2026-11-10 16:45:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

C3RB3R 攻击 Synology：为什么你不应该推迟 NAS 更新

原创

Editorial Team
Editorial Team

网络与信息安全参考

2026年11月10日 09:00
山东

去阅读

KASPERSKY BLOG · 中文译读2026.11.09

C3RB3R 攻击 Synology
NAS 更新拖不得

任何忘记及时更新网络存储的人，都处在风险之中

2024 年 12 月修复的漏洞，2026 年 10 月仍在被利用

勒索软件NAS 安全

ABSTRACT · 摘要

Kaspersky Blog

C3RB3R 勒索软件正在攻击运行过时操作系统的 Synology 网络附加存储设备，并加密其中存储的文件。本文将说明哪些 NAS 设备面临风险、如何防御此类攻击，以及数据已被加密后该怎么办。

PART

C3RB3R 攻击谁，怎么攻击

WHO & HOW

很多人把家用网络附加存储（NAS）设备当成一块接在路由器上的大硬盘。他们把视频、照片、文档和备份都放进去，然后好几年都不再管这台设备。这是个巨大的错误。

2026 年 10 月，攻击者开始用 C3RB3R（Cerber）勒索软件感染 Synology NAS 设备。许多用户反馈，他们已经无法打开网络存储中的文件，各个文件夹里还出现了包含勒索要求的文本文件。而这并不是因为有人误下载了恶意文件：任何忘记及时更新网络存储的人，都处在风险之中。

本文要讲清楚的就是两件事：谁在风险范围内，以及如何保护你的数据。

我们习惯认为，恶意软件是在有人下载了可疑文件、或照着攻击者的指示操作之后才进入设备的。但绝大多数 C3RB3R 感染根本不需要用户做任何交互——攻击者只要能访问到存在漏洞的 NAS 服务就够了。专用扫描器很可能在其中起了作用：它们自动搜寻 Synology NAS 系统，并检查其 DiskStation Manager（DSM）版本。

10 月，许多 Synology 用户开始报告遭遇 C3RB3R 攻击。Synology 官方确认了该问题，并表示攻击者利用的是一个早在 2024 年 12 月就已修复的漏洞。从描述来看，这应该是 CVE-2024-10441——一个允许攻击者在无需认证的情况下于 NAS 操作系统中执行任意代码的漏洞。

与此同时，360.cn 的研究人员报告称，他们分析的 C3RB3R 攻击还涉及另外两个严重漏洞，评分均为 9.8：CVE-2026-13639 和 CVE-2026-13684。这些漏洞可导致任意文件读取或写入，以及拒绝服务（DoS）攻击。Synology 尚未确认这两个漏洞在此次攻击活动中被利用。该公司已在 9 月的 DSM 更新中修复了它们。

无论如何，上述漏洞都让攻击者能够远程攻击 NAS。攻击者要访问你的存储、把勒索软件放进去并运行起来，只需满足两个条件：

01你很久没有更新过网络附加存储

02Synology DiskStation Manager（DSM）的界面可从互联网（或局域网）访问

就这些：攻击者不需要你的密码，也不需要你做任何操作。每一个未能及时更新系统的 Synology NAS 用户都面临风险。

如果你最近没有手动安装过更新，也不记得是否开启了自动更新，我们建议先切断 NAS 的互联网访问，然后尽快手动更新设备——否则，你很容易成为受害者之一。

请注意：在更新安装完成之前，设备仍然容易受到来自局域网的攻击。因此，如果你的 Synology NAS 对局域网中的其他用户可见——例如与邻居共用，或者接入了大学、办公室、宿舍的网络——最安全的做法是拔掉网线，并在机型支持的情况下关闭 Wi-Fi。然后把更新文件下载到你的电脑上，断开电脑的有线和无线网络，用网线把 NAS 直接连到电脑，在完全隔离的环境中更新其操作系统和应用程序。

更新网络存储还有一个充分理由：最近发现的 PHP 漏洞。Synology 已为其操作系统以及 Mail Station 和 Synology Calendar 应用发布了紧急更新。

PART

感染之后，文件会怎样

FILE DAMAGE

C3RB3R 勒索软件一旦进入网络附加存储，就会遍历每一个可访问的、存放用户数据的文件夹，并加密其中的文件——照片、文档、压缩包、视频和录音——同时给被加密的文件加上 .L0CK3D 扩展名。用户若尝试打开，系统会提示文件已损坏或格式未知。不幸的是，仅仅把文件名改回去并不能解除加密。

