群晖 NAS 活跃勒索病毒 LOCK3D，请立即自查（最新 DSM 也有中招）

[Ericality]

各位群晖的 V 友请注意：近期出现活跃勒索病毒，会将用户文件加密为 .LOCK3D （或 .L0CK3D ）文件，并投放勒索信。已有 NAS 确认中招，据 V2EX 讨论，最新 DSM 系统也有中招案例。

请立刻自查：

1. 检查关键目录是否有 .LOCK3D / .L0CK3D 后缀文件及勒索信；
2. 检查 DSM 管理端口、SSH 、GitLab 等容器服务是否直接暴露公网，非必要立即关闭；
3. 确认 DSM 套件、容器镜像已更新，但不要以为只升级 DSM 就安全；
4. 确认重要数据有离线或异地不可写备份，本机长期可写备份也可能被一并加密。

若已中招：立即断网隔离设备，保留系统日志、套件日志和勒索信；不要随意删除文件、重建存储池，也不要轻信“包解密”服务，避免二次破坏。

当前攻击仍在活跃期，请尽快转发提醒身边群晖用户，优先收敛公网暴露面并检查备份。
相关讨论贴：/t/1252735
因该讨论贴标题不包含重要信息 故决定单起一帖提醒各位

初步排查结论出来了 NVD：CVE-2024-10441 漏洞（无需认证 执行任意代码） 正好我的 nas 版本不是最新的 受到该漏洞影响 导致在 2 次外部登陆失败后 得到了群晖 webui 的特征 于是直接在非登录的状态下获取到 root 权限 通过可以直达的 ipv6 地址开始的攻击

[walkbox]

抓紧拔电

[Ericality]

物理断网也可 目前我已经在断网后用大肥鱼排查 初步怀疑的对象有 webdav gitlab 稍后有结论了我会更新

[alfawei]

大概率 smb webdav 或者其他形式被访问到了

国外没有这个反馈，国内某个 IT 人自己的某个个人部署业务的疏漏被利用了？

[huruiqing001122]

片子重新下就好了，你们不会在 nas 里面放其他东西吧

[Ericality]

@huruiqing001122 片子无所谓了 那 3 块盘重新下就行 还有很多个人数据的哇 不过这次我很幸运 没损失数据 因为脚本自己把自己内存撑爆了 不过还有 v 友如果配置高或者脚本运行完了 那估计就是全盘加密了

[thinkm]

我群晖只跑在内网，应该影响不大吧？

[hubayi]

怎么修复啊

[emmo]

@alfawei 国外怎么就没有反馈？不知道你们这些出了问题先找国内用户问题的人心态。你上 reddit 上的 synology sub 看一下，许多中了勒索病毒的。