听说最近群晖中招了， V 友们知道是什么情况吗？非群晖 NAS 用户需要注意什么？

[CodeDAI]

360 的公告
https://www.360.cn/n/13055.html

有人反应用下面的 skill 跑能恢复一部分
https://github.com/crt106/c3rb3r-btrfs-recovery

[Autonomous]

不暴露任何端口，只通过 VPN 回家，不怕任何漏洞。

[klgd]

发生了啥？

[CodeDAI]

@Autonomous 但是有时候家里人要用，VPN 回家对他们来说就不太方便

[CodeDAI]

好像是中 L0CK3D 了

[shuang930225]

有群友中招勒索病毒了

[liuzimin]

我看了下 L 站上的那个帖，说是帖主在群晖上挂了 gitlab 并公开了，正巧最近 gitlab 有漏洞被曝出来，然后被一锅端。那这样的话，也不算 DSM 的问题吧。

[felixlong]

PHP 的漏洞引起的吗？ NAS 基本上都是使用的 PHP.

[doug]

由于交不起电费 我家的是每天固定开一小时 然后自己关机的 感觉风险不大

[liuzimin]

@felixlong #7 我问了下 AI ，说群晖的 DSM 核心是用 C/C++写的，网页界面是用 JavaScript/HTML/CSS 。

[mrzx]

@Autonomous 更新下认知吧，很多路由器上有后门。涉及各大品牌。很可笑的，很多路由器都有“运维调试接口”

尤其是很多 openwrt 的插件，底层代码投毒也不是第一次了。第三方魔改 openwrt 固件藏后门发生次数真的是太多了。

及时关注信息安全，及时更新才能避免损失。

[liuzimin]

@mrzx #10 市面上的爆款成品路由器也会有吗？那感觉有点束手无策啊。

[chennqqi]

@Autonomous VPN 漏洞又不是没有出过

[dowern]

刚看 已经中 L0CK3D 了

[goodryb]

貌似不是群晖自身的问题，其他服务被突破导致群晖上的文件给加密了

[ntdll]

已经中招，白群，最新版，网上资料所是 docker 或者 gitea 一类的漏洞导致的，但是这些我都没装。初步猜测可能是群晖自身存在某种 0day 导致。

索性只是浪费点时间，重要数据都有额外的备份，损失并不算大。

[CodeDAI]

@dowern 有开什么东西吗

[hallieastem]

境外 IP 入站全 ban,国内入站 IP fail2ban 或者其他任意诱捕功能应该挡掉 99.9%的恶意尝试了

[h3110w0r1d]

@liuzimin 只要支持远程管理路由器的，都有后门

[Ericality]

你倒是把背景说清楚啊 所有在用群晖的 v 友立刻检查自己的 nas 现在群晖被攻破了 暂时还不清楚具体路径 但是我的 nas 上面（ 7.1 ）出现了 lock3d 加密数据 还有勒索信 不过这个脚本很菜 菜到只加密了第一层文件 其他的地方只是留下了勒索信就没了 快照什么的也还在 要么是攻击者太菜写的逻辑不行 要么是我小文件太多了把脚本撑爆了 反正我这边基本没损失 建议问题解决前不要连接外网

[someonesnone]

我群晖只有备份数据才开机 :D

[xiwangly]

woc ，这得赶紧隔离公司的 NAS 公网访问 (:

[xyz3201]

@Ericality 你好，我用群晖的 Snapshot 直接找快照有 4 个点，但是从还原点进去看不到具体的备份，是说备份也被破坏了吗？ 今天看到消息准备断网关机发现凌晨刚中招

[ntdll]

虽然没啥用，但是分享一下，从部分其未加密的文件里，我看到了一些当时留下的系统日志：

10-28 凌晨 00:05–04:08：大量境外 IP 对 admin 的 WebUI 爆破，全部失败；（因为 admin 在我的设备上是禁用的）
14:46:46：46.8.78.122 又一次失败登录；
14:54:37：加密开始；（开始出现 LOCK3D 文件）

