高危漏洞直攻底层 档案加密成 .L0CK3D
【立即断线⚠️】悲报 !! 大量 Synology NAS 一夜之间遭到勒索病毒攻陷，不少用户登入 DSM 查看 File Station 时，发现不论是共享资料夹内的企业核心研发文件、资料库映像档，抑或日常备份档，皆被加密为「.L0CK3D.」或「.L0CK3D」副档名；各层目录与系统根目录下亦被写入档名为 read-me3.txt（内含 C3RB3R INSTRUCTIONS 字样）的勒索信。HKEPC 唿吁所有 Synology NAS 用户立即断线「保平安」。
根据资安应急团队对多宗 DSM 受害现场的逆向溯源分析，此波大规模感染并非源自传统 Windows 电脑中毒后经由 SMB 共享协定连带波及，而是黑客针对暴露于公网的 Synology NAS 设备，利用 2 个 CVSS 10.0 分的远端程式码执行（RCE）高危漏洞展开全网自动化攻击。
◾Docker 容器满分漏洞潜伏 Crond 排程任务︰许多企业习惯在 NAS 的 Container Manager（Docker）中自行架设 GitLab 程式码库、Confluence 知识库或开源 Web 服务，并将连接埠映射至外部网络。GitLab 日前接连爆出未授权 RCE 漏洞（如 CVE-2026-110264、CVE-2026-97229）。黑客透过自动化脚本攻入未修补的容器后，藉由高权限容器挂载目录或宿主机逃逸缺陷，将恶意拉取脚本悄悄写入 Linux 底层的 crond 定时排程中静默潜伏。这也解释了为何部分网管即便刚升级容器，设备仍在排程引爆时遭到锁死。
◾Synology 原生套件「PHP2Shell」未授权漏洞（Synology-SA-26:14）︰官方日前发布代号为 Synology-SA-26:14 的安全性公告，证实波及全球的 PHP 核心 RCE 漏洞（CVE-2026-109618 与 CVE-2026-109619，俗称 PHP2Shell）直接影响旗下 MailStation、Synology Calendar 等原生套件。黑客无须取得任何帐号密码，即可由外部网络连接埠直捣未更新套件的 DSM 底层，植入加密负载。
目前已得悉，当该款勒索程式于 Linux 底层启动后，会从根目录 / 展开多线程巡检，遍歷所有挂载的储存空间（如 /volume1、/volume2）。凡是存放于同台机器可写入目录下的本机备份（包括未启用多版本锁定或异地隔离的 Hyper Backup 目录），均会被视为普通档案一併加密锁定。由于其底层採用高强度 RSA-4096 结合 AES / ChaCha20 演算法，在数学层面上绝不可能依靠一般算力暴力破解，坊间亦不存在所谓的「通用免费解密工具」。
如果你的 Synology NAS 目前还未被攻破，应立即依序执行以下防御步骤：
◾实体拔除网络线（立即断网）：立刻拔除 NAS 所有网络线，或由路由器端切断对外连接与内部网络 SMB 共享，防止黑客进一步操控，并阻断背景潜在的加密行程。
◾停用容器与排程，切勿异动档案：若仍能由内部网络直连登入管理介面，应迅速停止 Container Manager 中的所有容器，中止 Hyper Backup 与 Cloud Sync 等同步作业，避免受损档案同步覆盖云端备份。严禁在系统内删除任何档案，亦不得进行储存空间重组与资料整理。
如果不慎中招，必须完整保留勒索信与系统日志，切勿自行重新安装系统或初始化硬碟，应完整保留 read-me3.txt、SSH 登入纪录及容器运行日志，这些皆为后续判定加密步长、漏洞溯源及资安通报的核心鑑识证据，等待 Synology 官方公告及排解方法。
资料来源:
