防暴筆記BREACH NOTES

Synology NAS 遭 Cerber 變種 C3RB3R 勒索軟體攻擊：
官方與安全公司對入侵路徑說法分歧

速讀：5 分鐘掌握重點

為什麼現在很紅：NAS 用戶醒來發現所有檔案變成 .L0CK3D，共用資料夾、開發文件、資料庫備份全被加密。Synology 說是 2024 年 12 月的漏洞，360 說是 2026 年 9 月的漏洞，Solar 說他們處理的案例當時跑最新版 DSM 但還是中了。誰說的對？

一句話結論
2026 年 10 月起陸續有 Synology NAS 用戶通報遭勒索軟體攻擊，檔案被加密並改為 .L0CK3D 副檔名，每個目錄留下 read-me3.txt 勒索信。中國安全公司 360 的反勒索團隊確認這是老牌勒索家族 Cerber 的變種「C3RB3R」，使用 ChaCha8 + RSA-2048 加密，要求以比特幣支付贖金，起價約 0.037 BTC（約 2,952 美元），五天後加倍。目前沒有免費解密工具。
他要的是什麼
我先掃描未更新的 Synology NAS，管理介面直接對外、QuickConnect 開著、或者用路由器 UPnP 自動轉發。進去之後掃描所有掛載的儲存空間，跳過系統目錄讓 DSM 繼續運作，把共用資料夾、開發文件、資料庫、備份檔全部加密成 .L0CK3D。你的快照？我會刪到只剩一個。你的 Hyper Backup USB 碟？只要常駐連著 NAS，一起加密。
你今天做一件事
今天檢查你的 NAS：DSM 版本是否為最新、管理介面有沒有直接暴露在網路上、有沒有開 2FA、預設 admin 帳號停用了沒、快照有沒有開快照防篡改、有沒有一份離線的備份。如果檔案已經變成 .L0CK3D，立即拔網路線、不要重開機、保留現場、從離線備份或快照還原。 直接去做 →
哪些能信
9 可證明3 推論4 缺口 每個主張都標了等級，缺口是誠實寫出來的。
破口速查
受害端一律去識別化；寫「未公開」代表公開資料查不到。
伺服器服務商
全球 Synology NAS 設備，受影響數量未公開；已知受害者涵蓋個人用戶與企業
網路服務商
網際網路；攻擊針對暴露於公網的 DSM 管理介面、QuickConnect、或開放 SMB 共享
漏洞出現的地方
入侵路徑存在爭議：Synology 官方指向 CVE-2024-10441（Synology-SA-24:20，2024-12 月修補）；360 等安全公司指向 CVE-2026-13639 與 CVE-2026-13684（Synology-SA-26:13，2026-09-18 修補）；Solar 回報有案例當時跑最新 DSM 7.4.1，不排除其他途徑
馬上自我檢測
檢查 DSM 版本：控制台 > 資訊中心 > 一般 檢查共用資料夾是否有 .L0CK3D 檔案或 read-me3.txt 勒索信 檢查日誌中心是否有異常登入、未知使用者帳號、可疑排程任務 檢查安全性建議程式（Security Advisor）的安全性掃描結果 檢查是否有未預期的 Docker 容器或套件
漏洞修補方式
立即更新到最新版 DSM（7.4.1-90080 Update 1、7.3.2-86009 Update 5、7.2.2-72806 Update 10、7.2.1-69057 Update 13 或更新版本） 不要將 DSM 管理介面（5000/5001 埠）直接暴露於網際網路，改用 VPN 或 Synology QuickConnect 啟用雙重驗證（2FA）與自動 IP 封鎖 停用預設 admin 帳號，所有帳號使用強密碼 啟用 Btrfs 共用資料夾快照與快照防篡改功能 準備離線或異地備份（3-2-1 原則） 若已中毒：立即拔網路線隔離、不要重新啟動或重新安裝、保留勒索信與日誌、從快照或備份還原、改密碼、通報 Synology
有 15 分鐘再看：其餘 2 點
  1. 攻擊入侵路徑存在重大爭議：Synology 官方於 2026-10-29 發布聲明，指向「2024 年 12 月修補」的漏洞並連結至 Synology-SA-24:20（CVE-2024-10441，CVSS 9.8，免登入遠端執行程式碼）。同日，360 發布技術報告指出攻擊利用 2026 年 9 月 18 日揭露並修補的兩個漏洞 CVE-2026-13639（登入邏輯熵不足）與 CVE-2026-13684（SCGI 輸出編碼不當），均為 CVSS 9.8、免驗證遠端讀寫任意檔案。應變團隊 Solar 回報處理的一個案例當時跑 DSM 7.4.1-90080 Update 1（2026-10-12 發布，已修補上述所有漏洞），但明確表示不能斷定是零日漏洞，也不排除第三方套件、容器、或管理員密碼外洩等入侵途徑。
  2. 360 技術分析顯示 C3RB3R 會跳過 27 個系統目錄以避免系統崩潰，對 187 種優先檔案類型完整加密、其他檔案部分加密。受影響版本：DSM 7.4（需升級至 7.4-90075 以上）、DSM 7.3（需升級至 7.3.2-86009-4 以上）、DSM 7.2.2（需升級至 7.2.2-72806-9 以上）、DSM 7.2.1（需升級至 7.2.1-69057-12 以上）。有受害者回報攻擊者不僅加密共用資料夾，也刪除多數快照（有案例 36 個快照只剩 1 個）、加密常駐連接的 Hyper Backup USB 備份碟。

