请不要把任何和邀请码有关的内容发到 NAS 节点。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
Supplement 1 · 8h 46m ago
 |
1
Autonomous 11h 42m ago
不暴露任何端口，只通过 VPN 回家，不怕任何漏洞。
|
 |
2
klgd 11h 41m ago
发生了啥？
|
 |
3
CodeDAI OP @Autonomous 但是有时候家里人要用，VPN 回家对他们来说就不太方便
|
|
4
CodeDAI OP 好像是中 L0CK3D 了
|
 |
5
shuang930225 11h 23m ago
有群友中招勒索病毒了
|
 |
6
liuzimin 11h 13m ago
我看了下 L 站上的那个帖，说是帖主在群晖上挂了 gitlab 并公开了，正巧最近 gitlab 有漏洞被曝出来，然后被一锅端。那这样的话，也不算 DSM 的问题吧。
|
 |
7
felixlong 11h 12m ago
PHP 的漏洞引起的吗？ NAS 基本上都是使用的 PHP.
|
 |
8
doug 11h 5m ago via iPhone
由于交不起电费 我家的是每天固定开一小时 然后自己关机的 感觉风险不大
|
 |
10
mrzx 10h 40m ago  3
@Autonomous 更新下认知吧，很多路由器上有后门。涉及各大品牌。很可笑的，很多路由器都有“运维调试接口”
尤其是很多 openwrt 的插件，底层代码投毒也不是第一次了。第三方魔改 openwrt 固件藏后门发生次数真的是太多了。 及时关注信息安全，及时更新才能避免损失。 |
 |
12
chennqqi 10h 16m ago
@Autonomous VPN 漏洞又不是没有出过
|
 |
13
dowern 9h 46m ago
刚看 已经中 L0CK3D 了
|
 |
14
goodryb 9h 30m ago
貌似不是群晖自身的问题，其他服务被突破导致群晖上的文件给加密了
|
 |
15
ntdll 9h 20m ago 4
已经中招，白群，最新版，网上资料所是 docker 或者 gitea 一类的漏洞导致的，但是这些我都没装。初步猜测可能是群晖自身存在某种 0day 导致。
索性只是浪费点时间，重要数据都有额外的备份，损失并不算大。 |
 |
17
hallieastem 9h 9m ago
境外 IP 入站全 ban,国内入站 IP fail2ban 或者其他任意诱捕功能应该挡掉 99.9%的恶意尝试了
|
 |
18
h3110w0r1d 9h 3m ago
@liuzimin 只要支持远程管理路由器的，都有后门
|
 |
19
Ericality 9h 1m ago
你倒是把背景说清楚啊 所有在用群晖的 v 友立刻检查自己的 nas 现在群晖被攻破了 暂时还不清楚具体路径 但是我的 nas 上面（ 7.1 ）出现了 lock3d 加密数据 还有勒索信 不过这个脚本很菜 菜到只加密了第一层文件 其他的地方只是留下了勒索信就没了 快照什么的也还在 要么是攻击者太菜写的逻辑不行 要么是我小文件太多了把脚本撑爆了 反正我这边基本没损失 建议问题解决前不要连接外网
|
 |
20
someonesnone 8h 42m ago
我群晖只有备份数据才开机 :D
|
 |
21
xiwangly 8h 24m ago
woc ，这得赶紧隔离公司的 NAS 公网访问 (:
|
 |
22
xyz3201 8h 11m ago
@Ericality 你好，我用群晖的 Snapshot 直接找快照有 4 个点，但是从还原点进去看不到具体的备份，是说备份也被破坏了吗？ 今天看到消息准备断网关机发现凌晨刚中招
|
|
23
ntdll 8h 8m ago 1
虽然没啥用，但是分享一下，从部分其未加密的文件里，我看到了一些当时留下的系统日志：
10-28 凌晨 00:05–04:08：大量境外 IP 对 admin 的 WebUI 爆破，全部失败；（因为 admin 在我的设备上是禁用的） 14:46:46：46.8.78.122 又一次失败登录； 14:54:37：加密开始；（开始出现 LOCK3D 文件） 也就是初步推断，侵入与弱密码无关，与暴露 ssh 可能性也不大，更可能是 WebUI 的登入点存在某些 bug 。 各位可以考虑以后这类服务都需要通过 Zero Trust 后才允许访问。至于恢复的可能性并不太高了。 |
 |
24
bullfrog 8h 5m ago
Tailscale, cloudflare tunnel
|
 |
26
shalingye 7h 50m ago via Android
感觉这波逮着 nas 小白薅啊，不构建自己的数字生态迟早要付出代价
|
 |
27
jtshs256 7h 50m ago
360 的公告感觉也不对，目前有见到 7.4.1-u1 、7.2.1-u13 中招的案例，这些都是修了漏洞的版本。本来已经把仅暴露在 v6 的端口都关了，这下怕是 qc 也得关
