Synology NAS 遭 Cerber 變種 C3RB3R 勒索軟體攻擊：官方與安全公司對入侵路徑說法分歧

發生了什麼

想像你是一家公司的 IT 管理員，早上進辦公室打開共用資料夾，發現所有檔案都變成 project-2026.xlsx.L0CK3D、database-backup.sql.L0CK3D，每個目錄都多了一個 read-me3.txt，打開一看是勒索信，要求用比特幣支付贖金才能拿回資料。你的 Synology NAS 被打穿了。

2026 年 10 月起，全球陸續有 Synology NAS 用戶通報遭勒索軟體攻擊。中國安全公司 360 的反勒索團隊確認這是老牌勒索家族 Cerber 的變種「C3RB3R」。

但是攻擊者怎麼進來的，出現了重大爭議：

• Synology 官方（2026-10-29）：指向「2024 年 12 月修補」的漏洞 CVE-2024-10441（Synology-SA-24:20，CVSS 9.8）
• 360 等安全公司（2026-10-29）：指向「2026 年 9 月 18 日修補」的漏洞 CVE-2026-13639 與 CVE-2026-13684（Synology-SA-26:13，均為 CVSS 9.8）
• 應變團隊 Solar（2026-10-30）：處理的案例當時跑最新 DSM 7.4.1-90080 Update 1（已修補上述所有漏洞），但無法排除第三方套件、容器或憑證外洩等其他途徑

來源說明：本文整理自 Synology 官方聲明（2026-10-29）、Synology 安全公告 SA-24:20 與 SA-26:13、360 安全資訊（2026-10-29）、pwn.watch、TrebSec 與 RocketZero 的技術分析。

C3RB3R 勒索軟體：Cerber 變種

360 的樣本分析確認這是 Cerber 勒索家族的變種，命名為「C3RB3R」（Cerber 的 leetspeak 寫法）。

加密特徵

• 副檔名：被加密檔案改為 .L0CK3D（或 .LOCK3D）
• 勒索信：每個被加密目錄留下 read-me3.txt
• 加密演算法：ChaCha8（對稱加密）+ RSA-2048（非對稱加密）
• 贖金：起價約 0.037 BTC（約 2,952 美元），五天後加倍至 0.073920 BTC

選擇性加密策略

Cerber 不會加密所有檔案：

1. 跳過 27 個系統目錄：避免加密系統檔導致 DSM 崩潰，確保勒索軟體能繼續運作
2. 跳過可執行檔與腳本：避免破壞系統運作
3. 優先檔案類型完整加密：187 種檔案類型（文件、圖片、影片、資料庫、原始碼等）會被完整加密
4. 其他檔案部分加密：縮短加密時間、搶在備份或快照之前完成

目前沒有免費解密工具

多個安全公司與情報來源確認：目前沒有公開的免費解密工具可解密 C3RB3R 加密的檔案。

爭議：攻擊者怎麼進來的？

這是這起事件最關鍵也最混亂的部分：Synology 官方與安全公司對入侵路徑的說法完全不同。

Synology 官方說法：2024 年 12 月的漏洞

Synology 於 2026 年 10 月 29 日發布官方聲明：

「Synology has identified threat actors exploiting a vulnerability patched in December 2024 to target devices running outdated versions of DSM. These attacks aim to encrypt data and extort ransom.」

聲明連結至 Synology-SA-24:20，該公告於 2024 年 11 月 5 日首次發布，涵蓋三個漏洞，其中最嚴重的是：

• CVE-2024-10441
• CVSS 9.8 Critical
• 未經驗證遠端程式碼執行（Improper encoding or escaping of output vulnerability in the system plugin daemon）
• 影響版本：DSM 7.2.2（需升級至 7.2.2-72806-1）、DSM 7.2.1（需升級至 7.2.1-69057-6）、DSM 7.2（需升級至 7.2-64570-4）、DSM 7.1（需升級至 7.1.1-42962-7）、DSM 6.2（需升級至 6.2.4-25556-8）
• 公開日期：2024-11-05（首次發布），2024-12-05（加入 DSM 6.2 更新）

