NetSafe.TW

recent posts

about

群暉 NAS 遭 C3RB3R 勒索軟體攻擊：舊版 DSM 成目標，檔案被改成 .L0CK3D，快更新並關掉對外連接埠

台灣 NAS 大廠群暉（Synology）10 月 29 日發出聲明，證實有攻擊者利用 2024 年 12 月前就已修補的漏洞，鎖定仍執行舊版 DiskStation Manager（DSM）作業系統的 NAS，加密裡面的資料並勒索贖金。受害設備上的檔案會被加上 .L0CK3D 副檔名（中間是數字 0，不是字母 O），各資料夾也會出現名為 read-me3.txt 的勒索信。台灣教育機構資安通報平台（ANA）、澳門司法警察局已相繼發出預警。

新聞重點

  • 群暉官方說法：攻擊利用的是 2024 年底已修補的漏洞，請用戶參考安全公告 Synology-SA-24:20，立即更新 DSM，並開啟自動更新。群暉聲明沒有公布受害設備數量，也沒有點名勒索軟體名稱。
  • 勒索軟體：中國資安公司 360 分析受害設備樣本，確認是老牌勒索家族 Cerber 的變種「C3RB3R」，加密後的檔案副檔名為 .L0CK3D，勒索信為 read-me3.txt，指示受害者用 Tor 瀏覽器到指定網站付款。
  • 入侵途徑說法不一：群暉指向 2024 年的 SA-24:20；360 則指入口是群暉 2026 年 9 月 18 日才修補的兩個高危漏洞 CVE-2026-13639、CVE-2026-13684（公告 SA-26:13）。兩邊說法是否指同一批攻擊，目前沒有官方說明。
  • 和 PHP2Shell 的關係：香港媒體 HKEPC 的報導把這波感染和近期的 PHP2Shell 漏洞（群暉公告 SA-26:14）連在一起；但據 iThome 報導，群暉發給媒體的新聞稿表示這次事件與 PHP 漏洞無關。NAS Compares 的整理也認為，現有資料無法證明 PHP2Shell 是這波攻擊的原因。
  • 目前沒有公開的免費解密工具：多方報導都指出，C3RB3R 沒有經確認的通用解密工具，復原主要靠攻擊者碰不到的快照或離線備份。

事件時間軸

  • 2024/11/5：群暉發布 Synology-SA-24:20（Pwn2Own 2024 相關漏洞），致謝名單包括台灣 DEVCORE 研究團隊。DSM 7.2.2 修補版同步推出。
  • 2024/11/12～12/5：DSM 7.2.1（11/12）、DSM 7.1（11/26）、DSM 6.2（12/5）陸續推出修補版，這就是群暉所說「2024 年 12 月已修補」的時間點。
  • 2026/9/18：群暉發布 Synology-SA-26:13，一次修補 8 個 DSM 漏洞，其中 CVE-2026-13639、CVE-2026-13684 為 CVSS 9.8 的「Critical」等級。
  • 2026/10 月初起：360 反勒索服務陸續接到群暉 NAS 遭加密的求助。
  • 2026/10/29：群暉發布聲明呼籲更新 DSM；360 同日發布分析；台灣教育機構資安通報平台（ANA）發布漏洞預警（影響等級「高」）；HKEPC 報導並呼籲用戶先斷線。
  • 2026/10/30：澳門司法警察局網絡安全事故預警及應急中心發出警情通告，形容這是「全球自動化大規模攻擊」，並已向當地關鍵基礎設施營運者發出預警；iThome 同日報導。

技術細節

群暉點名的 SA-24:20（2024 年修補）

  • CVE-2024-10441（CVSS 9.8，Critical）：DSM 系統外掛服務（system plugin daemon）的輸出編碼問題，未經登入的遠端攻擊者可執行任意程式碼。
  • CVE-2024-50629（CVSS 5.3）：webapi 元件問題，可讀取部分檔案。
  • CVE-2024-10445（CVSS 4.3）：更新功能的憑證驗證問題，同網段的中間人攻擊者可寫入部分檔案。

群暉聲明只說「一個」2024 年 12 月已修補的漏洞，沒有指明編號；iThome 報導列出上面三個 CVE。三者中只有 CVE-2024-10441 可遠端執行程式碼。

DSM 版本線SA-24:20 最低修補版本
DSM 7.2.27.2.2-72806-1 或更新
DSM 7.2.17.2.1-69057-6 或更新
DSM 7.27.2-64570-4 或更新
DSM 7.17.1.1-42962-7 或更新
DSM 6.26.2.4-25556-8 或更新
BeeStation（BSM）1.1-65374 或更新