|
 |
28
radiohide 7h 45m ago
@ntdll 感觉是 php 的问题呀 前几天不是有 php 的漏洞爆出来 一个内存分配失败的后策略会被利用获取代码运行权限的漏洞，跟你这个过程有点像 群晖是 php 的吧
|
 |
29
nkidgm 7h 38m ago
不是，你们都这么大胆，直接把群晖暴露到公网的嘛？我一般都是先套个 VPN 再打开群晖。
|
 |
30
Moatkon 7h 38m ago
感觉群辉时不时就中招
|
 |
31
wxjback 7h 13m ago 2
看了说明，9.18 就暴露的漏洞，群晖也早就发布了自动更新的修复，除非你关闭自动更新，应该都修复了吧。
|
 |
32
alfawei 7h 12m ago 1
@jtshs256 1. 消息没有什么具体来源？ 没有啥信息内容。搞个惊悚的标题。
2. 最近群晖官方更新了 PHP 漏洞，其他厂商好像并没有发布什么消息，也应该和这个 PHP 漏洞无关。 3. Reddit 和群晖英文官方论坛没有这个反馈 4. Google 搜索 synology 0day 24 小时和 1 小时都没有什么有价值内容 5. 目前所有的信息都似乎是简中区域的内容 |
|
33
mrzx 7h 10m ago
@liuzimin 多呢，说太多会得罪国内大厂的人。V2EX 在各大大厂的牛马都有.
就说个国外的， 上个月 9 月，RrouteOS 爆出出一个严重的安全漏洞，CVE-2026-86060 CVE-2026-67279 CVE-2026-67276 CVE-2026-67277 等等 只要猜对管理员名称,并且你开启了 ssh 服务就能黑进来，拿到路由器最高管理员权限，很多人账户就是默认账户 admin,ipv4 地址才 40 多亿个，利用这个漏洞扫完一遍很快的，一堆公网跑了 RouteOS 的路由器被黑了。 |
 |
34
wclebb 7h 10m ago
PHP 漏洞？
|
 |
35
StevenTong 7h 1m ago
看了网上说的，最新系统也中招。
|
|
36
Autonomous 6h 56m ago
|
 |
37
emmo 6h 54m ago
群晖技术拉的很。从这几年的软件更新就可以看出来了。爆出 0day 真的不意外。
|
|
38
mrzx 6h 54m ago
@Autonomous 哈哈，这次我不说了，你自己悟吧
|
 |
39
RogerSelf 6h 53m ago
|
 |
41
EyebrowsWhite 6h 38m ago
在用群晖，很幸运没中招，马上把端口转发关了。
看了下相关信息，今天早上 360 发的文章 https://www.360.cn/n/13055.html 涉及的漏洞是 9 月份的，已修复，https://www.synology.com/en-br/security/advisory/Synology_SA_26_13 这次修复涉及 8 个漏洞，其中两个 CVSS 9.8 ，不需要登录就可以利用，其余六个要登录才可以。结合 AI 分析了下，只要公网能访问 web 端口，且没有升级版本就可能中招，没有中招可能只是没被扫到。 搜索“C3RB3R synology”可以找到一些相关内容，这里贴两个链接： https://www.oschina.net/news/503279 https://www.reddit.com/r/synology/comments/1xhqgov/well_it_finally_happened_my_first_real_ransomware/ 另外，这里可以看群晖 DSM 版本发布记录 https://www.synology.com/en-global/releaseNote/DSM |
 |
42
fish3125 6h 37m ago
群晖的入口也是 nginx ，
修改 DSM.mustache ， ssl_reject_handshake on; 和 server_name 下使用 if 来允许指定域名访问也可以减少许多攻击面。 |
|
44
Autonomous 6h 35m ago
@mrzx UniFi 的网关路由器运行 WireGuard ，把群晖保护在内网，这样安全吗？
|
|
45
wclebb 6h 34m ago
@wclebb https://www.synology.com/en-global/security/advisory/Synology_SA_26_14
PHP2Shell 漏洞公告,跟近期的 PHP 漏洞 有关吗？ |
 |
46
nbweb 6h 32m ago
已中招，黑群，现在已关机，还好只用来当监控，没放任何其它资料。现在准备格式硬盘了。
准备找别的软件来代替群晖了，不用了。 |
 |
47
hunono 6h 30m ago
360 和 smzdm 的两篇相关文章大概率是 AI 写的.
