群晖NAS大规模勒索攻击致企业数据加密 L0CK3D格式蔓延

10月30日，Synology群晖NAS设备爆发大规模勒索攻击事件，大量用户共享文件夹内企业研发文档、数据库镜像及Hyper Backup备份文件被加密为.L0CK3D格式，各目录下出现含'C3RB3R INSTRUCTIONS'字样的read-me3.txt勒索信。攻击者主要通过两条路径实施：一是利用Docker容器中未修复的GitLab等服务漏洞（如CVE-2026-110264），经容器逃逸写入crond定时任务；二是利用群晖原生套件PHP RCE漏洞（CVE-2026-109618/19）远程植入加密负载。官方确认攻击涉及CVE-2024-10441（CVSS 9.8），要求DSM 6.2至7.2.2各分支升级至指定版本，但已有用户反馈高于建议版本仍遭感染，提示可能存在0day或组合漏洞链。勒索程序采用RSA-4096+AES/ChaCha20混合加密，无通用解密工具。安全专家建议立即物理断网、停用容器与同步任务、关闭非必要端口映射，并核查备份是否启用多版本锁定。已中招设备切勿重装系统，应保留勒索信与日志待官方通告。本次攻击波及DS1823xs+、DS1825+、DS425+等主流企业级机型，暴露NAS作为边缘计算节点的安全风险升级，群晖已开通专项支持通道并承诺后续复盘。