周末白裙被勒索病毒攻击，目前恢复中

[u2gign]

周末起来发现 nas 服务都挂了，查看日志显示凌晨 2 点多被攻击，幸好 nas 还能通过 5001 端口登入，所有文件都被加密，后缀是.L0CK3D ，问了下 muse,按照提示进行操作，后面让 muse 通过 tailscale 来接管操作，关键千万不能关机。找到密钥以后就简单了，后面就是慢慢跑脚本恢复了。

[zthxxx]

关键是还能从内存中回复密钥

[u2gign]

没关机的话大概率能成内存中恢复密钥

[hoythan]

系统是最新版吗？什么型号？ 能提供一些有效的参数数据吗

[bawanag]

没中招的瑟瑟发抖，OP 是哪个版本的哪个机器？是不是关掉外网 http/https 访问就安全了？

[BeforeTooLate]

问题是找不到原因，岂不是还有被攻击的可能？

[u2gign]

@hoythan 最新版本 7.3.1 DS218+ 前几天还把 nas 上的 php 升级到了最新版本 还是中招了

[hoythan]

群晖官方的说法是这个问题是历史的老问题，最新版为啥也会中招我有点不理解了。
我的最新版是 DSM 7.4.1-90080 Update 1 暂时没有中招，端口 5000 和 5001 直接 IP 直连，关闭的代价太大了，天天担心。无语。

[alfawei]

@u2gign #6 DS218+ 如果是 7.3 应该是 7.3.2-86009 Update 5 ； 你在 7.3.1 那大概是 7.3.1-86003 Update 1 ； 这个有点奇怪哦

[hoythan]

我已经被连续扫 3 天了，记录 19000 多条。
都说是可以直接绕过登录，为什么一致尝试 admin 登录，我不太理解。
群晖也是阴间，在线客服排队 10 个人要等 3 个小时。

[u2gign]

@alfawei 7.3.1-86003 Update 1 是这个 显示最新的

[alfawei]

@u2gign #10 你又反馈给群晖技术支持吗? 他们怎么说

[alfawei]

@hoythan #9 写 ticket 让他回信呢？

[justfindu]

从内存中恢复了对称加密秘钥? 你恢复成功真实查看成功了吗?

[liuzimin]

@hoythan #9 我觉得爆破你 admin 密码的和利用漏洞勒索的可能不是同一个人。🤔

[u2gign]

@alfawei 还没反馈呢
@justfindu 恢复的抽查了 都是正常的 包括视频 图片 各种文件

[cctv180]

@hoythan #7 nginx 反代一下 只允许域名接入就是了[嗑瓜子]

[hoythan]

按照群晖反馈的说法，她说 7.4.1 是安全的版本不用担心

[a9htdkbv]

@hoythan 害怕，我现在把 QuickConnect 都关了，用 VPN Station 登录到内网，再通过内网访问管理面板。如果 VPN Station 也有 0day 就没招了

[etrock]

我是路由端用的 lucky 反代，所有内网服务都用的同一个端口，lucky 依据不同的域名进对应内网 NAT 。。。前几天朋友中了，我的没事，默认不用 5000 和 5001 ；
不知道根因是啥，反正出问题那天已经确认群晖 php 是最新，但现在完全不敢开外网了。。。wg 隧道使用中~

[fionasit007]

这能恢复成功？

[nodesolar]

还在用 7.1 😄， 之前写了个简单服务在 nas 上，对于外网只有通过的 IP, nas 所有端口才对目标 ip 开放

每次要访问时手机点下快捷指令

[justfindu]

@u2gign #15 那说明这批选手还是不够仔细啊, 居然用对称加密.

[someonesnone]

我关机了 现在还没开机 完全解决了踢我 cy

[USstyleright]

@nodesolar #21 起码升级到 7.1.1 吧，这个是修复 0day 的

[zhumengyang]

我这边的：关外网 定时全盘杀毒 定时快照 OSS 实时备份

[xclimbing]

就算你打上了最新补丁，也应该先避开风头再说啊，纯粹就是对官方太自信了。

[dhb233]

@justfindu 文件加密基本只能对称加密吧。估计是全局一个密钥，就能从内存里恢复出来。如果用了之后，memset 对应的内存就搞不了了

[netblue]

你这都升到最新版了还中招？是开了 QuickConnect ？还是端口映射到了公网？

[boringwheat]

我也中招了，手贱直接重启了一次，密钥丢失了，导致只能从云端备份恢复了

[boringwheat]

@netblue 我是找群晖的技术解决的，目前尚不清楚攻击的路径，只能先关掉端口映射和 QuickConnect

[zorrose]

刚收到群晖的提醒邮件，11-2 15：20 发的；这羊都死光了，才开始补牢

[Kenopsia]

黑裙 DSM 7.2.1-69057 Update 8 没有映射公网，暂时良好

[alfawei]

@zorrose #31 啥邮件？ 我没有收到呢 什么内容

[ldy619354397]

楼主，你有开公网端口吗，如果有开，是开了哪些群晖端口？

[YsHaNg]

@u2gign 7.3.1-86003 Update 1(2025-11-18)不是最新的 2026 年 10 月 12 的一批才是 7.3.2-86009 Update 5(2026-10-12) 7.4.1-90080 Update 1(2026-10-12) 7.2.2-72806 Update 10(2026-10-12) 7.2.1-69057 Update 13(2026-10-12)

[zhangli2946]

男泵，我前几天升级 dsm quiconnect 掉了。 还要到设备边上才能处理。。。
最好不是中毒。

[hunono]

@u2gign 7.3.1 update1 不提供最新的安全补丁,只有 7.4.1 U1 与 7.3.2 U5 与 7.2.2 U10 与 7.2.1 U13 提供最新的安全补丁.但你的版本支持到 25 年 11 月,按 synology 这几天官方的说法,不会中 24 年已修的漏洞,目前群晖几天前的公告\今天的邮件,没有非常肯定的说是 24 年的漏洞,我对群晖的这次行动表示怀疑,并将我的设备持续离线运行.

[amnaruto]

7.4.1-90080 Update 1 到底稳不稳额😓，不稳的话我就关机了

[QS0x01]

@justfindu 非对称加密，群晖的性能支撑不了啊

[dfdd1811]

旧机器勤去官网看更新，我 918 早就不怎么自动更新了，前几年就是，设置说是最新版，我去发布页有新的，要手动下下来安装。