admin
當備份設備本身成為攻擊目標
群暉NAS勒索攻擊警訊
你的照片與備份，還能打開嗎？
以上為新聞概念圖，不代表真實NAS目前健康狀態、實際檔案清單或攻擊者操作畫面。
群暉NAS爆勒索攻擊警訊！C3RB3R加密照片與備份、DSM兩項9.8分漏洞受關注，Synology更新版本與救援步驟一次看
群暉科技（Synology）10月29日確認，攻擊者正在利用2024年12月前後已修補的舊版DSM漏洞，對未更新的NAS設備發動勒索攻擊。360安全研究團隊另外報告，自10月初起觀察到多起C3RB3R勒索案例，部分加密檔案出現.L0CK3D副檔名及read-me3.txt勒索信。研究者將部分案件連結至2026年9月修補的CVE-2026-13639、CVE-2026-13684，但群暉原廠10月29日新聞指向的是不同安全公告，不能將所有案件視為同一攻擊鏈。本文整理版本對照、更新方式、入侵風險、企業安全稽核及NAS已遭加密時的隔離與資料復原原則。
兩種設備狀態不能套用同一套處理順序。
檢查DSM版本、可對外接觸的服務、套件、帳號權限與安全更新設定。從可信環境備份重要資料並測試還原。更新無法取代獨立備份。
本工具只呈現一般處置原則，不會連線到你的NAS、掃描漏洞或診斷感染狀態。
10月29日群暉發布什麼警告？舊版DSM正在遭受勒索攻擊
Synology於2026年10月29日發布官方新聞，確認攻擊者正在利用一項於2024年12月前後已修補的DSM漏洞，針對仍執行有弱點舊版系統的NAS發動勒索攻擊，企圖將資料加密並索取贖金。
原廠呼籲受影響版本的管理者立即更新，並建議設定自動安裝重要更新。官方新聞直接指向Synology-SA-24:20安全公告。
這不是單純新發現一個尚未被利用的漏洞，而是原廠已經警告有實際勒索行動發生。但官方並未發布全球受害NAS總數，也沒有宣布所有Synology雲端帳號、QuickConnect或整個品牌的裝置全部遭到入侵。
2026年10月29日原廠正式確認。
仍須依DSM分支和實際機型檢查。
原廠新聞並未如此宣布，也沒有完整攻擊鏈歸因。
這是Synology雲端全面遭駭嗎？
目前沒有資料支持這項推論。本次警告與DSM漏洞及NAS設備管理有關。個別設備的風險取決於系統版本、是否可被攻擊者接觸、開放的服務、存取權限與是否已有異常跡象。
C3RB3R是什麼？照片被改成.L0CK3D代表什麼？
360安全研究團隊10月29日公布，自10月初起處理多起群暉NAS受勒索攻擊案例，將部分樣本識別為與Cerber家族相關的C3RB3R。研究報告指出，部分受害檔案被加上.L0CK3D副檔名，資料夾內出現read-me3.txt勒索說明檔。
read-me3.txt應保留作為證據，勿依陌生連結付款這些檔名是研究者在特定樣本中觀察到的特徵，並非所有Synology勒索事件都會出現同一種副檔名。即使沒有看到上述檔案，也不代表裝置一定安全。
資料被加密，等於個資已遭公開嗎？
不是。加密影響的是資料可用性；資料是否先被複製、傳出或公開，則是另一個調查問題。部分勒索集團可能實施雙重勒索，但不能只根據檔案無法開啟，就認定所有企業機密已被公開。
把.L0CK3D改回.jpg能救回照片嗎？
不能。勒索軟體可能已改寫檔案實際內容，改名不會自動解密。應保留原始檔案與勒索信樣本，避免隨意操作造成鑑識與復原困難。
群暉與360為何指向不同漏洞？不能把兩份安全公告混成一條攻擊鏈
這次資安新聞最需要精確處理的，是原廠警告與第三方研究之間的差異。Synology 10月29日新聞直接指向2024年公告SA-24:20；360研究者則將其觀察到的部分C3RB3R案例歸因於2026年9月修補的CVE-2026-13639及CVE-2026-13684。
原廠10/29警告所指公告，包含CVE-2024-10441等不同漏洞。
原廠直接確認：舊漏洞遭利用研究者把部分C3RB3R案件與兩項9.8分漏洞連結。
研究歸因：尚未成為原廠的統一鑑識結論| 比較項目 | SA-24:20 | SA-26:13 |
|---|---|---|
| 首次發布 | 2024/11/05 | 2026/09/18 |