這個漏洞是在 Pwn2Own 2024 比賽中由 DEVCORE 團隊發現的。

360 等安全公司說法：2026 年 9 月 18 日的漏洞

中國安全公司 360 於同日（2026-10-29）發布技術報告，指出攻擊利用的是兩個今年 9 月披露的漏洞：

• CVE-2026-13639：登入邏輯熵不足（Insufficient Entropy in login logic）
• CVE-2026-13684：SCGI 輸出編碼不當（Improper Encoding or Escaping of Output in SCGI）
• 均為 CVSS 9.8 Critical
• 均可免驗證遠端讀寫任意檔案與拒絕服務
• 公開與修補日期：2026-09-18（Synology-SA-26:13）
• 影響版本：DSM 7.4（需升級至 7.4-90075）、DSM 7.3（需升級至 7.3.2-86009-4）、DSM 7.2.2（需升級至 7.2.2-72806-9）、DSM 7.2.1（需升級至 7.2.1-69057-12）

360 強調這是「1-day 漏洞攻擊」（漏洞公開修補後一個月內的利用），而非「0-day」（未公開修補的漏洞利用）。

Solar 的案例：最新版 DSM 也中了？

事情變得更複雜：應變團隊 Solar 回報處理的一個案例，受害 NAS 當時跑的是 DSM 7.4.1-90080 Update 1（2026-10-12 發布），這個版本已經修補了上述所有漏洞（包括 CVE-2024-10441、CVE-2026-13639、CVE-2026-13684）。

但 Solar 明確表示：

「不能斷定是零日漏洞，也不排除第三方套件、管理員密碼外洩或入侵後才更新。」

為什麼說法會不同？

目前沒有任何一方提供決定性的技術證據（例如流量封包、exploit 程式碼、入侵時間戳）來證明自己的說法。

可能的解釋：

1. 兩條路都有人在走：老舊機器（DSM 7.2.x 以下）被 CVE-2024-10441 打，較新機器（DSM 7.2.2 至 7.3）被 CVE-2026-13639/13684 打
2. Synology 基於不同資料來源：官方可能看到的受害案例多為未更新至 2024-12 月版本的設備
3. 360 基於樣本分析：360 拿到的樣本可能是針對 9 月漏洞開發的版本
4. 還有其他入侵途徑：第三方套件、容器、弱密碼、SMB 暴露等

受害案例：快照被刪、備份被加密

從公開的受害者描述中，可以看到攻擊者不只加密檔案，還會：

刪除快照

有受害者回報 36 個快照只剩 1 個。

加密備份碟

常駐連接的 Hyper Backup USB 碟也會被加密。

這代表如果你的備份策略是「把 USB 碟插在 NAS 上定期備份」，勒索軟體會連備份一起加密。

部分案例的共同點

有受害者回報顯示：

• QuickConnect 或管理介面暴露於網際網路
• 路由器 UPnP 開啟，自動轉發埠
• 已開啟 2FA 的案例也中招（代表不是弱密碼暴力破解）
• 自認「已是最新版本」，但實際版本是數個月前的（DSM 不會跨主要版本自動更新）

如何確認是否受影響

檢查 DSM 版本

1. 登入 DSM
2. 開啟控制台 > 資訊中心 > 一般
3. 檢查「DSM 版本」欄位

修補版本（涵蓋 SA-24:20 與 SA-26:13 的所有漏洞）：

注意：DSM 的「檢查更新」畫面顯示「已是最新版本」不可信，因為：

• 自動更新不會跨主要版本（例如從 7.1 跳到 7.2）
• 有用戶停在 DSM 7.1.1（2024 年的版本）仍顯示「最新」

檢查是否已被加密

1. 開啟 File Station
2. 檢查共用資料夾中是否有副檔名變成 .L0CK3D 的檔案
3. 檢查是否有 read-me3.txt 檔案

檢查日誌

1. 開啟 日誌中心（Log Center）
2. 檢查是否有：
   • 異常的登入記錄（特別是來自陌生 IP）
   • 未知的使用者帳號
   • 可疑的排程任務
   • 批量檔案修改記錄

