⚠️群晖（Synology）NAS 被勒索病毒攻击，近两天集中爆发的情况并不少见——通常是 eCh0raix（Qlocker 变种）/ DeadBolt 类 勒索，攻击者利用弱密码、暴露在公网的 DSM 端口、未修补漏洞或旧版套件入侵，加密共享文件夹里的文件并留下勒索说明。下面分“应急解决”和“后期规避”两部分说清楚。
一、应急解决方案（按顺序执行）
1. 立即断网隔离
- 拔掉网线 / 关闭路由器上该 NAS 的端口转发，防止病毒继续加密或横向移动。
- 不要关机重启（可能中断可恢复的进程），先保持通电但断网。
2. 确认感染范围
- 登录 DSM（局域网内），检查哪些共享文件夹被加密（文件后缀被改、出现
README_FOR_DECRYPT.txt/!README!.txt等勒索说明）。 - 查看 控制面板 → 日志中心，找异常登录 IP、异常账户、异常套件安装记录。
- 检查是否有陌生账户、陌生计划任务、陌生 SSH 密钥。
3. 保留证据，不要盲目删除
- 被加密文件先原样保留（部分勒索有公开解密工具，或可等厂商/安全社区出解密方案）。
- 对勒索说明文件、异常日志截图存档。
4. 尝试恢复
- 快照恢复：如果开启了 Btrfs 快照（Snapshot Replication），优先从快照还原——这是最快最干净的恢复方式。注意：攻击者有时会先删快照，检查快照是否还在。
- Hyper Backup / 异地备份恢复：从离线或异地的备份还原。务必先确认备份未被感染（备份若一直在线挂载，也可能被加密）。
- RAID 不是备份：RAID 只能防硬盘故障，不能防勒索，别指望它。
- 若没有快照和备份，可关注 No More Ransom 项目、群晖官方安全公告，看是否有对应家族的解密工具；不要向攻击者付款（付款后解密成功率无保障，且助长犯罪）。
5. 彻底清理与重建
- 重置 DSM 管理员密码，启用两步验证。
- 卸载可疑套件，删除陌生账户和计划任务。
- 若系统已被深度植入，建议备份数据后重装 DSM（用 Synology Assistant 重新安装，保留数据分区但重置系统），必要时格式化系统分区。
- 更新 DSM 到最新版本，更新所有套件（尤其 Photo Station、File Station、Download Station 等历史高危套件）。
6. 加固公网暴露面
- 关闭路由器上的 5000/5001 等 DSM 端口转发。
- 远程访问改用 QuickConnect + 两步验证，或 Tailscale / ZeroTier / WireGuard VPN 组网，不要直接把 DSM 暴露在公网。
- 如必须开端口，启用 防火墙 + 自动封锁（Fail2Ban）+ 仅允许特定 IP。
二、后期如何规避（长期加固清单）
账户与认证
- 禁用默认
admin账户，使用强密码（16 位以上随机）。 - 所有管理员账户强制开启两步验证（2FA）。
- 最小权限原则：普通用户不给管理员权限，共享文件夹按需授权。
- 关闭不必要的服务：SSH、Telnet、rsync 等不用时关闭。
网络暴露面
- 不要把 DSM 直接暴露公网，远程访问优先 VPN / QuickConnect。
- 路由器上关闭 UPnP，避免 NAS 自动开端口。
- 启用 DSM 防火墙，默认拒绝，仅放行必要端口和来源 IP。
- 启用 自动封锁（控制面板 → 安全性 → 账户 → 自动封锁），设置多次失败登录即封 IP。
更新与漏洞管理
- DSM 设为自动更新或定期手动更新；套件同样及时更新。
- 关注群晖安全公告（Synology Security Advisory），高危漏洞第一时间打补丁。
- 卸载不用的套件（尤其老版 Photo Station、Download Station 等）。
备份策略（3-2-1 原则）
- 3 份数据、2 种介质、1 份异地/离线。
- 用 Hyper Backup 做异地备份，备份目标尽量离线或不可写（如外接硬盘拔下保存、异地 NAS、云存储带版本控制）。
- 开启 Btrfs 快照并设置保留策略，快照本身也要有异地副本。
- 定期做恢复演练——备份不验证等于没备份。
监控与告警
- 开启 DSM 日志和邮件/短信告警，关注异常登录、异常文件操作。
- 定期检查登录日志、已安装套件、计划任务。
- 可部署轻量安全工具做异常行为监控。
制度与习惯
- 不在 NAS 上存唯一副本的重要数据。
- 不随意安装来源不明的套件/第三方 spk。
- 定期做安全自查（账户、端口、套件、备份状态）。
一句话总结
应急：断网 → 查范围 → 留证据 → 快照/备份恢复 → 清系统 → 关公网端口；规避：不暴露公网 + 强密码 2FA + 及时打补丁 + 3-2-1 离线备份 + 快照 + 日志告警。