| 相關CVE | CVE-2024-10441 | CVE-2026-13639、13684 |
| CVSS | 10441為9.8 | 兩項均為9.8 |
| 主要能力 | 特定版本遠端任意程式碼執行 | 遠端任意檔案讀寫、DoS |
| 此次事件關聯 | Synology正式新聞直接指向 | 360對部分樣本的研究歸因 |
| 原廠修補 | 已提供 | 已提供 |
CVE-2024-10441是什麼？
這是SA-24:20內一項CVSS 9.8分漏洞，Synology公告描述特定版本的系統外掛守護程式存在輸出編碼問題，可讓遠端攻擊者在特定條件下執行任意程式碼。必須強調：原廠10月29日新聞指向整份公告，沒有在該則新聞中逐案確認本次所有攻擊都使用10441。
2026年兩項9.8分漏洞有什麼差別？
CVE-2026-13639與DSM登入邏輯亂數熵不足有關；CVE-2026-13684則涉及SCGI元件輸出編碼或跳脫不當。原廠公告指出可能造成遠端任意檔案讀寫或阻斷服務，但公開漏洞能力不等於已經證明每起勒索事件的實際進入方式。
DSM到底要更新到哪一版？7.4、7.3、7.2與舊版不能看同一個版本號
官方提供的修補版本會因DSM分支及實際NAS機型不同而變動。以下兩份公告列的是各自對應的修補門檻，並非所有群暉設備目前的最新版本。
| DSM分支 | SA-24:20修補版本 | SA-26:13修補版本 |
|---|---|---|
| 7.4 | 公告未列 | 7.4-90075 |
| 7.3 | 公告未列 | 7.3.2-86009-4 |
| 7.2.2 | 7.2.2-72806-1 | 7.2.2-72806-9 |
| 7.2.1 | 7.2.1-69057-6 | 7.2.1-69057-12 |
| 7.2 | 7.2-64570-4 | 公告未列 |
| 7.1 | 7.1.1-42962-7 | 公告未列 |
| 6.2 | 6.2.4-25556-8 | 公告未列 |
只達到 -1 不代表修復了2026年9月公告的漏洞。
此工具只顯示公告內容，不會偵測裝置、查詢是否被駭或保證支援特定版本。請以原廠更新中心及裝置型號的可安裝更新為準。
DSM 7.2.2-72806-1已修補，為什麼還要更新？
因為它符合2024年SA-24:20的門檻，卻未達2026年SA-26:13所列的7.2.2-72806-9。修補某一份公告，不代表日後的新漏洞也已完成更新。
DSM 6.2沒有列在2026年公告，是不是安全？
不是。未列於單一公告不能當成安全保證。應確認設備的維護支援狀態、其他歷史漏洞及升級可能性；若不再適合公開連線，應優先隔離並規劃換機。
尚未發現NAS遭加密，如何檢查DSM有沒有更新？六步驟完成
如果沒有出現加密、勒索信或異常大量檔案修改，應先確認設備健康與備份狀況，再依原廠流程更新。不要從陌生訊息下載韌體。
- 01使用可信任的DSM管理入口
優先從已確認的內網位址或既有正式管理方式登入。
- 02開啟控制台的「更新與還原」
確認DSM版本與可用的正式修補。
- 03先檢查重要備份
確認有獨立備份及可還原版本，避免把更新當成唯一保護。
- 04安裝適用的最新DSM安全更新
核對設備型號與原廠下載資訊；必要時按維運程序安排停機。
- 05檢查套件及重要更新設定
更新仍使用的套件，開啟重要安全更新自動安裝。
- 06更新後測試實際服務
核對共享資料夾、備份、快照、登入、同步及必要的遠端存取。
Synology官方說明，更新依機型及配置提供，雖然一般更新不影響資料，仍建議更新前備份。更新不可回復到舊版，故不應跳過相容性檢查。
更新完成就一定不會遭勒索嗎？
不能保證。更新主要處理已知漏洞；遭竊密碼、權限過大的共享資料夾、受感染電腦或其他公開服務仍可能形成風險。應搭配多因素驗證、最小權限與隔離備份。
NAS沒有直接連上公網就安全嗎？勒索風險也可能從公司電腦進入
沒有直接公開DSM管理介面的NAS，確實可降低一部分外部攻擊面，但不能因此推定資料必然安全。如果一部Windows電腦受到勒索軟體感染，又具有NAS共享資料夾寫入權限，惡意程式仍可能修改NAS上的檔案。
