認「快照」與「異地備份」真的存在，而且最後一次成功是最近的日期。
NAS 勒索病毒 .L0CK3D 懶人包：發生什麼事、誰最危險
一句話：攻擊者瞄準直接暴露在網路上的群暉 NAS，從系統或容器的漏洞進去，把整台 NAS 上的檔案連同同機備份一起加密。下面這張表把目前公開資訊整理在一起，最右欄標明可信度。
項目 | 目前已知 | 可信度 |
|---|---|---|
症狀 | 檔案副檔名變成 .L0CK3D（也有人看到 .LOCK3D），各層資料夾出現 read-me3.txt 勒索信 | 多家媒體與受害者回報一致 |
病毒家族 | 資安團隊暫稱 C3RB3R，360 認為是 Cerber 勒索病毒的變種 | 中國資安團隊初步判斷 |
受影響設備 | 對外開放連線的群暉 NAS | 各來源一致 |
入侵途徑 | 說法有三種（DSM 漏洞、對外的 Docker 容器、PHP2Shell 套件），官方尚未公布結論 | 未定案 |
加密方式 | 有報導說 ChaCha8 加 RSA-2048，也有說 RSA-4096 加 AES 或 ChaCha20 | 說法不一 |
解密工具 | 目前沒有公開的通用解密工具 | 單一來源轉述 |
官方修補 | DSM 漏洞公告 Synology-SA-26:13（9 月）、PHP2Shell 公告 Synology-SA-26:14（10 月） | 官方公告 |
這波事件最早在 10 月 29 日被大量轉發，香港 HKEPC 在 Threads 上呼籲所有群暉用戶「立即斷線保平安」，Guru3D 等外媒隨後轉載。法國資安媒體 IT-Connect 引用 360 的分析，則把矛頭指向 DSM 本身的兩個漏洞。兩邊的說法有出入，下面一條一條拆。
最危險的是這幾種人：NAS 開了外網存取、有在 NAS 上用 Docker 架服務並把埠開出去、DSM 好幾個月沒更新、只有「同一台 NAS 上的備份」。四項中兩項以上，請把這篇的急救與設定段落當成今天的待辦。
NAS 是怎麼被入侵的？三條疑似入口一次看懂
先講結論：目前沒有任何一方能百分之百確定入口，三條路都有人主張，防護時要三條一起堵。NAS 就像公司放在網路上的檔案櫃，漏洞就是櫃門上沒修好的鎖，只要櫃子擺在大馬路邊（對外開放），路過的自動化掃描程式就會一間一間試。
疑似入口 | 誰這樣說 | 官方怎麼說 | 怎麼堵 |
|---|---|---|---|
DSM 系統漏洞（CVE-2026-13639、CVE-2026-13684） | 360，經 IT-Connect 報導 | SA-26:13 9 月 18 日已修補，兩個都是 9.8 分，可讓遠端攻擊者讀寫任意檔案 | DSM 更新到 7.4-90075、7.3.2-86009-4、7.2.2-72806-9 或 7.2.1-69057-12 以上 |
對外開放的 Docker 容器（例如自架 GitLab） | HKEPC，經 Guru3D 轉載 | 群暉沒有針對這點發公告 | 容器埠不直接對外、容器不給高權限、不掛載系統資料夾 |
PHP2Shell 影響的原生套件（Mail Station、Synology Calendar） | HKEPC | SA-26:14 已修補，但官方說 DSM 內建的 PHP 不對外暴露，被利用的風險「非常低」 | 套件中心更新，用不到的套件直接移除 |
還有一個讓人不安的消息：中國的 Solar 應急響應團隊公布，有受害設備跑的是當時最新的 DSM 7.4.1-90080 Update 1，版本比 SA-26:13 的修補版還新。小眾軟件 的整理寫得很直接，入侵原因「目前還不能確定」，不排除有尚未公開的新漏洞。這代表「更新完就安全」這句話，在這次事件裡打了折扣，把 NAS 從網路上收回來才是最可靠的一步。
DSM 系統漏洞：櫃子本身的鎖壞了
SA-26:13 裡的兩個漏洞，一個出在 DSM 處理網頁請求的元件，一個出在登入流程產生的隨機值不夠亂，結果都是讓遠端的人能讀寫 NAS 上的任意檔案。能寫任意檔案，就能把惡意程式放進系統會自動執行的位置。這兩個漏洞 9 月就修了，但很多 NAS 是「裝好就沒人管」，幾個月沒更新是常態。
