有报告称 L0CK3D 勒索软件正在加密群晖 NAS 设备，受害者注意到其文件扩展名遭到篡改。源文章是来自 SheMo Noranransom 博客的一篇指南，将该活动描述为大规模行动，并提供了应急响应建议。我们所能获取的摘录很短，因此本文不会断言攻击者如何入侵、有多少设备受到影响或赎金要求是什么等具体细节。我们能做的，是围绕所描述的症状和标准事件响应实践，列出的一份合理的群晖 NAS L0CK3D 勒索软件恢复清单。

如何判断 L0CK3D 是否已入侵你的群晖 NAS

据报告的主要症状是文件扩展名被更改。以前能正常打开的文档、照片和备份现在带有陌生的后缀，无法在其常用应用中打开。NAS 上与勒索软件相关的其他常见迹象包括：

  • 文件突然无法从 File Station 或映射驱动器预览或打开
  • 共享文件夹中出现新的文本或 HTML 便条
  • 磁盘或 CPU 活动异常高且无法解释
  • 共享在 NAS 上看起来正常，但从你的电脑上访问却损坏，或反之

在假设最坏情况之前，先排除简单原因，例如硬盘故障、权限更改或同步客户端出错。如果多个共享文件夹同时出现被更改的扩展名，在证明并非如此之前，应将其视为感染。

第一步：隔离设备并检查暴露面

速度很重要，但不让情况变得更糟同样重要。冷静的操作顺序会有帮助。

1. 断开 NAS 与网络的连接。 拔掉以太网线，如适用则禁用 Wi-Fi。这能阻止已连接共享的进一步加密，并切断任何远程访问。如有可能，避免强行断电；干净关机可能保留有用的日志，不过你的首要任务是阻止扩散。

2. 检查你的其他设备。 如果某台 PC 或笔记本电脑将 NAS 挂载为驱动器，那台机器可能是感染源，也可能是下一个目标。在重新连接任何设备之前，先将其断开并扫描。

3. 记录你所看到的情况。 拍摄屏幕照片，记下文件扩展名，并保存任何勒索便条。这有助于后续分析、保险索赔或向当局报告。

4. 审查设备的暴露方式。 问问自己，NAS 是否通过端口转发、远程访问功能或 Web 管理面板可从互联网访问。考虑你是否运行了过时的 DSM 固件，管理员账户是否使用了弱密码或重复使用的密码，以及默认账户或不必要的服务是否仍然处于活动状态。源材料未说明入侵方法，因此你应假设其中任何一项都可能相关，并逐一检查。

5. 更改凭据。 从一台干净的设备上，重置 NAS 管理员账户、任何共享账户，以及存储在 NAS 上或可从 NAS 访问的其他所有内容的密码。

恢复选项以及为何支付赎金是糟糕的赌注

最干净的恢复方式是从攻击者无法触及的备份中恢复。检查你是否在已断开连接的外部驱动器、另一台 NAS 或带有版本历史的云备份中有副本。在恢复之前，用更新的固件擦除并重建 NAS，以免将数据恢复到已被入侵的系统中。如果你的备份也在同一设备或挂载的共享上，它们可能也已被加密，这就是备份设计至关重要的原因。我们关于为什么不可变备份仍会遭勒索软件攻击的文章解释了即使是善意的设置也会在哪里出问题。

如果你没有干净的备份，你的选择就很有限：

  • 寻找快照。 如果启用了 Btrfs 快照且未被删除，你可能能够回滚。在对卷做任何其他操作之前先检查这一点。
  • 检查是否有公开的解密工具。 针对特定勒索软件家族的免费工具有时会出现。在运行任何工具之前，从可靠来源验证它，并在数据的副本上操作。
  • 考虑专业帮助。 信誉良好的事件响应或数据恢复公司可以评估恢复是否可行。

至于支付赎金，那是糟糕的赌注。你无法保证能获得可用的解密工具，而且支付会让你成为心甘情愿的目标。在我们关于64% 的勒索软件受害者现在拒绝支付的报道中引用的研究表明，拒绝支付正日益成为常态。关于犯罪团伙如何适应的更广泛视角，请参阅 Group-IB 对勒索软件不断演变的商业模式的观察。

加固你的 NAS，使其下次无法被触及

大多数 NAS 被入侵都可归结为暴露和疏忽。几项更改就能关上许多常见的门：

  • 将其从公共互联网上撤下。 移除端口转发，并禁用你并不真正需要的任何远程访问功能。如果你需要远程访问，请使用 VPN 接入你的家庭或办公网络，而不是直接暴露 NAS。
  • 保持 DSM 和套件更新。 在可行的情况下启用自动安全更新，并移除不再使用的应用。
  • 锁定账户。 禁用默认管理员账户，使用长且唯一的密码，并开启双重认证。
  • 使用内置的安全顾问。 它可以标记弱密码和有风险的设置。
  • 启用自动封锁并按 IP 限制访问，如果这适合你的设置。
  • 开启快照并保持合理的时间表。
  • 遵循 3-2-1 方法。 保留三份数据副本，存储在两种介质上，其中一份离线或以其他方式无法触及。

这对你意味着什么

如果你在家里或小型企业运行群晖 NAS，请将这些报告视为检查你设置的提醒，而不是恐慌的理由。我们所掌握的源材料中关于 L0CK3D 行动的细节很少，因此避免根据有关特定漏洞的传言采取行动。专注于你能控制的事情：你的 NAS 是否暴露、是否已打补丁，以及你是否有攻击者无法触及的备份。如果你已经受到影响，先隔离设备，然后在不向犯罪分子支付钱款的情况下逐步完成恢复。

要点

如果你在攻击发生前做好准备，群晖 NAS L0CK3D 勒索软件恢复会容易得多。今天，登录你的 NAS，查看暴露在互联网上的内容，确认你的固件是最新的，并测试你确实能从备份中恢复文件。然后阅读关于不可变备份和受害者拒绝支付的趋势的内容，以制定一个你不必在压力下临时拼凑的计划。