執行安全性掃描

1. 開啟 套件中心，安裝 Security Advisor（若尚未安裝）
2. 執行完整掃描
3. 檢視建議並修正

立即要做的事

更新到最新版本

立即更新 DSM，不要等。

1. 控制台 > 更新和還原 > DSM 更新
2. 點選「下載」，等待下載完成
3. 點選「立即更新」
4. 更新後重新開機

重要：DSM 7.4、7.3、7.2.2、7.2.1 是不同的主要版本，更新時要手動選擇要升級的版本。不要只按「檢查更新」就以為已經是最新。

不要把管理介面暴露在網際網路上

最重要的防禦：管理介面（5000/5001 埠）不應該直接暴露於網際網路。

改用：

1. VPN：透過 VPN 連回內部網路再存取 NAS
2. Synology QuickConnect：Synology 提供的中繼服務（但要注意 QuickConnect 本身也可能成為攻擊面）
3. 反向代理：如果一定要從外部存取，放在反向代理後面並加上額外的驗證層

啟用雙重驗證（2FA）

即使有案例開了 2FA 還是中招（透過 DSM 漏洞繞過登入），2FA 仍能防禦：

• 弱密碼暴力破解
• 密碼外洩
• 釣魚攻擊（部分）

1. 控制台 > 使用者與群組
2. 選擇你的帳號，點「編輯」
3. 勾選「啟用雙因素驗證」

同時啟用自動 IP 封鎖（連續登入失敗後封鎖 IP）：

1. 控制台 > 安全性 > 帳號
2. 勾選「啟用自動封鎖」

停用預設 admin 帳號

預設 admin 帳號是眾所周知的目標，應該停用並改用自訂帳號。

1. 建立一個新的管理員帳號（自訂名稱）
2. 賦予管理員權限
3. 用新帳號登入測試
4. 停用 admin 帳號

啟用 Btrfs 快照與快照防篡改

如果你的共用資料夾使用 Btrfs 檔案系統，可以啟用快照：

1. 控制台 > 共用資料夾
2. 選擇資料夾，點「編輯」> 快照
3. 勾選「啟用共用資料夾快照排程」
4. 啟用「快照防篡改」（防止勒索軟體刪除快照）

重要：前面提到有案例 36 個快照被刪到只剩 1 個，代表預設的快照不一定安全。Synology 有快照防篡改功能（immutable snapshots），可以防止快照被刪除或修改。

準備離線或異地備份（3-2-1 原則）

最重要的防禦：至少有一份備份是勒索軟體碰不到的。

3-2-1 備份原則：

• 3 份資料副本（1 份正本 + 2 份備份）
• 2 種不同媒體（例如 NAS + USB 碟 + 雲端）
• 1 份離線或異地保存

離線備份的意思是：

• USB 碟備份完後拔掉，不要常駐連接
• 或者定期輪替備份碟（類似傳統磁帶備份的 GFS 排程）

異地備份的意思是：

• 備份到雲端（Synology C2、Backblaze、AWS S3 等）
• 或者備份到另一個地點的 NAS（但要確保兩邊都安全）

如果已經中毒

如果發現檔案已經變成 .L0CK3D，立即採取以下步驟：

1. 拔網路線隔離

立即拔掉網路線，阻止：

• 加密繼續擴散
• 攻擊者遠端控制
• 擴散到同網段其他設備

不要重新啟動或關機：有案例顯示加密金鑰可能還在記憶體中，重開機會丟失。

2. 不要急著付贖金

不要立即支付贖金，理由：

• 沒有保證付了錢就能拿回檔案
• 助長勒索軟體生態
• 可能還有其他還原方式（快照、備份、記憶體金鑰）

360 在報告中三次強調：「不要支付贖金！不要支付贖金！不要支付贖金！」

3. 保留證據

保留以下檔案，供後續調查或還原：

• 勒索信 read-me3.txt
• 加密檔案樣本（不要刪除）
• 日誌中心的所有日誌（匯出備份）
• SSH 日誌（如果有開 SSH）
• Docker / 套件日誌

4. 從快照或備份還原

如果有啟用快照或離線備份：

從快照還原：

1. 控制台 > 共用資料夾 > 選擇資料夾
2. 快照 > 選擇加密前的快照
3. 還原

從 Hyper Backup 還原：

1. 如果備份在離線 USB 碟或雲端（未被加密）
2. 開啟 Hyper Backup
3. 選擇備份任務 > 還原

5. 改密碼、通報、重建

還原檔案後：

1. 強制重設所有密碼（包括 DSM、SMB、其他服務）
2. 檢查是否有未授權帳號
3. 移除可疑的排程任務與套件
4. 通報 Synology 技術支援
5. 考慮重建系統（因為攻擊者可能已植入後門）