Docker 容器：從客房鑽進主臥
很多公司會在 NAS 的 Container Manager 裡自架 GitLab、Confluence 或其他網頁服務，再把埠開到外面讓同事在家也能用。GitLab 10 月剛好連爆兩個 10 分滿分、不用登入就能遠端執行程式的漏洞，The Hacker News 報導其中 CVE-2026-110264 影響的版本一路回推到 2014 年的 7.0 版，10 月 21 日才修補；另一個 CVE-2026-97229 在 10 月 12 日修補。容器像是 NAS 裡的一間客房，正常情況下房客出不了房門；但如果建立容器時給了「特權模式」，或把 NAS 的系統資料夾掛進容器，客房就多了一扇通往主臥的門。
PHP2Shell 套件：說法最弱的一條
HKEPC 說攻擊者不用帳密就能經由 PHP2Shell 直搗 DSM 底層。不過群暉官方在 SA-26:14 的說法是內建 PHP 不對外暴露、風險非常低。我們的判斷：這條在官方說法與媒體說法之間有落差，但用不到的 Mail Station、Calendar、Web Station 本來就該移除，少一個套件就少一個入口，不用等到真相大白。PHP2Shell 漏洞本身的白話說明，可以看我們之前寫的 PHP2Shell 拆解。
為什麼剛更新完還是被鎖？勒索病毒在 NAS 底層的運作方式
一句話：病毒進門後會先在系統排程裡留一張「定時炸彈」，更新只是把門修好，炸彈還在屋裡。這也解釋了為什麼有網管說，自己明明剛升級容器，NAS 還是在半夜被鎖死。
把這條路拆成三個階段，比較好懂：
階段 | 病毒在做什麼 | 生活比喻 | 對應的防線 |
|---|---|---|---|
進門 | 利用對外服務的漏洞，取得執行程式的能力 | 小偷從沒鎖好的窗戶爬進來 | 不對外開放、及時更新 |
潛伏 | 提高權限，把啟動指令寫進 Linux 的定時排程（crond） | 小偷沒馬上動手，先在你家設好半夜響的鬧鐘 | 容器低權限、定期檢查排程與帳號 |
引爆 | 時間到就從根目錄往下掃，所有掛載的儲存空間全部加密 | 鬧鐘一響，整間屋子的抽屜同時上鎖 | 不可變快照、異地與離線備份 |
「潛伏」這一步是整個事件最值得記住的地方。Linux 的 crond 就是系統內建的鬧鐘，負責「每天幾點做什麼事」，像是清暫存檔、跑備份。病毒把自己的啟動指令塞進這份清單，就算你事後修好漏洞、重啟容器，鬧鐘照樣會在設定的時間響。所以中毒後的檢查清單裡，一定要有「排程任務」這一項。
「引爆」時，病毒會把 NAS 上看得到、寫得進去的東西全部當成普通檔案處理。HKEPC 特別提到，放在同一台 NAS 上的 Hyper Backup 備份，只要沒有開多版本鎖定或放到異地，也會一起被加密。這是很多中小企業最痛的地方：以為有備份，結果備份就躺在同一個被鎖的櫃子裡。
NAS 被勒索不是新鮮事。2014 年有 SynoLocker，2019 年群暉官方公告過一波鎖定預設 admin 帳號與弱密碼的暴力破解攻擊，之後幾年還有 StealthWorker、eCh0raix 等家族輪番上陣。手法從猜密碼進化到打漏洞，但目標一直沒變：放在網路上、沒人顧、裡面又全是公司命脈的 NAS。
NAS 被勒索病毒鎖住了怎麼辦？急救八步驟
先講結論：斷網止血 → 保留證據 → 盤點能救的 → 清乾淨再還原，順序不能亂。最常見的錯誤是一慌就重灌，結果把唯一可能救回資料的快照一起清掉。
步驟 | 做什麼 | 要注意的地方 |
|---|---|---|
一、斷網 | 直接拔 NAS 的網路線，或在路由器把它隔離 | 先斷網再研究，斷網不會讓資料消失 |
二、判斷要不要關機 | 觀察檔案數量與副檔名有沒有還在變；還在加密就關機 | 沒在加密就先別關機，記憶體裡的證據對鑑識有用 |
三、切斷同步 | 暫停 Cloud Sync、Synology Drive、Hyper Backup 與所有容器 | 最怕同步把加密後的檔案覆蓋到雲端，連雲端版本也毀掉 |