C3RB3R 加密后的文件就是这个样子：原文件被追加 .L0CK3D 后缀，文件夹里同时多出一份 read-me3.txt 勒索信

攻击者还很“贴心”地在每个含加密文件的文件夹里留下一个名为 read-me3.txt 的文本文件，里面写着如何解密存储中数据的说明。照它说法，你只需要……打开那个“完全不可疑”的 Tor Browser，然后向攻击者付费购买一个号称能恢复你所有文件的解密器。不用说，没人能保证你的文件会完好无损地回来。

C3RB3R 会在每个含加密文件的文件夹里留下这样一份勒索信。真是“慷慨”的提议：免费解密一个文件，其余的请付费

失去全部或大部分文件，可能还不是唯一令人不快的后果。攻击者常常以公开窃取的数据来敲诈受害者——账号凭据、私密照片、工作文档以及其他机密信息。如果受害者拒绝支付赎金，犯罪分子就威胁把这些数据全部公开。他们可能通过电子邮件或社交媒体联系你，提出这些要求。

这类威胁往往只是骗局。我们在《诈骗者如何利用电子邮件进行敲诈与勒索》一文中详细讨论了这些套路，以及被敲诈时该怎么做。但如果你的 NAS 确实已被加密，遗憾的是，你无法排除数据被窃取的可能。

PART

已被感染，该怎么办

RECOVERY

如果勒索软件已经攻击了你的 NAS，你可能面临以下两种情况之一。

01你当场撞见了勒索软件作案，惊恐地看着越来越多的文件在眼前被加密、被改名。

02用户文件夹已经被加密，你的所有文件都被加上了 .L0CK3D 扩展名。

这时候该怎么做？

STEP 01立即断开 NAS 的所有网络连接（但不要关机）

NAS 需要与互联网及家庭网络的其余部分彻底隔离。除了电源线，拔掉 NAS 上的每一根线缆。如果你的 NAS 机型通过 Wi-Fi 连接局域网，也要关闭无线连接。你可以在 NAS 本身上关闭（部分 Synology 机型有 Wi-Fi 按钮，长按即可关闭无线网络），也可以直接拔掉路由器的电源。这样可以切断攻击者对该设备的远程访问，并阻止已感染的 NAS 触及其他计算机和存储设备。

如果有外接 USB 硬盘接在 NAS 上用于扩容，也把它们断开——勒索软件有可能还没蔓延到这些硬盘。

暂停电脑和云服务中与该 NAS 相关的同步与备份任务。这有助于防止被破坏的文件扩散到其他副本，覆盖掉仍然完好的版本。

STEP 02决定是否关闭 NAS 电源

如果你当场撞见 Cerber 作案，第一反应可能是拔掉 NAS 的电源线，但不要这么做：突然断电可能损坏正在写入磁盘的数据。更好的做法是走 NAS 的正常关机流程，但要记住，这样做会失去一种恢复已加密文件的可能途径。在运气好的情况下，专业人员或许能从设备内存中提取出恢复密钥。而一旦断电，内存就会被清空。

如果你不是技术型用户，也不认识能协助恢复数据的人，而加密仍在进行中，那就 正常关闭 NAS；如果设备没有响应，就 拔掉电源线。这样至少能保住尚未被加密的文件。

如果你是进阶用户，用网线把 NAS 直接连到一台隔离的电脑上，尝试通过 SSH 登录 NAS。查看正在运行的进程（sudo ps -ef），找到勒索软件进程，确定其 PID（进程 ID），在不终止进程的前提下暂停加密（sudo kill -STOP PID，其中 PID 为勒索软件进程的 ID）。然后确认所有进程线程都已停止（状态为 T），并按 C3RB3R / .L0CK3D 勒索软件救援指南的说明保存内存转储。如果无法阻止加密，就关闭 NAS 电源。

如果你 NAS 上的文件已被加密，且已将其断开局域网，可以保持通电，并按照 C3RB3R / .L0CK3D 勒索软件救援指南的说明，尝试保留内存内容并恢复数据。