也就是初步推断，侵入与弱密码无关，与暴露 ssh 可能性也不大，更可能是 WebUI 的登入点存在某些 bug 。

各位可以考虑以后这类服务都需要通过 Zero Trust 后才允许访问。至于恢复的可能性并不太高了。

[bullfrog]

Tailscale, cloudflare tunnel

[anyliz]

@ntdll 更改默认端口了吗？

[shalingye]

感觉这波逮着 nas 小白薅啊，不构建自己的数字生态迟早要付出代价

[jtshs256]

360 的公告感觉也不对，目前有见到 7.4.1-u1 、7.2.1-u13 中招的案例，这些都是修了漏洞的版本。本来已经把仅暴露在 v6 的端口都关了，这下怕是 qc 也得关

[radiohide]

@ntdll 感觉是 php 的问题呀 前几天不是有 php 的漏洞爆出来 一个内存分配失败的后策略会被利用获取代码运行权限的漏洞，跟你这个过程有点像 群晖是 php 的吧

[nkidgm]

不是，你们都这么大胆，直接把群晖暴露到公网的嘛？我一般都是先套个 VPN 再打开群晖。

[Moatkon]

感觉群辉时不时就中招

[wxjback]

看了说明，9.18 就暴露的漏洞，群晖也早就发布了自动更新的修复，除非你关闭自动更新，应该都修复了吧。

[alfawei]

@jtshs256 1. 消息没有什么具体来源？ 没有啥信息内容。搞个惊悚的标题。
2. 最近群晖官方更新了 PHP 漏洞，其他厂商好像并没有发布什么消息，也应该和这个 PHP 漏洞无关。
3. Reddit 和群晖英文官方论坛没有这个反馈
4. Google 搜索 synology 0day 24 小时和 1 小时都没有什么有价值内容
5. 目前所有的信息都似乎是简中区域的内容

[mrzx]

@liuzimin 多呢，说太多会得罪国内大厂的人。V2EX 在各大大厂的牛马都有.

就说个国外的，

上个月 9 月，RrouteOS 爆出出一个严重的安全漏洞，CVE-2026-86060 CVE-2026-67279 CVE-2026-67276 CVE-2026-67277 等等
只要猜对管理员名称,并且你开启了 ssh 服务就能黑进来，拿到路由器最高管理员权限，很多人账户就是默认账户 admin,ipv4 地址才 40 多亿个，利用这个漏洞扫完一遍很快的，一堆公网跑了 RouteOS 的路由器被黑了。

[wclebb]

PHP 漏洞？

[StevenTong]

看了网上说的，最新系统也中招。

[Autonomous]

@mrzx
@chennqqi

哦，我用 UniFi UCG-Fiber

[emmo]

群晖技术拉的很。从这几年的软件更新就可以看出来了。爆出 0day 真的不意外。

[mrzx]

@Autonomous 哈哈，这次我不说了，你自己悟吧

[RogerSelf]

@ntdll #15

感谢分享，这个信息太关键了，请问说的最新版是 DSM 7.4.1-90080 Update 1 吗？

方便分享一下对外公布了哪些服务吗？

[emmo]

@wxjback 看 sloar 的发文。最新版系统也中招。

[EyebrowsWhite]

在用群晖，很幸运没中招，马上把端口转发关了。

看了下相关信息，今天早上 360 发的文章 https://www.360.cn/n/13055.html 涉及的漏洞是 9 月份的，已修复，https://www.synology.com/en-br/security/advisory/Synology_SA_26_13 这次修复涉及 8 个漏洞，其中两个 CVSS 9.8 ，不需要登录就可以利用，其余六个要登录才可以。结合 AI 分析了下，只要公网能访问 web 端口，且没有升级版本就可能中招，没有中招可能只是没被扫到。

搜索“C3RB3R synology”可以找到一些相关内容，这里贴两个链接：
https://www.oschina.net/news/503279
https://www.reddit.com/r/synology/comments/1xhqgov/well_it_finally_happened_my_first_real_ransomware/

另外，这里可以看群晖 DSM 版本发布记录 https://www.synology.com/en-global/releaseNote/DSM

[fish3125]

群晖的入口也是 nginx ，
修改 DSM.mustache ，
ssl_reject_handshake on;
和 server_name 下使用 if 来允许指定域名访问也可以减少许多攻击面。

[alfawei]

@emmo #40 系统最新和自己安装的一些服务是分开的。这个人出现问题的原因不明朗，是不是是 PHP 没有更新漏洞？是否有其他对外服造成?