360 點名的 SA-26:13（2026 年 9 月修補）

  • CVE-2026-13684（CVSS 9.8）：SCGI 元件的輸出編碼問題，未經登入的遠端攻擊者可讀寫任意檔案、造成服務中斷。
  • CVE-2026-13639（CVSS 9.8）：登入邏輯的亂數熵不足，同樣可讓未經登入的遠端攻擊者讀寫任意檔案、造成服務中斷。
DSM 版本線SA-26:13 最低修補版本
DSM 7.47.4-90075 或更新
DSM 7.37.3.2-86009-4 或更新
DSM 7.2.27.2.2-72806-9 或更新
DSM 7.2.17.2.1-69057-12 或更新

重點：只裝到 SA-24:20 的修補版本，仍然擋不住 SA-26:13 的漏洞。群暉官方對兩份公告都表示「無緩解措施」，唯一的解法是更新。最保險的做法是直接更新到自己機型可以安裝的最新 DSM 版本。

C3RB3R 會做什麼

  • 依 360 分析：進入設備後跳過 27 個系統目錄，避免系統當機，其餘目錄逐層加密。
  • 依 360 分析：每個檔案用獨立金鑰以 ChaCha8 加密，金鑰再用 RSA-2048 保護後附在檔案尾端；副檔名改為 .L0CK3D，資料夾內留下 read-me3.txt。
  • 放在同一台 NAS 上、可寫入的本機備份（例如沒有多版本或隔離保護的 Hyper Backup 目錄）也可能一併被加密（HKEPC、RSM 香港）。
  • 【未核實】一份公開的受害設備鑑識報告（GitHub soimy/c3rb3r-rescue）指出，該案例設備為 DSM 7.2-64561，入侵方式「高度符合」CVE-2024-10441，但完整攻擊鏈尚未取得。另有資安簡報（TrebSec）提到有受害者已執行較新的 DSM 7.4.1，不排除另有新漏洞或透過套件、容器、帳密入侵。這兩點目前都只有單一來源。

怎麼看自己有沒有中招

  • File Station 裡出現大量 .L0CK3D 結尾的檔案。
  • 資料夾裡出現 read-me3.txt，內容有「C3RB3R INSTRUCTIONS」字樣。
  • 日誌中心出現異常登入、短時間大量檔案被修改，或 CPU／硬碟長時間滿載。

防護建議：企業／IT 管理者

  • 盤點並更新：清查所有群暉 NAS 的 DSM 版本，至少高於上面兩張表的版本，最好直接更新到最新版；同步更新套件中心內的 PHP、Web Station、Mail Station、Calendar 等套件，用不到的套件直接移除。
  • 收回對外曝露：關閉路由器上指向 NAS 的連接埠轉發（常見為 5000、5001、80、443）與 UPnP；遠端管理改走 VPN，管理介面以防火牆設定可信 IP 白名單。
  • 帳號強化：停用預設 admin 帳號，所有帳號使用高強度密碼並啟用兩步驟驗證（2FA），開啟自動封鎖 IP；不需要時關閉 SSH。
  • 檢查 Container Manager：在 NAS 上用容器架設 GitLab 等對外服務的，確認容器版本已修補、沒有掛載過大權限的目錄。
  • 快照與備份：共享資料夾開啟快照並啟用防竄改（不可變快照），定期確認快照有正常產生；至少保留一份與 NAS 平時不連線的離線或異地隔離備份。
  • 監控：留意日誌中心的異常登入與大量檔案異動，一發現可疑副檔名立刻斷網檢查。
  • 已經中招：立即隔離設備（拔網路線、暫停 Cloud Sync／Hyper Backup 等同步，避免覆蓋雲端好的備份），保留勒索信、系統與 SSH 日誌，不要自行重灌或初始化硬碟，聯絡群暉技術支援並依規定通報（教育單位走 ANA 通報）。不要付贖金。

防護建議：一般用戶

  • 現在就更新：到「控制台 → 更新與還原」安裝最新 DSM，並開啟自動更新。
  • 別把 NAS 直接開到網路上：不確定自己有沒有開連接埠轉發，就到路由器關掉指向 NAS 的轉發和 UPnP；外出要連回家，改用 VPN 或官方的遠端連線服務，用不到 QuickConnect 就先關掉。
  • 帳號三件事：停用 admin、換一組只用在 NAS 的強密碼、打開兩步驟驗證。
  • NAS 不等於備份：重要照片和文件另外存一份到平常不插著的外接硬碟；有開快照功能的話記得打開。
  • 發現檔案變成 .L0CK3D：先拔網路線，不要刪檔、不要重灌，也不要付贖金；網路上自稱能解密的工具或「代解密服務」要特別小心。

資料來源

Posted in

發表留言