2026 年 10 月 28 日凌晨起，一款叫 C3RB3R 的勒索軟體大規模攻擊 Synology NAS：檔名後面多了 .L0CK3D（也有人看到的是字母 O 的 .LOCK3D），每個資料夾多一份勒索說明，要求用比特幣付贖金。中文社群、Reddit、BleepingComputer 在同一兩天湧出大量求救文。

我們實際處理了一家中小企業客戶的案子，也讀了同期四篇外部案例，整理成一份應變手冊。這篇挑出最重要的部分：發現中招後的第一個小時怎麼做，以及我們漏掉、事後才知道代價的那一步。

本文整理自實際處理經驗、Synology 官方安全公告，以及小紅書、HKEPC、CyberQ.tw 的公開案例（2026-10-31 查閱）。外部案例只代表來源的說法，文中會註明；客戶資訊一律不公開。

最反直覺的一條：不要重開機

一般人電腦怪怪的，第一反應是「先重開看看」。遇到這一波勒索，這個習慣會讓你失去唯一不付錢就解開檔案的機會。

外部兩個成功案例都指出：C3RB3R 每次執行會產生一把會話金鑰，每個檔案的金鑰都用它包起來，而這把會話金鑰只存在加密程序的記憶體裡，不寫到硬碟。程序還活著，金鑰就還在；一重開機、斷電或把程序結束掉，就永遠沒了。

所以第一個小時的原則只有一句：拔網線，但 NAS 保持開機；不重開、不關機、不結束程序、不升級、不重灌。

第一個小時的順序

  1. 切斷對外，NAS 不關機：能在路由器或防火牆停用所有轉發、擋住 NAS 往外連線最好；做不到就直接拔網路線。
  2. 凍結加密程序，不要結束它：Linux 可以送暫停訊號（SIGSTOP，也就是 kill -STOP）讓程序停在原地，不再加密新檔案，但記憶體保持原樣。它的父程序、看門狗也一樣只暫停、不結束。
  3. 立刻把那個程序的記憶體傾印到外接硬碟：凍結只是讓金鑰留在原地，傾印才是把它取出來。外部案例就是靠這份記憶體找回金鑰。
  4. 停掉會把密文推出去的同步與備份：Hyper Backup、Cloud Sync、Synology Drive 這類服務如果還在跑，可能把加密後的檔案覆蓋到雲端或備援機上原本乾淨的版本。
  5. 保留證據，不刪檔：勒索說明、加密檔、可疑檔案都留著，先搬到隔離位置，不要清掉。
  6. 不付贖金，報案：台灣可以撥 165 或向刑事警察局科技犯罪偵查單位報案。

記憶體傾印與解密都是高度技術性的工作，建議找熟悉 Linux 的人處理；完整記憶體、真實金鑰不要交給線上 AI 或任何外部服務。

外部兩個成功解開的案例

以下是外部案例的做法，我們沒有實際測試過：

  • soimy/c3rb3r-rescue：跑在 PVE 虛擬機裡的 DSM，保持系統運作，從整台虛擬機的記憶體傾印找回金鑰，解開被加密的 GitLab 備份，並用已知的原始檔逐位元組比對驗證。HKEPC 也報導了這個專案。
  • Benjamin-zlt/c3rb3r-baremetal-rescue：實體 NAS，凍結加密程序後導出它的記憶體，取出會話金鑰，解開約 8.45 萬個檔案。

兩個專案都特別提醒：這不是通用解密器。找回的金鑰只屬於那一次執行，不能拿去解別人的檔案；每位受害者都要從自己機器的記憶體裡取。小紅書「柯基愛好者」分享的另一位受害者照著做，也解開了全部被加密的檔案。

我們漏掉的那一步

客戶的案子裡，我們有及時凍結加密程序，這一步和成功案例一樣。但當時只複製了程式本身，沒有傾印它的記憶體。隔天清除資料、重灌系統之後，程序和金鑰一起消失，加密的檔案就再也解不開了。

最後資料是靠異地備份加上客戶端電腦上的副本補回來的。就算解不開，加密檔、勒索說明也建議保留、不付贖金，將來如果出現解法還有機會。

教訓很簡單：凍結之後、任何重開機或重灌之前，先把記憶體傾印出來。 工具要事先準備好，最好在同版本的系統上實際跑過一次，事發當下才發現跑不動就來不及了。

為什麼強密碼、兩步驟驗證都擋不住

這一波被利用的漏洞，攻擊者送出的登入請求本身不會登入成功，但在系統核對密碼之前就已經以最高權限寫入檔案。所以：

  • 強密碼、兩步驟驗證：流程根本沒走到那一步。
  • 停用 admin：漏洞和帳號無關。
  • 自動封鎖 IP：只發一個請求，不會觸發。
  • 改連接埠：擋得住隨機雜訊，擋不住針對性的掃描。

CyberQ 與小紅書「likeeatpotato」整理的受害者，共同點都是管理介面從網際網路連得到：連接埠轉發、UPnP、QuickConnect、反向代理，或 DSM 登入頁直接對外。Synology 在 2026 年 9 月 18 日的安全公告 Synology-SA-26:13 已經修補相關漏洞，DSM 7.4 的修補版是 7.4-90075；而且有案例的入侵比加密早好幾個月，後門先埋好，之後才動手。

做法：DSM 管理介面（包括 QuickConnect 裡的 DSM 項目）不要對外，遠端管理一律改走 VPN；真的需要對外的服務（例如 Drive）才單獨開。另外，依賴 PHP 的套件是另一層補丁，Synology 在 Synology-SA-26:14 另有公告，背景可以參考〈PHP2Shell 始末〉。

「已是最新版」不一定是最新

DSM 的自動更新不會跨主要版本。有使用者的 NAS 停在 2024 年的版本，畫面卻顯示「已是最新版」。我們處理的那台也一樣，停在大約 18 個月前的版本。

檢查時不要只看畫面上的字，要到 Synology 的版本紀錄和安全公告，對照版本的發布日期。

備份要「碰不到」

攻擊者拿到最高權限後，通常會先刪快照、廢掉備份，然後才開始加密。外部案例裡，一直接在 NAS 上的 USB 備份碟、同一台機器上的快照，都跟著被加密或被刪。

這些都不算備份：

  • RAID：只會忠實地把加密後的檔案鏡像一份。
  • 同步碟（Synology Drive、Cloud Sync）：同步的是「現在的樣子」，加密後的檔案一樣會同步過去。
  • 一直接在 NAS 上的 USB 硬碟：NAS 碰得到，攻擊者就碰得到。

真正的備份要讓 NAS 碰不到：不可變快照、平常拔下來的離線硬碟、異地多版本備份。正式機上也不要存著能直接寫入備份目的地的帳密，備援端最好由它自己去拉資料。

小結

  • 發現中招：拔網線、不重開機，暫停加密程序，立刻傾印記憶體。
  • 凍結不等於保住，傾印才是把金鑰拿出來。
  • 管理介面不對外，遠端走 VPN；強密碼、兩步驟驗證擋不住這類漏洞。
  • 版本要對照發布日期；備份要讓 NAS 碰不到。

這次能把資料救回來，靠的是平常就有的異地備份。如果你的 NAS 還有連接埠轉發或 QuickConnect 開著 DSM，今晚就是收回來的時候。

參考資料