STEP 03保存加密文件和勒索信

如果勒索软件已完成对 NAS 上文件的加密，且你已断开其互联网连接，尝试直接连接 NAS，把加密文件和攻击者的说明复制到一块空的移动硬盘上。安全研究人员未来可能会发布免费的 C3RB3R 解密器。

如果你在加密进行中关闭了 NAS，不要为了查看进程或复制文件而重新开机——加密在本地进行，设备重启后可能继续。这种情况下，请联系信誉良好的数据恢复专业人员，他们可以在不启动受感染 DSM 安装的前提下读取 NAS 硬盘。

如果你按前面的步骤断开了 NAS 的网络、在隔离环境中直连了设备并停止了勒索软件进程，那么你可以把需要抢救的未加密文件保存出来。最好把备份硬盘接到与 NAS 直连的那台电脑上，而不是插到 NAS 的 USB 口——这样可以降低勒索软件重新启动、连这块硬盘也一并加密的可能。

STEP 04在清除勒索软件之前，不要恢复文件，也不要接入存有备份的硬盘

不要把存有备份的外接硬盘接到受感染的 NAS 上，也不要开始把备份中的文件恢复到已被入侵的 NAS。勒索软件可能再次运行，并损坏接入的硬盘。

STEP 05攻击停止后，在 Snapshot Replication 中检查快照

如果你事先配置了 Snapshot Replication，且攻击者没有销毁快照，你可以从中恢复数据——但把数据恢复到已被入侵的 NAS 上没有意义。你需要一块独立的硬盘来存放这份备份。

首先，确认快照是否还在。恶意软件停止后，在运行中的 NAS 上从 DSM 主菜单打开 Snapshot Replication。选择共享文件夹，打开“快照”→“快照列表”，找到感染发生之前创建的快照，点击“浏览”查看其内容。你也可以在这里把快照中的数据复制到外部介质，而不必恢复到受感染的存储空间。使用 Snapshot Replication 的详细说明请见 Synology 官方指引。

STEP 06抹掉已被入侵的 NAS 并重装 DSM

在你把所有能保存的东西——包括已加密和未加密的数据以及日志——都保存好之后，再次使用之前请将 NAS 恢复出厂设置（“恢复出厂设置”→“擦除全部数据”）。

请注意，这会彻底清除网络存储上的所有数据、应用程序和设置。重置之前，请检查你已做好的备份，确认复制出来的完好文件可以正常打开、快照中所需的文件版本已经保存、已加密文件、勒索信、日志以及你获取的任何内存转储都存放在另一台存储设备上而不是 NAS 上。如果还缺什么，请保留原始硬盘或完整磁盘镜像，交给数据恢复专业人员处理。如果你能在一段时间内不用这台 NAS，也不必急着抹掉它：免费解密工具日后可能出现。

如果你只是把 NAS 当作堆放文件的地方，里面没有什么真正有价值、无法替代的东西，那就按上面的方式彻底抹掉存储，然后依照“在无互联网连接的情况下安装 DSM”的说明，从官方渠道重装 DSM。

不要从感染之后创建的备份中恢复设置：其中可能包含攻击者所做的改动。最好从头配置 NAS。

STEP 07检查可能已被攻陷的账号

重装 DSM 并不会让那些凭据可能存放于你设备上的服务所对应的被盗密码、会话或其他机密失效。想一想你的 NAS 上用过哪些服务、装过哪些附加套件，以及它们能访问什么。逐一处理这些服务：终止可疑会话、吊销受影响的密钥和令牌、修改密码、启用双因素认证。我们建议把所有凭据存放在密码管理器的加密保险库中。请在把存储重新接入网络之前完成这些操作。

STEP 08在重新接入网络之前，关闭不必要的远程访问

关闭 QuickConnect

该服务让你可以通过互联网连接 NAS。在 DSM 7 中关闭它：打开“控制面板”→“外部访问”→“QuickConnect”，取消勾选“启用 QuickConnect”，然后点击“应用”。在更早的版本中，“QuickConnect”区域直接位于“控制面板”内。

检查 NAS 是否通过路由器暴露在互联网上

你的路由器可能被配置为把来自互联网的入站连接直接转发给 NAS——这叫作端口转发。首先，找到 NAS 的局域网 IP 地址。在 DSM 中，可在“控制面板”→“网络”→“网络界面”下查看。