|
|
48
EyebrowsWhite 6h 29m ago
@EyebrowsWhite 我认为 Reddit 的一楼评论说的很对，要么不要对公网开放除了 VPN 之外的端口，要么及时更新服务，普通人能做的也就这些了。
至于说最新版本也中招，这种 0day 真碰到谁也没办法。但是目前我没找到最新版本中招的消息来源，就这个 360 的文章来看，这个属于 1day ，距今已经一个多月了。 |
|
49
wclebb 6h 17m ago
@wclebb #45 我暂时没发现有中招的痕迹，也不知道如何查看被攻击。
但是幸亏因为这件事，我才发现日志，天天都有各种帐号和密码爆破我 NAS ，我寻思最近已经逐步转 Tailscale 和 Surge Ponte ，所以访问的问题不大。 |
 |
51
DarkFire 5h 55m ago
通过启用自定义域+反向代理——防火墙，配置自定义域名，把默认的 5001 端口关闭公网访问，公网只允许域名访问。这样能避免大部分扫描攻击。
|
 |
52
thereone 5h 45m ago 1
这个是上次吃瓜飞牛的时候写的，现在群晖吃瓜就复制粘贴一下。当然最优先的是 VPN 接入，其次才是 web 直接访问。
路由器把 IP 地址限制到你们城市或者省才能访问或者最大范围仅中国 IP 访问。挂上 WAF 把 IP 地址限制打开，用户认证打开，黑名单和白名单都打开 CC 和人机验证打开。搞到非常难访问的程度基本就没有问题了。 web 应用-->NGINX 反代(开启基本认证)--->WAF(IP 地址限制到你们省市，黑名单常用封禁国内爬虫恶意 IP ，CC 和人机验证打开，用户认证打开)--->出口路由器（限制访问为国内 IP 地址访问，开启国内爬虫和恶意 IP 封堵，公有云 IP 封堵）--->公网 你想用首先得是：国内正常 IP 非公有云 IP 非恶意 IP 非手动封堵 IP--->进入出口路由器--->过 WAF 的省内 IP 认证-->人机验证-->CC 防护-->用户认证-->攻击防护---->过 NGINX 反代基本认证--->再到 web 应用。 上了上面这套想要从外部攻破 首先得是国内的正常 IP 来攻击的，二是需要攻破 WAF 的各项防护，在攻破 NGINX 的基本认证防护，最后才是 web 应用的。 可以选择性的打开或者关闭某些防护，根据你的实际需求来做。 我这边把除了 NGINX 的基本防护关闭了，别的全部都打开了。现在没有任何问题包括外部扫描都没有了，除了国内两个省的 IP 地址可以访问别的地址都不能访问。 |
|
53
nbweb 5h 26m ago
@alfawei ds918 ，应该有两年了，一直没管他，昨晚打开家里 win11 ，发现群晖老是连不上，过一会又好了， 没有在意思。昨晚在 onedrive 里打包一个目录给 muse ，muse 还提醒我说有个恶意的文件，我也没在意。我一直在群晖上同步 onedrive 。中午朋友在群里说，我就上去看了一下，发现有一个 readme3.txt 的文件在 onedrive 里面，一看发现监控视频全加密了。越紧把端口转发关了，把群晖关机了。
晚上全盘格式化，用别的平替监控视频。 |
|
54
jtshs256 5h 21m ago
@alfawei #32 早上看的时候 reddit 就有 4 个帖子，其中一个： https://www.reddit.com/r/synology/comments/1xhqgov/well_it_finally_happened_my_first_real_ransomware/?sort=new 用 synology l0ck3d 作为关键词
|
|
58
emmo 4h 29m ago
|
|
59
wxjback 4h 25m ago
|
 |
60
clacf 3h 50m ago
关了 root 账密登录，只允许私钥登录，会不会安全很多？
|
 |
61
4seasons 3h 33m ago
看了眼群晖，一切安好，从买回来就做了防爆配置，开启了自动封锁。
