攻击者加密NAS中的文件，在原扩展名后追加 .LOCK3D，并留下名为 read-me3.txt 的勒索信。
据360等安全团队调查，本轮勒索攻击的主要源头是老牌勒索家族Cerber的一个变种“C3RB3R”，该家族长期针对NAS设备实施加密勒索，此次攻击使用了两个今年9月披露的漏洞。
C3RB3R 如何加密文件？
根据 360 对样本的分析，攻击者并非对所有文件都采取相同的加密方式。
• 对特定扩展名的文件执行完整加密。
• 对其他文件根据文件大小采用选择性加密。
• 在受影响目录留下 read-me3.txt 勒索信。
• 给加密文件追加 .L0CK3D 后缀。
选择性加密的危险之处在于，它可能更快破坏大量大文件的可用性，而不必逐字节加密整个文件。
群晖在本次勒索病毒发生后发布了以下声明：
Synology产品安全事件响应团队（PSIRT）证实，最近披露的PHP2Shell漏洞（CVE-2026-109618和CVE-2026-109619）的影响仅限于运行某些依赖PHP软件包的系统。受影响的软件包有Calendar、IDrive1、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station和WordPress。
Synology在DiskStation Manager（DSM）7.4和DSM 7.3以及报废的DSM 7.2、DSM 7.1、DSM 7.0和DSM 6.2上发布了PHP安全更新。强烈建议受影响软件包的用户立即通过软件包中心更新PHP。PHP更新完成后，依赖软件包会自动重启2，漏洞也会得到解决。对于运行低于6.2的DSM版本的系统，Synology建议在更新到受支持的DSM版本之前暂时禁用受影响的软件包，以降低风险。
360团队给出的安全建议：
• 关注网络安全资讯，第一时间更新NAS设备系统或安装安全补丁，封堵高危漏洞；
• 尽量不要直接把NAS管理端口映射至公网，如需外网访问，优先使用NAS厂商提供的跳转业务或者VPN；
• 停用设备初始的默认管理员账号，为所有账号设置强口令，尽可能开启两步验证及自动IP封锁等安全验证机制；
• 开启共享文件夹快照并打开快照防篡改功能；定期检查快照是否正常生成；
• 至少为重要数据准备一份离线隔离备份；该备份平时需断开与NAS的任何连接，避免被勒索软件一并加密；
• 开启设备防火墙，仅放行必要端口，尽量为管理后台的访问权限配置可信IP白名单；
• 定期查看日志中心，留意异常登录、批量文件修改，发现可疑后缀或疑似勒索文件等情况，应立刻断网进行安全检查；
• 清理闲置共享链接、不用的套件和服务，缩小攻击面；
• 不要支付赎金！不要支付赎金！不要支付赎金！