你可以學到什麼

站在攻擊者的角度：我先掃描未更新的 Synology NAS，管理介面直接對外、QuickConnect 開著、或者用路由器 UPnP 自動轉發。進去之後掃描所有掛載的儲存空間，跳過系統目錄讓 DSM 繼續運作，把共用資料夾、開發文件、資料庫、備份檔全部加密成 .L0CK3D。你的快照？我會刪到只剩一個。你的 Hyper Backup USB 碟？只要常駐連著 NAS，一起加密。

lessons本案的 7 個教訓

1. 01
   入侵路徑存在爭議不等於沒有風險：Synology 官方與 360 對漏洞的說法不同，但無論如何，未更新 DSM 都是受害主因。不要因為「說法不一致」就不更新。
2. 02
   「已是最新版本」不可信：DSM 自動更新不會跨主要版本，有用戶停在 2024 年的 7.1.1 仍顯示「最新」。要手動確認版本號。
3. 03
   快照不等於快照防篡改：有案例 36 個快照被刪到只剩 1 個。Btrfs 快照要額外啟用「快照防篡改」才能防止勒索軟體刪除。
4. 04
   常駐連接的備份碟會被加密：把 USB 碟插在 NAS 上定期備份，勒索軟體會連備份一起加密。備份完要拔掉，或者定期輪替。
5. 05
   管理介面不應暴露於網際網路：即使開了 2FA、強密碼、停用 admin，DSM 本身的漏洞仍可能被利用。改用 VPN 或反向代理。
6. 06
   第三方套件與容器也是入侵途徑：Solar 的案例顯示即使 DSM 本身已更新，第三方套件（如 GitLab、Confluence、Docker 容器）或弱密碼仍可能成為破口。
7. 07
   3-2-1 備份原則是最後防線：至少有一份備份是勒索軟體碰不到的（離線或異地），這是把勒索軟體從「災難」變成「麻煩」的關鍵。

keywords重點學習：最需要學習的 10 個關鍵字12 個

1. 01
   C3RB3R

   Cerber 勒索軟體的變種，使用 leetspeak 命名，本次攻擊的主角。
2. 02
   Cerber

   老牌勒索軟體家族，長期針對 NAS 設備實施加密勒索。
3. 03
   .L0CK3D

   被 C3RB3R 加密的檔案副檔名（或 .LOCK3D）。
4. 04
   read-me3.txt

   C3RB3R 在每個被加密目錄留下的勒索信檔名。
5. 05
   CVE-2024-10441

   Synology 官方指向的漏洞（2024-12 月修補），CVSS 9.8，免登入遠端執行程式碼。
6. 06
   CVE-2026-13639

   360 指向的漏洞（2026-09-18 修補），登入邏輯熵不足，CVSS 9.8，免驗證遠端讀寫任意檔案。
7. 07
   CVE-2026-13684

   360 指向的漏洞（2026-09-18 修補），SCGI 輸出編碼不當，CVSS 9.8，免驗證遠端讀寫任意檔案。
8. 08
   Synology-SA-24:20

   Synology 安全公告（2024-11-05），涵蓋 CVE-2024-10441 等漏洞。
9. 09
   Synology-SA-26:13

   Synology 安全公告（2026-09-18），涵蓋 CVE-2026-13639、CVE-2026-13684 等 8 個漏洞。
10. 10
    快照防篡改（Immutable Snapshots）

    Btrfs 快照的功能，防止快照被刪除或修改，需額外啟用。
11. 11
    3-2-1 備份原則

    3 份資料副本、2 種不同媒體、1 份離線或異地，防禦勒索軟體的最後防線。
12. 12
    ChaCha8 + RSA-2048

    C3RB3R 使用的加密演算法組合：ChaCha8 對稱加密檔案內容，RSA-2048 非對稱加密金鑰。

try today今天就可以來試試約 20 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

1. 確認 DSM 版本並更新到最新

   登入 DSM > 控制台 > 資訊中心 > 一般 > 檢視「DSM 版本」；然後到控制台 > 更新和還原 > DSM 更新 > 手動下載並安裝

   看到什麼代表什麼：DSM 7.4 要 7.4-90075 以上、7.3 要 7.3.2-86009-4 以上、7.2.2 要 7.2.2-72806-9 以上、7.2.1 要 7.2.1-69057-12 以上。不要只看「已是最新版本」，要看實際版本號。
2. 檢查管理介面是否暴露於網際網路
   看到什麼代表什麼：從外部網路（手機 4G 或其他網路）嘗試連線 http://你的公網IP:5000 或 https://你的公網IP:5001。如果能連上，立即關閉路由器的埠轉發或防火牆規則。
3. 檢查是否有 .L0CK3D 檔案或 read-me3.txt