| 情境 | 可能入口 | 應做的防護 |
|---|---|---|
| 直接攻擊NAS | DSM或其他對外可接觸服務 | 更新、限制來源、關閉不必要服務 |
| 透過受感染電腦 | 已有寫入權限的共享資料夾 | 端點保護、最小權限、獨立備份 |
QuickConnect需要全部關閉嗎？
不能把QuickConnect直接當成本次攻擊唯一入口。若有遠端服務需求，應先檢查帳號、2FA、授權範圍與可存取服務。不必要的公開入口則應停用，降低攻擊面。
關閉5000、5001連接埠就足夠嗎？
不夠。其他管理服務、路由器轉址、受感染端點、VPN憑證與共享資料夾權限，仍可能產生其他風險。變更預設埠本身也不能取代更新。
NAS已經被加密怎麼辦？先隔離與保全，不要立刻重灌DSM
如果發現資料大量無法開啟、出現陌生加密副檔名、勒索信、異常大量檔案修改或未知登入行為，處理順序與一般更新不同。首要任務是阻止損害擴大並保護可復原資產。
- 01立即隔離受影響設備
在安全前提下切斷受害NAS與外部及可能遭波及的內部網路連線，避免繼續傳播或加密。
- 02保存原始證據
保留勒索信、加密樣本、事件時間、日誌與設備狀態；重要案件尋求專業鑑識。
- 03檢查同步電腦與其他NAS
確認共享資料夾、備援設備、雲端同步及受感染端點是否仍持續傳播。
- 04保護乾淨備份
暫停可能覆寫正常版本的同步作業，保留不可變、離線或獨立備份。
- 05從可信設備處理帳號及憑證
依應變計畫檢查管理員、服務帳號和可能外洩的權限。
- 06確認入口後，安排乾淨環境復原
驗證可用備份、重建安全環境、修補漏洞、還原資料並檢查業務服務。
能不能立即重新安裝DSM？
不建議在未確認事故範圍與證據需求前直接執行。初始化可能破壞日誌、系統狀態或資料救援線索，也不等於攻擊者已失去其他帳戶或設備的權限。
付贖金是否保證拿回照片？
不能保證。犯罪者可能不提供有效的解密工具，也不能因已支付就確定其刪除任何竊取資料。企業還需依自身情況評估法規、個資通報、保險及事件應變義務。
NAS有RAID就不用怕嗎？RAID、快照與備份不是同一種保護
RAID或SHR主要用於改善特定磁碟故障情況下的可用性，不能取代勒索防護。若攻擊者能對共享檔案寫入，惡意修改同樣可能被RAID儲存。
| 保護方式 | 主要目的 | 勒索情境限制 |
|---|---|---|
| RAID／SHR | 磁碟容錯與系統可用性 | 不能阻止合法權限下的惡意加密 |
| Snapshot快照 | 保留歷史時間點 | 是否能抵抗刪除取決於權限與不可變設定 |
| Hyper Backup | 保留多版本與還原能力 | 必須保護備份端與憑證 |
| 異地／離線備份 | 降低同一事故的同時損毀 | 仍需定期檢驗還原 |
| 不可變備份 | 限制保護期間內的變更與刪除 | 需正確設定保護範圍及期間 |
至少三份資料、兩種儲存方式、其中一份位於不同位置。對勒索風險較高的環境，再強化離線、不可變版本及實際復原測試。
Snapshot快照一定不會被刪除嗎？
不是。取決於檔案系統、快照保護功能與攻擊者取得的權限。快照和獨立備份應一起使用，而不是二選一。
NAS本來就是備份機，還需要替NAS再備份嗎？
需要評估。如果唯一一份企業資料只存在同一部NAS，設備遭勒索、遭竊、火災或其他故障時仍可能失去復原能力。重要備份也要有獨立保護層。
公司、工作室與多站維運團隊，NAS安全應盤點哪些風險？
企業NAS可能保存客戶文件、網站備份、設計圖、影片、程式碼、財務檔案與備援資料。這些資料一旦被加密，影響可能不只是單一電腦故障，而是多部門營運中斷。
勾選只保留在目前頁面，不傳送設備型號、帳號或其他資訊。
Security Advisor能取代正式資安稽核嗎？
不能完全取代，但建議使用。DSM的Security Advisor可檢查部分系統設定、套件更新、帳號及安全風險。沒有顯示警告，不代表已完成完整的事件鑑識或不存在其他威脅。
多站維運還要額外留意什麼？
尤其應確認網站資料備份、客戶原始素材、程式碼及還原憑證是否共用同一組高權限帳號。若攻擊者取得可同時刪除正式資料和備份的權限，多站資料可能同步暴露於風險。
