群晖 Synology NAS 被勒索病毒加密

群晖在国内中小企业和设计、影视、医疗影像类团队里使用极广，往往同时承担文件共享、虚拟机存储、监控录像、备份目标四种角色。一台 NAS 被加密，可能意味着生产数据和备份数据在同一时刻失效。

要先分清两种形态，因为它们的风险和处置完全不同：

形态一：内网 SMB 扩散。 最常见。一台中招的 Windows 终端或服务器挂载了 NAS 共享，加密器沿着写权限把共享目录里的文件逐个加密。NAS 系统本身没有被入侵，DSM、快照、Hyper Backup 配置通常完好——这种情况下 Btrfs 快照往往能直接救回数据，是最好处理的一类。

形态二：NAS 自身被攻破。 通常发生在 DSM 管理界面或 SSH 暴露公网、账号口令薄弱的环境。群晖官方曾在 2021 年 8 月公开说明，其设备遭到以 StealthWorker 恶意软件为主的僵尸网络大规模暴力破解，攻击者猜中管理凭据后会植入恶意载荷，其中可能包含勒索软件；官方同时说明该轮攻击没有迹象表明利用了软件漏洞。此外历史上还有针对 NAS 的家族（如 eCh0raix）同时波及群晖与威联通设备。攻击者拿到管理员权限后，会先删快照、停备份任务，再加密，恢复难度显著上升。

需要澄清一个常见误解：公开资料显示 DeadBolt 勒索软件主要针对 QNAP、ASUSTOR 与 TerraMaster 设备，并未见针对群晖的规模性事件；如果你的群晖出现了 DeadBolt 式的「登录页被劫持」现象，更需要仔细核实设备型号与家族归属，不要按错误的家族去找解密工具。

常见误操作：

• 重置 NAS、重建存储池、重新初始化磁盘。 一次操作抹掉全部恢复可能，是这个场景最致命的错误。
• 拔盘换序、重建 RAID、在 PC 上用数据恢复软件直接扫描群晖硬盘并写入。 群晖使用 Linux mdadm + LVM + Btrfs/ext4 的组合，随意操作会破坏阵列元数据。
• 删除加密文件或清空回收站腾空间。
• 在未清源的情况下恢复共享并让终端重新连上。
• 升级 DSM 或更新套件来「修复」。 会产生大量写入，也可能覆盖证据。

我们不建议支付赎金，也不提供代谈判服务。

• DSM 管理界面不要暴露公网。 取消路由器上的端口转发与 UPnP 自动开放，远程访问用 VPN；确需外网访问时至少改默认端口、启用 HTTPS、限制来源并开启自动封锁。
• 账号治理是第一道门。 禁用默认 admin 账号、所有管理员使用强口令并开启两步验证，启用账号保护与自适应 MFA；定期检查用户列表与登录日志。群晖官方曾公开说明其设备遭遇过以猜测管理凭据为手段的大规模僵尸网络暴力破解。
• 开启快照，并优先使用不可变快照。 Btrfs 卷上配置 Snapshot Replication，按业务定保留策略；DSM 7.2 起启用不可变快照（WORM 保留），让攻陷管理员账号也无法删除快照；重要归档目录可考虑 WriteOnce 共享文件夹。
• Hyper Backup 目标要放在 NAS 之外。 备份到另一台群晖（异地更好）、外接硬盘（备份后断开）或云端，并保留多版本；不要把备份写在同一台 NAS 的另一个共享里。
• 共享权限最小化。 按部门和项目分配，归档目录只给读权限；把「所有人可写」的大共享拆小，直接缩小一次加密的覆盖面。
• 关闭不需要的服务。 SSH、Telnet、FTP、AFP 等按需开启；QuickConnect 与外部访问功能不用就关。
• 保持 DSM 与套件更新，并开启安全顾问（Security Advisor）定期扫描配置与弱口令。
• 内网终端同样要管。 群晖被加密多数源于内网一台中招的 Windows 主机，终端 EDR、补丁与最小权限同样是 NAS 的防线。