   登入 DSM > File Station > 檢視共用資料夾 > 搜尋 '.L0CK3D' 或 'read-me3.txt'

   看到什麼代表什麼：若找到，立即拔網路線、不要重開機、保留現場、聯繫資安團隊或 Synology 技術支援。
4. 啟用雙重驗證（2FA）與自動 IP 封鎖

   控制台 > 使用者與群組 > 編輯帳號 > 啟用雙因素驗證；控制台 > 安全性 > 帳號 > 啟用自動封鎖

   看到什麼代表什麼：設定 2FA 後每次登入需輸入動態驗證碼；自動封鎖會在連續登入失敗後封鎖 IP。
5. 停用預設 admin 帳號

   先建立一個自訂名稱的管理員帳號並測試能登入，然後到控制台 > 使用者與群組 > 選擇 admin > 停用

   看到什麼代表什麼：登入畫面不再顯示 admin 帳號，只能用自訂管理員帳號登入。
6. 啟用 Btrfs 快照與快照防篡改

   控制台 > 共用資料夾 > 選擇資料夾 > 編輯 > 快照 > 啟用共用資料夾快照排程 > 啟用快照防篡改

   看到什麼代表什麼：定期自動產生快照，且快照無法被刪除或修改（需 Btrfs 檔案系統）。
7. 檢查備份策略是否符合 3-2-1 原則
   看到什麼代表什麼：3 份資料副本（正本 + 2 備份）、2 種媒體（NAS + USB / 雲端）、1 份離線或異地。若備份 USB 碟常駐連接，改為備份完就拔掉。
8. 執行 Security Advisor 掃描

   套件中心 > 安裝 Security Advisor（若未安裝）> 開啟 Security Advisor > 執行掃描

   看到什麼代表什麼：檢視建議並逐項修正，特別是「安全性」與「帳號」類別的警告。

給 NAS 用戶的實用建議

以下整理給 Synology NAS 用戶的完整防禦檢查清單，附上官方說明文件連結：

更新與修補

• 更新到最新版 DSM：如何更新 DSM
• 啟用自動更新：控制台 > 更新和還原 > 自動更新設定

網路存取控制

• 不要暴露管理介面（5000/5001 埠）：防火牆設定
• 使用 VPN 遠端存取：設定 VPN Server
• QuickConnect 安全性：QuickConnect 常見問題

帳號安全

• 啟用雙重驗證（2FA）：設定雙因素驗證
• 停用預設 admin 帳號：建立新管理員帳號後再停用
• 啟用自動 IP 封鎖：控制台 > 安全性 > 帳號
• 使用強密碼：至少 12 字元，混合大小寫、數字、符號

備份與快照

• 啟用 Btrfs 快照與快照防篡改：共用資料夾快照
• 設定 Hyper Backup：Hyper Backup 教學
• 離線備份：備份到 USB 碟後拔掉，或定期輪替
• 異地備份：備份到雲端或另一個地點的 NAS
• 測試還原：定期測試備份能否成功還原

監控與稽核

• 檢視日誌中心：日誌中心
• 執行 Security Advisor：Security Advisor
• 檢查排程任務：控制台 > 任務排程器
• 檢查套件與 Docker 容器：移除不需要的套件與容器

後續追蹤

由於入侵路徑仍有爭議，且 Solar 案例顯示可能有其他未知途徑，建議持續關注：

1. Synology 安全公告：https://www.synology.com/security/advisory
2. CISA KEV（已知被利用漏洞）：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
3. 360 安全資訊：https://www.360.cn/n/

如果你的 NAS 已經更新到最新版本、管理介面沒有暴露、開了 2FA 與快照防篡改、有離線備份，那你已經做了大部分該做的防禦。剩下的就是持續監控與保持更新。

攻擊還在進行中。今天就檢查。