🛠️ 核心漏洞与修复时间线

这次攻击主要利用了群晖DSM系统中的已知安全漏洞，核心问题在于许多用户未能及时更新系统。

注意：尽管攻击主要针对旧版系统，但有用户报告称，运行最新版 DSM（如 7.4.1）的设备也有中招案例，这表明攻击者可能利用了其他未公开的漏洞（0day）、凭据泄露或错误配置。

🎯 什么情况下会中招？

综合多个安全事件分析，攻击成功通常不依赖单一的“系统有洞”，更多是暴露面 + 弱凭据的组合：

管理端口直接暴露公网：这是最核心的风险。如果将 DSM 的5000/5001 管理端口、SSH、WebDAV 等服务通过端口转发或 UPnP 直接映射到公网，攻击者的扫描机器人可以7×24小时发现并尝试入侵。

IPv6 直连：部分案例中，攻击者通过可直达的 IPv6 地址发起攻击，绕过了传统的NAT防护。

弱密码与凭据泄露：使用弱口令，或凭据在其他地方泄露后被用于撞库，是攻击者低成本入侵的常见方式。

备份措施不当：如果备份硬盘长期连接在NAS上且可写，勒索病毒在加密原始数据后，会一并加密或删除连接的备份，导致恢复希望破灭。

🏠 普通家庭用户的防护清单

群晖官方知识中心及安全机构给出了明确的防护建议，家庭用户应优先落实以下措施：

1. 收缩网络暴露面（最关键）

不要将 DSM 管理界面（5000/5001端口）直接暴露在公网。

如需远程访问，强烈建议使用 VPN连回家中的网络，再访问NAS。

在路由器上关闭 UPnP，并检查是否有多余的端口转发规则。

如果必须开放个别服务（如 WebDAV），应仅开启必需的端口，并强制使用加密传输。

2. 加固账户与访问认证

禁用默认的admin账户，为管理员创建一个自定义名称的强密码账户。

强制启用双重验证（2FA），即使密码泄露，攻击者也难以登录。

启用 DSM 内置的“自动封锁”和“账户保护”功能，自动阻断暴力破解尝试。

3. 系统与套件更新

保持 DSM 和所有套件为最新版本，并建议开启“自动安全更新”。

关注群晖安全公告，及时修补已知漏洞。

4. 建立不可攻破的备份（最后防线）

遵循3-2-1 备份原则：至少3份数据，存储在2种不同介质上，其中1份放在离线或异地位置。

备份必须是离线的（用完即拔）或不可变（Immutable）的，确保勒索病毒无法篡改或删除备份。这是 Synology 官方反复强调的核心原则。

💰 支付赎金的风险：为什么绝对不要付

执法机构和安全专家的一致建议是：不要支付赎金。

不保证恢复：付款并不保证你能拿回数据。攻击者可能根本不提供解密工具，或工具本身有缺陷，导致数据永久损坏。

助长犯罪与二次 targeting：支付赎金会直接资助犯罪产业链，并让你成为“愿意付款”的标记，极有可能再次成为攻击目标。

正确的做法：如果中招，应立即断开NAS的网络连接，保留现场（勒索信、日志），并联系专业的安全应急响应人员、检查快照 备份 的完整性和可恢复性，而不是向攻击者妥协。

阅读原文：点击这里​