[Autonomous]

@mrzx UniFi 的网关路由器运行 WireGuard ，把群晖保护在内网，这样安全吗？

[wclebb]

@wclebb https://www.synology.com/en-global/security/advisory/Synology_SA_26_14
PHP2Shell 漏洞公告,跟近期的 PHP 漏洞 有关吗？

[nbweb]

已中招，黑群，现在已关机，还好只用来当监控，没放任何其它资料。现在准备格式硬盘了。

准备找别的软件来代替群晖了，不用了。

[hunono]

360 和 smzdm 的两篇相关文章大概率是 AI 写的.

[EyebrowsWhite]

@EyebrowsWhite 我认为 Reddit 的一楼评论说的很对，要么不要对公网开放除了 VPN 之外的端口，要么及时更新服务，普通人能做的也就这些了。

至于说最新版本也中招，这种 0day 真碰到谁也没办法。但是目前我没找到最新版本中招的消息来源，就这个 360 的文章来看，这个属于 1day ，距今已经一个多月了。

[wclebb]

@wclebb #45 我暂时没发现有中招的痕迹，也不知道如何查看被攻击。
但是幸亏因为这件事，我才发现日志，天天都有各种帐号和密码爆破我 NAS ，我寻思最近已经逐步转 Tailscale 和 Surge Ponte ，所以访问的问题不大。

[alfawei]

@nbweb 版本是什么？

[DarkFire]

通过启用自定义域+反向代理——防火墙，配置自定义域名，把默认的 5001 端口关闭公网访问，公网只允许域名访问。这样能避免大部分扫描攻击。

[thereone]

这个是上次吃瓜飞牛的时候写的，现在群晖吃瓜就复制粘贴一下。当然最优先的是 VPN 接入，其次才是 web 直接访问。

路由器把 IP 地址限制到你们城市或者省才能访问或者最大范围仅中国 IP 访问。挂上 WAF 把 IP 地址限制打开，用户认证打开，黑名单和白名单都打开 CC 和人机验证打开。搞到非常难访问的程度基本就没有问题了。

web 应用-->NGINX 反代(开启基本认证)--->WAF(IP 地址限制到你们省市，黑名单常用封禁国内爬虫恶意 IP ，CC 和人机验证打开，用户认证打开)--->出口路由器（限制访问为国内 IP 地址访问，开启国内爬虫和恶意 IP 封堵，公有云 IP 封堵）--->公网

你想用首先得是：国内正常 IP 非公有云 IP 非恶意 IP 非手动封堵 IP--->进入出口路由器--->过 WAF 的省内 IP 认证-->人机验证-->CC 防护-->用户认证-->攻击防护---->过 NGINX 反代基本认证--->再到 web 应用。

上了上面这套想要从外部攻破 首先得是国内的正常 IP 来攻击的，二是需要攻破 WAF 的各项防护，在攻破 NGINX 的基本认证防护，最后才是 web 应用的。

可以选择性的打开或者关闭某些防护，根据你的实际需求来做。
我这边把除了 NGINX 的基本防护关闭了，别的全部都打开了。现在没有任何问题包括外部扫描都没有了，除了国内两个省的 IP 地址可以访问别的地址都不能访问。

[nbweb]

@alfawei ds918 ，应该有两年了，一直没管他，昨晚打开家里 win11 ，发现群晖老是连不上，过一会又好了， 没有在意思。昨晚在 onedrive 里打包一个目录给 muse ，muse 还提醒我说有个恶意的文件，我也没在意。我一直在群晖上同步 onedrive 。中午朋友在群里说，我就上去看了一下，发现有一个 readme3.txt 的文件在 onedrive 里面，一看发现监控视频全加密了。越紧把端口转发关了，把群晖关机了。