四、保留現場 | 拍下勒索信、檔名、DSM 記錄；不要刪勒索信、不要重灌、不要初始化硬碟 | 要報案、要找鑑識、要申請保險理賠，都需要這些 |
五、盤點能救的 | 查「快照複寫」裡還有沒有加密前的快照，查異地與離線備份最後一版的日期 | 快照可能被病毒刪掉，有開不可變快照的才最穩 |
六、清除潛伏 | 檢查任務排程、不明的管理員帳號、陌生容器與套件；沒把握就整台重建 | 只救檔案不清排程，鬧鐘下次還會響 |
七、還原 | 在乾淨的系統上，從快照或備份還原到新的共用資料夾，確認無誤再切換 | 備份硬碟不要接回還沒清乾淨的 NAS |
八、換密碼與通報 | 換掉 NAS、路由器、所有曾在 NAS 上登入過的帳密；通報 165 與 TWCERT/CC，聯絡群暉技術支援 | 如果 NAS 上有客戶個資，依個資法要評估通知當事人 |
要不要付贖金？
我們的立場很明確：別付。付了不保證拿得到能用的解密金鑰，也等於告訴對方「這家會付」，之後更容易再被盯上。真的沒有任何備份時，先到 No More Ransom 上傳一份加密檔和勒索信，看有沒有對應的解密工具；這是歐洲刑警組織與資安廠商合作的計畫，持續更新各家族的解密工具。目前 C3RB3R 還沒有公開的解密工具，但勒索病毒偶爾會因為加密實作有瑕疵被破解，加密後的硬碟先完整保留，不要格式化拿去重用，留著就還有機會。
自己救還是找人救？
有快照、有異地備份、IT 人員熟悉 DSM，可以照上面八步自己來。如果 NAS 上放的是公司唯一一份帳務、設計圖或客戶資料，又沒有可用的備份，建議直接找專業的資安鑑識公司，在鑑識人員到場前不要再動那台 NAS，每多操作一次，能救回的機會就少一點。
NAS 安全設定怎麼做？群暉 DSM 十項必改清單
一句話：不對外、少權限、多版本、能離線。下面這份清單照「擋在門外 → 進門也走不遠 → 被鎖也救得回來」排序，前四項今天就能改完。
設定項目 | 在 DSM 哪裡改 | 建議做法 | 擋的是哪一段 |
|---|---|---|---|
關閉對外埠轉發 | 路由器、DSM「控制台 → 外部存取」 | 5000、5001、22、445 與容器埠一律不對外；遠端改用 VPN | 進門 |
遠端存取走 VPN | 套件中心 VPN Server，或 Tailscale 這類工具 | 先連上公司 VPN，才看得到 NAS | 進門 |
QuickConnect 評估關閉 | 控制台 → 外部存取 → QuickConnect | 用不到就關；要用就搭配下面的帳號保護與兩步驟驗證 | 進門 |
DSM 與套件自動更新 | 控制台 → 更新與還原；套件中心設定 | 重要更新自動安裝，每月看一次群暉安全公告 | 進門 |
停用 admin、開兩步驟驗證 | 控制台 → 使用者與群組；個人 → 安全性 | 建新的管理員帳號、停用預設 admin、所有管理員開 2FA | 進門 |
自動封鎖與帳號保護 | 控制台 → 安全性 → 保護 | 連續登入失敗就封鎖 IP，防火牆只允許公司內網網段 | 進門 |
移除用不到的套件 | 套件中心 | Mail Station、Calendar、Web Station 等沒在用就解除安裝 | 進門 |
容器不給特權 | Container Manager | 不開特權模式、不掛載系統資料夾或 docker.sock，只掛需要的資料夾 | 走不遠 |
不可變快照 | 快照複寫（Snapshot Replication） | 重要共用資料夾每小時快照，開啟不可變快照保留 7 到 14 天 | 救得回 |
異地加離線備份 | Hyper Backup 到另一台 NAS 或雲端，再加一顆輪替的外接硬碟 | 備份目的地用不同帳密，開多版本；離線硬碟備完就拔 | 救得回 |
其中最常被忽略的是不可變快照。一般快照有管理員權限就能刪，病毒拿到最高權限後第一件事往往就是清快照；不可變快照在保留期限內連管理員都刪不掉，是這類攻擊最後一道保險。它需要 Btrfs 檔案系統與 DSM 7.2 以上，舊機型請先確認支援。備份要怎麼規劃才算完整，可以搭配 資料備份與災難復原指南 裡的 3-2-1 法則一起看。
