补丁已发，为何仍有NAS被锁？360 AI安全专家还原Cerber攻击链

10月以来，不少群晖NAS用户打开设备时发现，原本熟悉的文件后缀变成了“.LOCK3D”，旁边还多了一封勒索信。信里写着：不要尝试第三方软件恢复，唯一安全的方式是购买“C3rb3r Decryptor”。照片、文档、业务数据，一夜之间成了无法打开的密文。

异常出现的同时，360数字安全集团也捕捉到了这波攻击的迹象，随即借助360 AI安全专家对相关设备展开采样分析。线索一点点拼合，源头逐渐清晰，指向老牌勒索家族Cerber的变种“C3RB3R”。这个家族长期盘踞NAS领域，专挑这类设备下手，早已不是初犯。

   360 AI安全专家溯源后发现，攻击者进入设备的入口，是两个今年9月才披露的高危漏洞，CVE-2026-13639和CVE-2026-13684。到攻击发生时，它们公开刚满一个月。

   事实上，当时漏洞披露后，群晖于9月18日就发布了补丁，DSM 7.4、7.3、7.2.2、7.2.1均有对应更新版本，共修复8个漏洞。但补丁发布不等于设备更新。大量NAS用户并不清楚漏洞存在，也不会主动检查系统更新，设备就会暴露在外。

   攻击者利用的正是这段空窗期，不需要寻找未知的零日，只要赶在设备更新前下手，就能批量收割未设防的设备。这是一次典型的1day攻击。

   入口打开之后，Cerber的动作才刚刚开始。360 AI安全专家在采样分析中还原出它的“作业习惯”：它没有急着加密，而是先绕开/boot、/run、/proc、/sys、/dev、/etc等27个系统目录，像一个熟悉地形的老手，知道哪些地方碰不得。一旦把系统自身加密到崩溃，后续的“生意”也就没法做了。

   绕开系统目录，它才开始翻找真正值钱的东西。递归扫描用户数据，逐个加密，但也不是见什么锁什么。360 AI安全专家在样本中看到，常见的可执行文件、脚本，以及已经被加密过的文件，会被跳过。它挑的是那些真正让人心疼的，照片、文档、业务数据。

   加密方式也分轻重。360 AI安全专家进一步拆解发现，优先列表里的187个扩展名，不分大小，全文件加密；普通文件则按大小区别对待，小的全加密，稍大的只加密头部，更大的分段加密，每段也只动头部。既保证破坏力，又不至于拖慢速度。

   加密完成后，文件后缀会被统一改成“.LOCK3D”。同时，攻击者留下一份名为“read-me3.txt”的勒索信文件，提醒用户文件已被加密，要求尽快交付赎金。

   在此次事件中，勒索信中的Tor地址、样本中的加密特征，孤立来看不过是零散线索。但在360 AI安全专家手中，这些线索被迅速串联：从样本定性、入口溯源，到加密逻辑拆解、关键信息提取，各环节协同推进、交叉印证。分析全程留痕、可追溯、可复核，沉淀下来的特征与路径反哺模型，使下一次面对同类攻击时判断更迅捷、定位更精准。

   这套能力并未停留在分析层面，而是直接接入360现有的漏洞管理与应急响应流程：360 AI安全专家先把事实与证据梳理清楚，再由安全团队研判处置。在勒索攻击中，先一步看清对手，便多一分守住数据的可能。

   针对本轮攻击，360建议广大政企机构及时更新NAS系统，尽量不要把管理端口直接映射到公网，外网访问优先走厂商跳转或VPN，同时开启设备防火墙，仅放行必要端口。日常防护上，至少为重要数据准备一份离线隔离备份，平时断开与NAS的连接，并定期查看日志，留意异常登录和批量文件修改。最后，也是最重要的一条：面对勒索，不要支付赎金。

360数字安全