晚上全盘格式化，用别的平替监控视频。

[jtshs256]

@alfawei #32 早上看的时候 reddit 就有 4 个帖子，其中一个： https://www.reddit.com/r/synology/comments/1xhqgov/well_it_finally_happened_my_first_real_ransomware/?sort=new 用 synology l0ck3d 作为关键词

[alfawei]

@nbweb #53 黑裙旧版存在漏洞的，但折腾更新会很复杂，我的黑裙只存电影电视剧~

[nbweb]

@alfawei 我暴露了一个端口在外面，5006---->5001 ，被扫到了。还好没啥东西。

[wxjback]

@emmo sloar 的发文在哪里？感谢

[emmo]

@wxjback https://zhuanlan.zhihu.com/p/2099089476924590077

[wxjback]

@emmo 看了一下，并没有说是最新系统存在 0day 漏洞，只是说中招的系统目前运行着最新系统，还没有详细的漏洞公开。

我认为目前，更新到最新系统，是一步有效的防范手段。

[clacf]

关了 root 账密登录，只允许私钥登录，会不会安全很多？

[4seasons]

看了眼群晖，一切安好，从买回来就做了防爆配置，开启了自动封锁。

1. 同一个 IP ，180 天登陆错 3 次，直接永久拉入访问黑名单；
2. 账户也不是常规的 root ；
3. 虽然暴露在公网，但是是通过 cloudflare 暴露的；
4. 没有任何虚拟机、docker 或者网页，只是单纯的存储。

保险起见，还是把公网暴露从 cloudflare 上下了

[DigitalG]

用 vpn 访问 nas 已经是个人用户比较高的防御手段了。讨论安全问题总要有个边界吧，不然从路由器后门/vpn 漏洞延伸下去，要不要考虑根证书泄露（刚发生），要不要考虑机器物理隔离，无穷无尽了。

[alfawei]

@nbweb #56 怎么用 5001 端口呢？ 5000/5001/5005/5006 都是 nas 常用端口 用这些个端口被扫很正常啊

[rightsandy]

@4seasons 确实，即使某品牌路由器有漏洞，群晖也有漏洞，但是要既利用该路由器的漏洞又要能攻陷群晖那难度就几何级别上升了，况且用特定路由器加群晖的用户本来这种组合就是极少数的样本了，做自动化攻击也不合算。

[liuzimin]

这个帖子说的不是漏洞攻破问题吗，根本不需要你的账号密码吧。楼上有的说的防爆策略感觉没有作用呀。

[hiyoi]

看了一下我的 ds918 ，还好没中招。 我只公开了 ipv6 ， 这个比较难扫到吧

[someonesnone]

@ntdll #15 问题是群晖明白自己哪里出问题了吗?别又是 ai 找到的洞, 最新版系统也没补上

[AuroraCC]

刚看我的已中招 昨天下午被爆破的 草了

[cwliang]

@doug 平繁开关机伤硬盘，我是一个月开一周备份，其他时间关机，主要是吵

[AuroraCC]

@ntdll 我查我的也是这个 ip

[MYDB]

路由器上 nginx 反代逃过一劫，赶紧把反代也关了

[sonnetbreeze]

群晖默认开自动更新，并且套 nginx ，设置地区白名单，在套个 waf ，套个 cdn ，基本上避免很多问题，刚才看了暴露公网 3 年的黑群，安全，不过最近那么多漏洞，还是老老实实 vpn 回家

[AuroraCC]

https://github.com/soimy/c3rb3r-rescue/blob/main/README_CN.md
看有大佬开源了恢复方案 有恢复希望！回去尝试下

[cloudno1]

太可怕了，一天 1000 个连接警告

[hiyoi]

