群晖勒索事件复盘：中招的不是NAS，是敞开的公网口
机房小夜灯
·
这几天运维群里一直在传群晖那波勒索的事，趁下班前把从公告和溯源报告里读到的东西捋一遍，给还没对过表的朋友省点翻找时间。细节以群晖官方公告 Synology-SA-26:14 为准，我这里只讲已经多方证实的主干。
先说结论：这不是传统意义上「Windows 中毒后顺着 SMB 爬进 NAS」的老剧本。溯源显示，攻击脚本直接打的是暴露在公网的设备，靠两个评分拉满的远程代码执行漏洞，一条路走自建容器——不少人在 Container Manager 里跑 GitLab、Confluence 之类，端口一映射就出去了，容器被打穿后借高权限挂载或逃逸把恶意脚本写进 crond 静默潜伏；另一条路走群晖原生套件的 PHP 漏洞，不需要账号密码就能摸到 DSM 底层。进去之后从根目录遍历所有挂载卷，把能写的全加密。
最疼的一点是备份。很多人把 Hyper Backup 目录放在同一台机器的另一个共享文件夹里，还觉得挺安心——在勒索程序眼里那就是普通文件，一样锁走。这次事件把一句老话又验证了一遍：RAID 防的是硬盘坏，不防有人改你文件；备份的价值取决于它离这台机器有多远，异地、多版本、不可变快照，缺一样都算裸奔。
要做的事其实不新：DSM 和套件立即升到最新并打开自动安全更新（相关补丁九月中旬就发了，这次中招的大多拖着没打）；路由器上把无谓的端口映射全关掉，远程访问走官方中继或 VPN；有条件的话把关键备份挪出本机。中过招的机器先别急着重装，勒索信、SSH 日志、容器日志都留着，溯源和后续救济都靠它们。
NAS 这东西，坏一块盘是事故，被人一把锁走是事故加故事。口子收紧，别给故事开头的机会。
帖子永久链接
