周末起来发现 nas 服务都挂了，查看日志显示凌晨 2 点多被攻击，幸好 nas 还能通过 5001 端口登入，所有文件都被加密，后缀是.L0CK3D ，问了下 muse,按照提示进行操作，后面让 muse 通过 tailscale 来接管操作，关键千万不能关机。找到密钥以后就简单了，后面就是慢慢跑脚本恢复了。
请不要把任何和邀请码有关的内容发到 NAS 节点。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
 |
1
zthxxx 3h 12m ago
关键是还能从内存中回复密钥
|
 |
2
u2gign OP 没关机的话大概率能成内存中恢复密钥
|
 |
3
hoythan PRO 系统是最新版吗？什么型号？ 能提供一些有效的参数数据吗
|
 |
4
bawanag 2h 39m ago
没中招的瑟瑟发抖，OP 是哪个版本的哪个机器？是不是关掉外网 http/https 访问就安全了？
|
 |
5
BeforeTooLate 2h 30m ago
问题是找不到原因，岂不是还有被攻击的可能？
|
|
7
hoythan PRO 群晖官方的说法是这个问题是历史的老问题，最新版为啥也会中招我有点不理解了。
我的最新版是 DSM 7.4.1-90080 Update 1 暂时没有中招，端口 5000 和 5001 直接 IP 直连，关闭的代价太大了，天天担心。无语。 |
 |
8
alfawei 2h 0m ago
@u2gign #6 DS218+ 如果是 7.3 应该是 7.3.2-86009 Update 5 ； 你在 7.3.1 那大概是 7.3.1-86003 Update 1 ； 这个有点奇怪哦
|
|
9
hoythan PRO 我已经被连续扫 3 天了，记录 19000 多条。
都说是可以直接绕过登录，为什么一致尝试 admin 登录，我不太理解。 群晖也是阴间，在线客服排队 10 个人要等 3 个小时。 |
 |
13
justfindu 1h 42m ago
从内存中恢复了对称加密秘钥? 你恢复成功真实查看成功了吗?
|
|
17
hoythan PRO 按照群晖反馈的说法，她说 7.4.1 是安全的版本不用担心
|
 |
18
a9htdkbv 1h 27m ago
@hoythan 害怕，我现在把 QuickConnect 都关了，用 VPN Station 登录到内网，再通过内网访问管理面板。如果 VPN Station 也有 0day 就没招了
|
 |
19
etrock 1h 24m ago
我是路由端用的 lucky 反代，所有内网服务都用的同一个端口，lucky 依据不同的域名进对应内网 NAT 。。。前几天朋友中了，我的没事，默认不用 5000 和 5001 ；
不知道根因是啥，反正出问题那天已经确认群晖 php 是最新，但现在完全不敢开外网了。。。wg 隧道使用中~ |
 |
20
fionasit007 1h 24m ago
这能恢复成功？
|
 |
21
nodesolar 1h 19m ago
还在用 7.1 😄， 之前写了个简单服务在 nas 上，对于外网只有通过的 IP, nas 所有端口才对目标 ip 开放
每次要访问时手机点下快捷指令 |
 |
23
someonesnone 1h 9m ago
我关机了 现在还没开机 完全解决了踢我 cy
|
 |
24
USstyleright 1h 8m ago
@nodesolar #21 起码升级到 7.1.1 吧，这个是修复 0day 的
|
 |
25
zhumengyang 1h 6m ago
我这边的：关外网 定时全盘杀毒 定时快照 OSS 实时备份
|
 |
26
xclimbing 57 mins ago
就算你打上了最新补丁，也应该先避开风头再说啊，纯粹就是对官方太自信了。
|
 |
28
netblue 54 mins ago
你这都升到最新版了还中招？是开了 QuickConnect ？还是端口映射到了公网？
|
 |
29
boringwheat 48 mins ago
我也中招了，手贱直接重启了一次，密钥丢失了，导致只能从云端备份恢复了
|
|
30
boringwheat 47 mins ago
@netblue 我是找群晖的技术解决的，目前尚不清楚攻击的路径，只能先关掉端口映射和 QuickConnect
|
 |
31
zorrose 39 mins ago
刚收到群晖的提醒邮件，11-2 15：20 发的；这羊都死光了，才开始补牢
|
 |
32
Kenopsia 18 mins ago
黑裙 DSM 7.2.1-69057 Update 8 没有映射公网，暂时良好
|
 |
34
ldy619354397 2 mins ago
楼主，你有开公网端口吗，如果有开，是开了哪些群晖端口？
|
Select Language