群晖NAS大规模勒索攻击事件解析，CVE-2024-10441漏洞被利用L0CK3D加密蔓延

10月30日，国内多个技术社区与企业IT运维人员密集报告：Synology群晖NAS设备遭遇大规模勒索软件攻击。受影响设备的共享文件夹内，企业核心研发文档、数据库镜像及日常备份文件均被加密为.L0CK3D扩展名，各层级目录与系统根目录下出现名为read-me3.txt的勒索信，内含C3RB3R INSTRUCTIONS字样。此次事件并非传统Windows终端中毒后经SMB协议横向扩散所致，而是黑客针对暴露于公网的群晖设备发起的精准自动化攻击。

据网络安全团队逆向分析，攻击主要依托两条高危路径实施：其一为Docker容器链路。许多企业在NAS的Container Manager中部署GitLab、Confluence或自建Web服务，并将端口映射至公网。近期GitLab接连曝出未授权远程代码执行漏洞（CVE-2026-110264、CVE-2026-97229），黑客通过自动化脚本攻入未修补容器后，利用高权限挂载或宿主机逃逸缺陷，将恶意拉取脚本写入Linux底层crond定时任务中静默潜伏；其二为群晖原生套件路径。官方此前发布的安全公告Synology-SA-26:14已确认PHP核心存在两个RCE漏洞（CVE-2026-109618与CVE-2026-109619），直接影响MailStation、Synology Calendar等内置应用。攻击者无需任何凭证，即可从外部网络直抵DSM底层植入加密负载。

勒索程序在Linux系统启动后，以多线程方式遍历所有可写入目录，包括未启用多版本锁定或异地隔离的Hyper Backup备份目录——这意味着即便用户配置了本地备份策略，若未启用版本保护机制，备份文件仍会被一并加密。加密算法采用RSA-4096公钥加密AES/ChaCha20会话密钥的混合模式，暴力破解在数学上不可行，目前尚无通用免费解密工具。

群晖官方已于当日紧急发布公告，确认有用户遭数据加密并被索要赎金。官方初步判定攻击者利用的是2024年12月已修复的CVE-2024-10441漏洞（CVSS评分9.8），并列出各分支最低安全版本要求：

• DSM 6.2：升级至6.2.4-25556-8或更高
• DSM 7.1：升级至7.1.1-42962-7或更高
• DSM 7.2：升级至7.2-64570-4或更高
• DSM 7.2.1：升级至7.2.1-69057-6或更高
• DSM 7.2.2：升级至7.2.2-72806-1或更高
• BeeStation Manager（BSM）：升级至1.1-65374或更高
• Synology Unified Controller（DSMUC）：升级至3.1.4-23079或更高

值得注意的是，已有用户反馈其系统版本高于上述建议值，但仍被感染，对官方归因提出质疑。这提示攻击手法可能存在未公开的0day利用或组合漏洞链，安全态势尚未完全明朗。

对于尚未受侵的用户，安全专家建议立即采取以下措施：

若已不幸中招，切勿自行重装系统或初始化硬盘——此举将导致密钥丢失、恢复无望。应完整保留勒索信read-me3.txt及系统日志（可通过SSH导出/var/log/messages等），等待官方进一步技术通告。部分安全厂商正协同逆向分析样本，但截至目前，尚未发现有效解密途径。

此次事件暴露出企业级NAS在“易用性”与“安全性”之间的深层矛盾。群晖产品以图形化界面和丰富套件著称，大量用户习惯在DSM中直接部署开发环境、知识库甚至轻量级CI/CD服务，却忽视了这些服务一旦暴露公网即构成高危入口。尤其当管理员为便利而开放Docker端口、未定期更新第三方容器镜像时，相当于为攻击者铺设了“免密登录通道”。

从行业视角看，NAS设备正从单纯存储节点演变为边缘计算平台，其安全边界已远超传统文件服务器范畴。本次攻击中，黑客精准选择Linux底层crond机制作为持久化载体，说明攻击者具备扎实的嵌入式系统与容器安全知识，属于有组织的定向威胁行为。对比2023年Qnap设备遭遇的QSnatch僵尸网络事件，本次群晖攻击在自动化程度与加密强度上均有显著升级。

值得警惕的是，当前市面上主流群晖型号如DS1823xs+、DS1825+、DS425+等均属高配企业级机型，常用于中小企业核心数据存储备份。以DS1825+为例，其搭载AMD Ryzen V1500B四核处理器、支持360TB原始存储容量，广泛部署于研发部门与财务系统；而DS425+虽为入门级4盘位机型，亦因支持Hyper Backup与Snapshot Replication，成为不少工作室的主力备份设备。这些设备一旦失陷，影响范围远超单台PC中毒。

安全响应仍在持续。群晖已开通专项支持通道，并承诺将提供后续技术复盘报告。业界普遍认为，此次事件或将推动NAS厂商强化默认安全策略：例如默认禁用Docker公网映射、强制套件签名验证、引入入侵检测模块等。对企业用户而言，是时候重新审视“NAS即存储”的认知惯性——在云与边缘融合的当下，它更是一个需要同等重视的计算节点。

目前，攻击源头尚未公开披露，链上赎金支付地址也未见活跃交易记录。安全团队提醒：切勿轻信所谓“付费解密”服务，此类渠道极可能为二次诈骗。唯一可靠路径仍是依赖官方补丁与专业应急响应协作。