防火牆規則怎麼寫最安全
DSM 內建防火牆的原則是「先允許需要的，最後拒絕其他全部」。實際做法是：允許公司內網網段（例如 192.168.1.0/24）與 VPN 網段存取 DSM 與檔案服務，最後一條規則設成拒絕所有。這樣就算哪天有人不小心在路由器開了埠轉發，外面的人一樣進不來。防火牆是什麼、怎麼分層，可以看 伺服器防火牆入門。
VPN、Tailscale 還是 Cloudflare Tunnel？
方式 | 適合誰 | 要注意的地方 |
|---|---|---|
群暉 VPN Server | 有固定 IP、想全部自己管的公司 | VPN 本身也要更新，帳號一樣要開 2FA |
Tailscale 這類點對點 VPN | 員工少、沒有專職 IT、想快速設定 | 要管好誰的裝置能加入，離職員工記得移除 |
Cloudflare Tunnel 加 Zero Trust 驗證 | 只想開放特定網頁服務給外部夥伴 | 一定要加上身分驗證，只開 Tunnel 等於換個方式對外 |
不管選哪一種，核心觀念都是 零信任：預設誰都不信，先驗證身分才放行。想用 Cloudflare 的做法，可以看 Cloudflare Zero Trust 設定指南。
在 NAS 上跑 Docker 的公司要特別注意什麼
一句話：NAS 適合放檔案，對外的服務最好搬到獨立的主機。我們的看法比較直接：NAS 上的 Container Manager 很方便，但把 GitLab 這種對外服務跟公司所有檔案放在同一台機器上，等於把大門鑰匙和保險箱放在同一個抽屜。容器是什麼、為什麼它能隔離又不完全隔離，可以先看 Docker 容器入門。
常見做法 | 風險 | 改成 |
|---|---|---|
容器開特權模式，因為「這樣比較不會出錯」 | 容器裡的程式幾乎等於 NAS 的最高權限 | 關掉特權模式，缺什麼權限再單獨開 |
把 /volume1 整個掛進容器 | 容器被攻破，整個儲存空間都看得到 | 只掛這個服務需要的那一個資料夾 |
把 docker.sock 掛進容器方便管理 | 拿到它就能開新容器、掛任何資料夾 | 管理工具不要對外，或改用唯讀代理 |
容器埠直接映射到路由器 | 全世界的掃描程式都打得到 | 對外的服務放在獨立主機，或至少走 VPN |
映像檔裝好就沒再更新 | GitLab 這類服務漏洞多、更新快 | 固定每月更新，重大漏洞公告當週更新 |
如果容器服務真的需要讓外部存取，前面至少要擋一層 WAF 網頁應用程式防火牆 加身分驗證。自架服務的完整做法，像是資料夾怎麼掛、怎麼升級，可以參考 n8n Docker 自架教學 裡的寫法，觀念是相通的。
怎麼確認自己的 NAS 有沒有被植入後門
一句話：看排程、看帳號、看容器、看記錄，四個地方都乾淨，才比較放心。這些檢查不需要額外的工具，DSM 介面裡大多看得到。
檢查哪裡 | 怎麼看 | 異常長什麼樣 |
|---|---|---|
任務排程 | 控制台 → 任務排程，有 SSH 的話再請 IT 看系統排程檔 | 出現自己沒建過的任務，或指令裡有下載網址 |
使用者帳號 | 控制台 → 使用者與群組 | 多了陌生帳號，或有帳號被加進 administrators 群組 |
容器與套件 | Container Manager、套件中心 | 出現沒裝過的容器或套件，或容器 CPU 長時間偏高 |
登入與連線記錄 | 記錄中心、安全性顧問 | 半夜有海外 IP 登入成功、大量登入失敗後突然成功 |
安全性顧問掃描 | 安全性顧問 → 立即掃描 | 出現高風險項目，例如 SSH 對外、admin 未停用 |
任何一項有疑慮，最穩的做法是把資料備份出來後整台重建 DSM，從乾淨的系統重新設定，再把資料搬回去。修補一台被入侵過的系統，永遠沒辦法百分之百確定清乾淨。想定期掃描公司對外的設備有沒有漏洞，可以看 自架弱點掃描工具指南；中小企業整體的資安優先順序，AI 駭客時代的中小企業資安行動計畫 有一份按週排好的清單。
中小企業 NAS 備份與資安的長期做法