才发现我的 ds918 的版本还是 DSM7.2-64570 Update 4 ，检查更新状态也是最新，似乎收不到大版本推送了。请问大佬们，是否要手动升级一下大版本到 7.4 ？

[5boy]

中招了，有什么办法吗，有很多重要资料，哭了要

[xdzhang]

我群晖跑着不少程序 看样子要拿台服务器来跑反代 VPN 限制访问了

[alfawei]

@5boy #76 白裙还是黑裙？ 什么版本系统？ 有 php ？ 直接暴露 5000/5001 端口？

[5boy]

@alfawei #78 白裙、有办法吗

[alfawei]

@cloudno1 #74 你这个是直接公网 ip：5000 端口可以访问 dsm ？

[alfawei]

@5boy #79 有没有快照可以恢复，drive 版本可以恢复？ 有没有分析一下什么原因啊？ 找原因很关键啊。 我两台白裙目前都安好。

[haoshuaiwang]

就是被黑的用户没有完整的描述自身环境,现在都是猜测,不知道黑客具体使用什么方式入侵的,我还是倾向于不仅是群辉的 0day,因为我飞牛从 10 月 18 号开始就有 ssh 爆破了,而且是有计划性的,会针对你防火墙规则调整频率进行爆破
以下是被拉黑的 ip 大家可以筛选下是不是同一个攻击者
139.59.114.91
172.233.43.7
172.233.49.112
172.235.165.148
172.235.182.100
172.235.182.24
172.235.191.206
172.236.19.167
172.236.25.235
77.239.124.100

[loading]

不知道旧型号用 DSM 7.1 怎么办。

[5boy]

@alfawei #81 群晖有快照吗，没找到

[alfawei]

@5boy 当然有 还有不可变快照啊

[doug]

@cwliang 多谢关心 但刚问了 ai 我目前有 UPS 加群晖定时开关机的机制基本损耗不大 所以应该没什么问题 而且家里还有 4 个 4t 的闲置盘放着😂

[PhDLuffy]

@alfawei frp 反代到 https443 ，如果 443 被禁可以选择 444 ，所有服务对外只暴露这一个端口，用三级域名去分类服务，扫端口简单，扫域名就很难

[PhDLuffy]

@haoshuaiwang ssh 爆破自古就有，时不时就会来一批，从 3 年前我装上黑群晖就有，后来 ssh 设置了一些限制，扫 ssh 少了很多。

我个人经验是，最近从 DSM 登录的尝试出现了，就是网页端登录群晖，我感觉应该是这里才是真正的入口

[Limius]

不太懂，要访问的都安装个 tailscale 有什么问题，也不难用

[sonnetbreeze]

@PhDLuffy ssh 映射公网也是没谁了

[bilibilifi]

看了下我的，确实有尝试 admin 登录的 log ，不过因为 admin 账户停用了所以无论输入什么都无效，看来即使是群晖基本的安全保护还是要做。幸好第一次买群晖的时候跟着教程做了安全设置，包括停用了默认的 admin 然后设一个单独的管理员账户

[COW]

@Limius 然而 tailscale 也爆了好几个漏洞

[itvincent]

最安全还是安装补丁版本

[cloudno1]

@alfawei #80 是的，不过做了 2FA,看到这个贴后就立刻把 QuickConnect 和端口映射关了

[USstyleright]

DSM 7.1 .1 的需要更新吗？瑟瑟发抖

[alfawei]

@bilibilifi #91 如果有尝试 大概率你有公网 IP ，并且是用了默认 5000 端口

[est]

呃，那官方的更新包让 AI 分析下 diff 不就知道是啥漏洞了么。。。

[GoodRui]

@Autonomous #1 Tailscale ssh 高危漏洞：谁在叫我？

[liuzimin]

@GoodRui #98 我甚至还没玩过 tailscale 的 ssh 功能😂

[piku]

中了 1 台/8 台，8 台中有一个 dsm6 ，一个关机，六个纯内网。
根据 GitHub 那个说明，打内存快照，ai 跑了 6 个小时，告诉我无法解密