1. 同一个 IP ，180 天登陆错 3 次，直接永久拉入访问黑名单； 2. 账户也不是常规的 root ； 3. 虽然暴露在公网，但是是通过 cloudflare 暴露的； 4. 没有任何虚拟机、docker 或者网页，只是单纯的存储。 保险起见，还是把公网暴露从 cloudflare 上下了 |
 |
62
DigitalG 3h 12m ago via iPhone
用 vpn 访问 nas 已经是个人用户比较高的防御手段了。讨论安全问题总要有个边界吧，不然从路由器后门/vpn 漏洞延伸下去，要不要考虑根证书泄露（刚发生），要不要考虑机器物理隔离，无穷无尽了。
|
 |
64
rightsandy 2h 39m ago
@4seasons 确实，即使某品牌路由器有漏洞，群晖也有漏洞，但是要既利用该路由器的漏洞又要能攻陷群晖那难度就几何级别上升了，况且用特定路由器加群晖的用户本来这种组合就是极少数的样本了，做自动化攻击也不合算。
|
|
65
liuzimin 2h 4m ago via Android
这个帖子说的不是漏洞攻破问题吗，根本不需要你的账号密码吧。楼上有的说的防爆策略感觉没有作用呀。
|
 |
66
hiyoi 1h 58m ago via Android
看了一下我的 ds918 ，还好没中招。 我只公开了 ipv6 ， 这个比较难扫到吧
|
|
67
someonesnone 1h 55m ago
@ntdll #15 问题是群晖明白自己哪里出问题了吗?别又是 ai 找到的洞, 最新版系统也没补上
|
 |
68
AuroraCC 1h 49m ago via iPhone
刚看我的已中招 昨天下午被爆破的 草了
|
 |
71
MYDB 1h 40m ago via iPhone
路由器上 nginx 反代逃过一劫，赶紧把反代也关了
|
 |
72
sonnetbreeze 1h 34m ago
群晖默认开自动更新，并且套 nginx ，设置地区白名单，在套个 waf ，套个 cdn ，基本上避免很多问题，刚才看了暴露公网 3 年的黑群，安全，不过最近那么多漏洞，还是老老实实 vpn 回家
|
|
73
AuroraCC 1h 22m ago via iPhone
https://github.com/soimy/c3rb3r-rescue/blob/main/README_CN.md
看有大佬开源了恢复方案 有恢复希望！回去尝试下 |
 |
74
cloudno1 1h 3m ago
 太可怕了，一天 1000 个连接警告 |
|
75
hiyoi 51 mins ago via Android
才发现我的 ds918 的版本还是 DSM7.2-64570 Update 4 ，检查更新状态也是最新，似乎收不到大版本推送了。请问大佬们，是否要手动升级一下大版本到 7.4 ？
|
 |
76
5boy 43 mins ago
中招了，有什么办法吗，有很多重要资料，哭了要
|
 |
77
xdzhang 40 mins ago
我群晖跑着不少程序 看样子要拿台服务器来跑反代 VPN 限制访问了
|
 |
82
haoshuaiwang 10 mins ago
就是被黑的用户没有完整的描述自身环境,现在都是猜测,不知道黑客具体使用什么方式入侵的,我还是倾向于不仅是群辉的 0day,因为我飞牛从 10 月 18 号开始就有 ssh 爆破了,而且是有计划性的,会针对你防火墙规则调整频率进行爆破
以下是被拉黑的 ip 大家可以筛选下是不是同一个攻击者 139.59.114.91 172.233.43.7 172.233.49.112 172.235.165.148 172.235.182.100 172.235.182.24 172.235.191.206 172.236.19.167 172.236.25.235 77.239.124.100 |
 |
83
loading 9 mins ago
不知道旧型号用 DSM 7.1 怎么办。
|
Select Language