重要：群晖NAS用户遭勒索，数据全丢失！

10月28日早上9点多，本人的群晖NAS不幸中了勒索病毒，大部分文件（文件目录超过3层的没有被加密，不知道是病毒没有执行到那里还是这病毒特性就是这样）被加密，文件后缀多了一个.L0CK3D。（如果你也发现这种情况，不要急着关机重启，网上有人说没有关机重启有机会恢复数据）。

然后每个文件夹里都躺着一封 read-me3.txt 勒索信。

勒索信里面的链接其实国内也打不开的，如果你能打开，能看到下面界面。现在这些黑客赚钱太自动化了，病毒自动运行，然后收钱也是高度自动化。赎金是0.085BTC，折合人民币4万多，五天不付翻倍到0.17。但很多专业人士都建议别付，交了钱很多人也拿不到钥匙，数据还可能被二次贩卖。

虽然我这台NAS里面重要数据不多，但还是有部分私人照片。就想着网上找找看有没有恢复的办法。找一通下来，有说可以恢复的，报价2W，严重怀疑这些也是投放病毒的帮凶。除此之外，大多都是说有快照就能恢复，我如果有备份有快照就直接格式化重新安装系统再恢复数据了。

今天第三天，网上陆陆续续越来越多人中招了。也有人提出一些恢复的方法，如果你的nas没有重启，而且病毒进程还在执行，加密还没完成，就转储出内存，然后让Astra去找驻留在内存中的AES-256-CBC的密钥。本人机器重启过，无望了。

很多中招用户想不通：十几位复杂密码、手机令牌2FA、输错5次自动封IP，全开了，黑客怎么进来的？

Reddit一位DS918+用户做了教科书级取证：断电中断加密、拆盘离线只读挂载、提取系统日志。时间线显示，一次"密码错误"的登录失败，两分钟后就变成了root权限执行任意代码。

争议最大的一点：Solar团队检查的一台受害设备，跑的是10月12日刚发布的DSM 7.4.1-90080 Update 1——当前最新版。Solar团队的研判很克制：最新版遭攻击，不等于最新版存在0day。目前来说，攻击入口还没盖棺定论。也有用户发现可能是与PHP，日历，邮件套件等有关。

如果你的机器还没中招，现在应该干的几件事：

收敛暴露面：把映射到公网的 DSM 端口（默认 5000/5001）先关掉，远程访问改用 VPN 或官方中继服务，而不是裸奔公网；还有一个更危险的是DMZ一定要关闭，这个相当于全部端口暴露。我就是开了这个，以后不能图方便了，要开哪个端口单独映射吧。
查版本打补丁：核对DSM和套件版本，按官方通告升级，升级前先备份配置；群晖官方也在29号发通知让更新，但这也比攻击慢一步啊。
清账号关服务：禁用闲置账号、SSH和非必要服务，检查有没有异常管理员账号和计划任务；
打开快照：启用快照复制并设置计划任务，重要数据再做3-2-1备份——RAID防坏盘，防不了加密，快照和离线副本才是勒索病毒的天敌；
验证备份真能用：重要数据留一份离线或异地副本，定期做恢复演练。备份不测试，等于没备份。