接下来，打开家用路由器的设置页面。通常是在浏览器中输入它的局域网地址；具体地址和登录凭据往往印在路由器的标签上，或显示在运营商的 App 里。

在路由器设置中，找到名为“端口转发”“转发”或“端口重定向”之类的区域。检查现有规则。如果“内部 IP”“本地 IP”“目标”或“设备”之类的字段中出现了你的 NAS IP 地址，请删除该规则。

同时检查 DMZ、“DMZ 主机”或“暴露主机”区域。如果那里列出了 NAS 的 IP 地址，请关闭该功能。

关闭通过 UPnP 自动开放端口

UPnP 允许应用程序和设备请求路由器自动为它们开放端口。如果你不需要 UPnP，请关闭它。

请注意，这是路由器全局设置，关闭它可能影响家庭网络中的其他设备。如果你想为这些设备保留 UPnP，至少应检查通过 UPnP 创建的规则，确认没有一条指向 NAS 的 IP 地址。如果有，请删除它们；如果你的路由器支持，还可禁止 NAS 自动开放端口。

其他检查项

如果你使用 IPv6，也要检查其规则：发往 NAS 的多余入站连接应当被阻断。另外，如果你配置过未使用的隧道、VPN 及其他远程访问服务，请一并关闭。完成这些改动后，请检查 NAS 是否仍可从外部网络访问，例如通过移动数据连接测试。

STEP 09持续关注免费解密器的进展

网络安全研究人员会定期发布用于文件恢复的免费解密器。请注意，某一款解密器可能需要很长时间才会出现，因此不要相信来历不明的“研究人员”或网站，声称能在新型勒索软件攻击后立刻恢复你的数据。

PART

自建 NAS 的用户该怎么做

DIY NAS

很多人使用第三方引导程序来运行 DiskStation Manager——这些来自 XPenology 项目的非官方工具，可以让人在并非为此设计的硬件上运行 Synology 的操作系统，比如普通 PC 或自组装服务器。常见的例子包括 Arc、RR（RedPill Recovery）和 M-Shell。

如果你以这种方式运行 DSM，C3RB3R 同样可能攻击你的系统。但不要急着更新 DSM：先确认新版本与你的引导程序和硬件兼容。否则，你的文件可能受损。

如果你暂时无法安装最新的系统版本，那就限制对网络存储的访问：关闭外部访问，并只允许需要访问的设备从局域网连接。如果条件允许，把 NAS 放到独立的网段。Kaspersky Plus 和 Kaspersky Premium 中的“智能家居监控”功能可为你的家庭网络提供额外防护——它会显示局域网中的所有设备，并在有陌生的新设备接入时发出提醒。

PART

如何保护 NAS 与个人数据

HARDENING

01不要拖延 NAS 的软件更新，并确认已开启自动更新。

02不要把 139 和 445 端口暴露在互联网上：它们是自动化攻击的常见目标。这两个端口用于让计算机打开 NAS 共享文件夹的协议。它在家庭网络中有用，但不应对整个互联网开放。你可以在路由器设置中检查这些端口是否开放。

03如果你需要远程访问 NAS——出差途中或从公司——与其把 NAS 直接暴露在互联网上，不如先建立到家庭网络的远程连接，再从该网络内部访问存储。

04不要把重要文件的唯一副本放在 NAS 上。配置定期的 Snapshot Replication 快照，并定期备份。记住 3-2-1 原则：数据保留三份副本，存放在两种不同的存储介质上，其中一份保存在与主存储分离、平时断开连接的硬盘上。

05你也可以把重要文档交给 Kaspersky Password Manager 保管。它可以把账号凭据、文本笔记、个人证件扫描件、照片、地址、银行卡信息和 PDF 文档存放在加密保险库中，由只有你知道的主密码保护。保险库会在你的所有设备间同步，因此你的数据既能得到保护，又可在电脑和手机上随时访问。

06使用可靠的防护方案，阻止勒索软件和其他恶意软件被下载到你的电脑上。

07保护好管理员账号。启用双因素认证，使用唯一密码，并设置多次登录失败后自动锁定，或改用通行密钥（passkey）。把密码、通行密钥和 2FA 令牌存放在加密的密码管理器中。这些措施无法让你免于当前的 C3RB3R 攻击——Cerber 利用的是无需认证的漏洞——但如果攻击者试图入侵你的账号，或在数据泄露中拿到了你的密码，它们会派上用场。