一句話：NAS 是公司的檔案櫃，該有人管、該有清單、該有演練。這次事件裡損失最大的，多半是「當初請廠商裝好、之後就沒人碰」的 NAS。
要準備什麼 | 為什麼 | 怎麼開始 |
|---|---|---|
設備清單 | 公告一出，第一個問題永遠是「我們有幾台、什麼版本、誰在管」 | 列出每台 NAS 的型號、DSM 版本、對外開了什麼、負責人 |
更新責任 | 沒人負責的更新就不會發生 | 指定一個人每月看群暉安全公告，重大漏洞一週內更新 |
還原演練 | 沒演練過的備份，跟沒有備份差不多 | 每季挑一個資料夾，實際從快照與異地備份還原一次 |
對外服務分離 | NAS 被攻破時，影響範圍越小越好 | 對外的網站、GitLab、內部系統搬到獨立主機或雲端服務 |
有一個判斷工具很簡單：問負責 IT 的同事「我們的 NAS 現在是哪一版 DSM？最後一次成功的異地備份是哪一天？」兩題都答得出來，代表有人在顧；答不出來，就是該補上的時候。網站被入侵的止血流程跟 NAS 其實很像，可以對照 網站被駭怎麼辦 一起看。
ℹ️我們怎麼看
這次事件最值得記住的一點，是有受害者跑的是最新版 DSM。漏洞會一直有，修補永遠慢一步，所以真正能控制的只有兩件事：讓 NAS 不要直接面對網路，以及確保被鎖了也救得回來。我們的判斷是，3 年內「NAS 直接開外網」會像「網站不用 HTTPS」一樣被當成不及格的做法，遠端存取全面走 VPN 或零信任閘道。我們在做客製系統的部署規劃時，也是同一個取捨：對外服務和存資料的機器分開，資料一定有不可變的備份。群暉後續若公布正式的入侵原因，以 群暉安全公告頁 為準。
ℹ️我們做過這件事
上週 PHP2Shell 公告時，我們當天就把自家與代管網站盤點、排查、升級、回測一輪，用的就是這篇講的順序：先盤點、再查有沒有被入侵、最後修補並驗證。我們累積了 40+ 企業客製案落地，系統上線後的部署規劃、版本更新與備份設計也是交付的一部分。看到這裡，如果你也在想「公司的系統和 NAS 是不是該重新規劃一下」，我們很樂意 聽你聊聊現在的實際情況，一起看看從哪一塊開始最划算。
QNAS 中了 .L0CK3D 勒索病毒，檔案還救得回來嗎？
要看有沒有加密前的快照或備份。先拔網路線，再到 DSM 的「快照複寫」查有沒有加密前的快照，並確認異地或離線備份最後一版的日期。都沒有的話，到 No More Ransom 查有沒有解密工具，加密後的硬碟先完整保留，不要格式化。
Q群暉 NAS 被勒索病毒攻擊，要先關機還是先拔網路線？
先拔網路線。拔線之後觀察檔案有沒有還在被改名加密，還在加密就直接關機止損；已經停了就先別關機，保留記憶體裡的證據給鑑識人員。
Q已經更新到最新版 DSM，NAS 就安全了嗎？
不一定。這次有受害設備跑的是最新的 DSM 7.4.1-90080 Update 1，入侵原因尚未確定。更新是必要的，但最可靠的做法是把 NAS 從外網收回來，遠端存取改走 VPN，再搭配不可變快照與異地備份。
Q為什麼 NAS 剛更新完還是被加密？
病毒進來後可能先在系統排程（crond）裡留下定時啟動的指令，更新只修好了入口，排程裡的指令還在，時間到照樣啟動加密。所以中毒後一定要檢查任務排程，沒把握就整台重建。
Q同一台 NAS 上的 Hyper Backup 備份會被加密嗎？
會。病毒會掃過所有掛載的儲存空間，放在同一台 NAS 上、沒有多版本鎖定的備份也會被當成普通檔案加密。備份至少要有一份放在另一台設備或雲端，再加一份備完就拔掉的離線硬碟。
QNAS 要怎麼設定才能防勒索病毒？
關閉所有對外埠轉發並改用 VPN、DSM 與套件開自動更新、停用預設 admin 並開兩步驟驗證、開啟自動封鎖、移除用不到的套件、容器不給特權模式、重要資料夾開不可變快照，再加上異地與離線備份。
Q要不要付贖金解鎖 NAS？
不建議。付款不保證拿到能用的解密金鑰，也可能讓公司被再次鎖定。先確認快照與備份，再查 No More Ransom 的解密工具；資料真的很重要又沒有備份，請找專業的資安鑑識公司評估。
AUTHOR
恆遠數位編輯團隊
留言(0)
尚無留言，成為第一個留言的人吧！