這次群暉NAS事件真正的警訊：漏洞已修補，不代表設備已更新
Synology-SA-24:20在2024年已公布，Synology-SA-26:13也於2026年9月發布更新。然而，並非所有裝置都會即時安裝修補。長期運作的NAS常因相容性顧慮、無固定維運人員或擔心停機，而持續使用舊版系統。
攻擊者未必需要全新的零時差漏洞，就可能對仍暴露於網路、尚未修補的設備發動攻擊。這也是原廠10月29日警告值得重視的原因。
不過，漏洞存在與個案攻擊歸因必須分開。原廠確認舊版DSM遭利用；360研究者將部分C3RB3R樣本歸因另一組2026年CVE。缺乏完整鑑識資料時，不能假定每一部遭加密NAS都走同一條入侵路徑。
一部NAS儲存多少TB不是最終衡量標準；事故發生後，重要資料能否安全復原才是關鍵。
FAQ｜群暉NAS勒索病毒、C3RB3R、DSM更新與資料救援12大問題
Q012026年10月群暉NAS真的遭到勒索攻擊嗎？+
是。Synology於10月29日正式確認，攻擊者正利用已修補的舊版DSM漏洞對未更新設備發動勒索攻擊。
Q02所有Synology NAS都會受到影響嗎？+
不是。風險取決於設備型號、DSM版本、網路可接觸性及其他安全條件，不能將全部設備視為已遭入侵。
Q03C3RB3R勒索病毒是什麼？+
是資安研究人員觀察到與Cerber家族有關的勒索軟體，部分案件中檔案會被加密並留下勒索訊息。
Q04.L0CK3D代表什麼？+
部分C3RB3R樣本會在加密檔案後附加這個副檔名；但沒有出現它，不代表設備一定安全。
Q05read-me3.txt是什麼？+
部分受害設備中發現的勒索說明檔，應保留作為調查證據，不應依其中連結直接付款。
Q06Synology原廠確認本次使用CVE-2026-13639了嗎？+
沒有。10月29日原廠新聞指向SA-24:20；2026年兩項CVE的事件歸因主要來自其他安全研究者。
Q07CVE-2026-13639和CVE-2026-13684有多嚴重？+
兩項漏洞均為CVSS v3.1 9.8分，原廠公告描述可能造成遠端任意檔案讀寫或阻斷服務。
Q08DSM 7.2.2應更新到哪一版？+
針對SA-26:13，最低修補門檻為7.2.2-72806-9；應依設備型號安裝最新適用的官方版本。
Q09NAS沒有對外開放網路，就不會被加密嗎？+
不一定。已遭感染的內部電腦若對NAS共享資料夾具有寫入權限，仍可能造成資料被修改或加密。
Q10NAS有RAID就不用備份嗎？+
不行。RAID主要處理部分磁碟故障，不能取代獨立備份、快照與資料還原測試。
Q11NAS檔案已被加密，應先更新DSM嗎？+
應先隔離受影響設備、保全證據及保護其他備份，再由應變人員安排修補、重建與資料復原；不應貿然初始化磁碟。
Q12支付勒索贖金就一定可以救回資料嗎？+
不能保證。犯罪者可能不提供有效解密工具，也無法確保已竊取的資料被刪除。
結論：先確認NAS是否已遭加密，再決定更新或啟動事件應變
Synology於2026年10月29日確認，攻擊者正利用已修補的舊版DSM漏洞對未更新裝置發動勒索攻擊。360研究者另外公布C3RB3R樣本及不同漏洞歸因，但原廠與研究者的證據來源不同，不能直接混為所有案件的單一結論。
未出現入侵跡象的NAS應儘速確認備份與最新安全更新，減少不必要的公開服務；已出現加密跡象的NAS則應立即隔離、保留證據並保護乾淨備份，之後再安排安全復原。
不能以「更新」取代事故鑑識，也不能以「RAID」取代獨立備份。
新聞來源與事實查核
確認原廠警告及其直接指向的2024年安全公告。
核對CVE-2024-10441與各DSM分支對應版本。
核對CVE-2026-13639、13684及安全更新門檻。
研究者報告C3RB3R樣本、加密副檔名與事件歸因。
交叉確認2026年9月重大漏洞與修補建議。
核對更新方式、機型相容性及更新前備份建議。
帳號權限、安全設定與日常維運參考。
Synology已確認舊版DSM遭勒索攻擊，但尚未提供全部受害裝置統計及所有個案的鑑識歸因。DSM修補門檻以原廠兩份安全公告為準，實際可安裝版本仍依裝置型號與支援狀態確認。
