一场名为 C3RB3R 的勒索软件行动正在针对 Synology 网络附加存储（NAS）设备，其模式并不陌生：运行过时操作系统软件的设备正是文件被加密的那些。如果你在 Synology 设备上保存家庭照片、商业文档或备份，C3RB3R Synology NAS 勒索软件防护归结为一份你可以从今天就开始养成的简短习惯清单。

本文将介绍该攻击的工作原理、如何区分真实事件与虚张声势，以及该如何应对。

C3RB3R 对 Synology NAS 的攻击如何运作

根据卡巴斯基的报道，C3RB3R 勒索软件攻击运行过时操作系统的 Synology NAS 设备，并加密存储在其上的文件。一些社区和安全文章将同一活动称为 LOCK3D 或 L0CK3D，因此你在研究时可能会看到多种拼写。

NAS 成为有吸引力的目标原因很简单：它是人们集中存放数据的地方。文档、照片、共享项目文件夹，通常还有备份，全都集中在一个地方，而且该设备经常可从互联网访问以进行远程访问。当该设备上的软件在更新方面落后时，攻击者就有更大的操作空间。

压力并不止于加密。如果受害者拒绝付款，犯罪分子威胁要公开窃取的数据。他们可能通过电子邮件或社交媒体联系受害者并提出这些要求。

真实加密还是勒索骗局：如何辨别

并非每一条威胁信息都意味着你已被黑客入侵。卡巴斯基指出，此类威胁往往不过是骗局，它在其关于骗子如何利用电子邮件进行敲诈和勒索的帖子中单独讨论过这一模式。声称掌握你数据的大规模群发勒索很常见，其中许多是发送给成千上万人的虚张声势，并无实际访问权限。

NAS 本身是最好的证据。几个实用的检查方法：

  • 查看你的文件。 如果文档无法访问、被重命名，或设备上附有勒索信，你很可能面对的是真实的加密事件。如果一切都能正常打开，仅凭一封电子邮件很可能只是空洞的威胁。
  • 检查设备，而非信息。 直接登录 DSM 界面（不要通过电子邮件中的链接），查看系统上正在发生什么。
  • 诚实地面对风险。 卡巴斯基明确指出，如果你的 NAS 确实已被加密，你不能排除数据被盗的可能性。应将真实的加密事件视为潜在的数据泄露，而不仅仅是可用性问题。

这一区分很重要，因为正确的应对方式不同。虚张声势需要的是忽略并举报该信息。真正的感染需要的是遏制和恢复。

如果你的 NAS 被加密了该怎么办

如果你设备上的文件确实被锁定了，请冷静并按顺序行动。

  1. 断开 NAS 与网络的连接。 这有助于阻止进一步损害，并切断攻击者可能仍拥有的任何远程访问。
  2. 不要依赖犯罪分子的承诺。 付款并不能保证你的文件会回来，也不能撤销已经发生的任何盗窃。
  3. 假设数据可能已被复制。 想一想那里存储了什么：个人文档、客户信息、凭据。更改那些详细信息可能保存在该设备上的账户的密码，并考虑如果数据属于客户或同事，可能需要通知谁。
  4. 从干净的备份恢复。 这正是离线或独立备份体现价值之处。在重新连接任何内容之前，更新 NAS 软件，以免恢复到同一弱点上。
  5. 如果数据对业务至关重要，请寻求专业帮助。 事件响应人员可以帮助确定哪些内容被访问了。

NAS 加固清单：更新、暴露的服务、备份、访问控制

Synology 自身的指导（如审查此次行动的资料所反映的那样）指向一套一致的修复措施。这些都不需要特殊专业知识。

更新一切。 更新 DSM（NAS 的操作系统）以及已安装的套件。Synology 已敦促运行易受攻击版本的用户立即更新。尽可能启用自动更新，即便如此也要偶尔检查设备。

关闭你不需要的东西。 只开放你实际使用的服务。每一个暴露的端口或远程访问功能都是别人可以尝试的一扇门。如果你不需要从家庭或办公室外部访问 NAS，请关闭对其的直接互联网访问。

锁定登录。 确保已启用自动封锁、账户保护和多因素认证。为管理员账户使用唯一且长的密码，避免保留默认或共享凭据。

运行内置检查。 Synology Security Advisor 可以定期扫描设备以查找漏洞和薄弱设置。只需几分钟，就能发现随时间积累的那种偏差。

保留勒索软件无法触及的备份。 位于同一 NAS 上、或位于 NAS 始终可写入的共享上的备份，可能会与其他所有内容一起被加密。至少保留一份离线或以其他方式分离的副本，并测试你能否从中恢复。

这对你意味着什么

如果你拥有一台 Synology NAS，关键问题是它是否为最新版本以及它的暴露程度如何。过时的软件加上面向互联网的访问，正是此次行动所围绕的组合。如果你不使用 NAS 但收到一封声称有人掌握你文件的电子邮件，请记住此类信息往往是骗局，第一步是核实是否真的发生了任何事情。

对于小型办公室，NAS 通常保存着他人的数据，如果盗窃可能发生，这会提高风险。更新和限制访问比任何恢复都更便宜。

可操作的要点

  • 今天更新 DSM 和所有已安装的套件，并开启自动更新。
  • 关闭你不使用的远程访问端口和服务。
  • 启用自动封锁、账户保护和多因素认证。
  • 运行 Synology Security Advisor 并修复它标记的问题。
  • 保留离线备份并测试恢复。
  • 如果收到勒索信息，先检查你的文件再作出反应。

现在审计你的设置是你所能实施的最有效的 C3RB3R Synology NAS 勒索软件防护，而且它花费的时间远少于从攻击中恢复。