2026 年 10 月起陸續有 Synology NAS 用戶通報檔案被加密成 .L0CK3D，每個目錄留下 read-me3.txt 勒索信。中國安全公司 360 將攻擊歸因於 2026 年 9 月修補的兩個 CVSS 9.8 漏洞，Synology 官方則指向 2024 年 12 月修補的漏洞。應變團隊 Solar 回報有案例當時已跑最新 DSM，但無法排除第三方套件、容器或憑證外洩等其他入侵途徑。

Synology NAS 遭 C3RB3R 勒索軟體攻擊，入侵路徑存在爭議（2026-10 月起發生，2026-10-29 揭露）·2026-10 月初起陸續有 NAS 用戶求助 → 2026-10-29 Synology 與 360 分別發布聲明與報告，對入侵漏洞說法不同·全文 12 分鐘
本篇目錄

發生了什麼

想像你是一家公司的 IT 管理員，早上進辦公室打開共用資料夾，發現所有檔案都變成 project-2026.xlsx.L0CK3D、database-backup.sql.L0CK3D，每個目錄都多了一個 read-me3.txt，打開一看是勒索信，要求用比特幣支付贖金才能拿回資料。你的 Synology NAS 被打穿了。

2026 年 10 月起，全球陸續有 Synology NAS 用戶通報遭勒索軟體攻擊。中國安全公司 360 的反勒索團隊確認這是老牌勒索家族 Cerber 的變種「C3RB3R」。

但是攻擊者怎麼進來的，出現了重大爭議：

  • Synology 官方（2026-10-29）：指向「2024 年 12 月修補」的漏洞 CVE-2024-10441（Synology-SA-24:20，CVSS 9.8）
  • 360 等安全公司（2026-10-29）：指向「2026 年 9 月 18 日修補」的漏洞 CVE-2026-13639 與 CVE-2026-13684（Synology-SA-26:13，均為 CVSS 9.8）
  • 應變團隊 Solar（2026-10-30）：處理的案例當時跑最新 DSM 7.4.1-90080 Update 1（已修補上述所有漏洞），但無法排除第三方套件、容器或憑證外洩等其他途徑

來源說明：本文整理自 Synology 官方聲明（2026-10-29）、Synology 安全公告 SA-24:20 與 SA-26:13、360 安全資訊（2026-10-29）、pwn.watch、TrebSec 與 RocketZero 的技術分析。

C3RB3R 勒索軟體：Cerber 變種

360 的樣本分析確認這是 Cerber 勒索家族的變種，命名為「C3RB3R」（Cerber 的 leetspeak 寫法）。

加密特徵

  • 副檔名：被加密檔案改為 .L0CK3D（或 .LOCK3D）
  • 勒索信：每個被加密目錄留下 read-me3.txt
  • 加密演算法：ChaCha8（對稱加密）+ RSA-2048（非對稱加密）
  • 贖金：起價約 0.037 BTC（約 2,952 美元），五天後加倍至 0.073920 BTC

選擇性加密策略

Cerber 不會加密所有檔案：

  1. 跳過 27 個系統目錄：避免加密系統檔導致 DSM 崩潰，確保勒索軟體能繼續運作
  2. 跳過可執行檔與腳本：避免破壞系統運作
  3. 優先檔案類型完整加密：187 種檔案類型（文件、圖片、影片、資料庫、原始碼等）會被完整加密
  4. 其他檔案部分加密：縮短加密時間、搶在備份或快照之前完成

目前沒有免費解密工具

多個安全公司與情報來源確認：目前沒有公開的免費解密工具可解密 C3RB3R 加密的檔案。

爭議：攻擊者怎麼進來的？

這是這起事件最關鍵也最混亂的部分：Synology 官方與安全公司對入侵路徑的說法完全不同。

Synology 官方說法：2024 年 12 月的漏洞

Synology 於 2026 年 10 月 29 日發布官方聲明：

「Synology has identified threat actors exploiting a vulnerability patched in December 2024 to target devices running outdated versions of DSM. These attacks aim to encrypt data and extort ransom.」

聲明連結至 Synology-SA-24:20，該公告於 2024 年 11 月 5 日首次發布，涵蓋三個漏洞，其中最嚴重的是：

  • CVE-2024-10441
  • CVSS 9.8 Critical
  • 未經驗證遠端程式碼執行（Improper encoding or escaping of output vulnerability in the system plugin daemon）
  • 影響版本：DSM 7.2.2（需升級至 7.2.2-72806-1）、DSM 7.2.1（需升級至 7.2.1-69057-6）、DSM 7.2（需升級至 7.2-64570-4）、DSM 7.1（需升級至 7.1.1-42962-7）、DSM 6.2（需升級至 6.2.4-25556-8）
  • 公開日期：2024-11-05（首次發布），2024-12-05（加入 DSM 6.2 更新）

這個漏洞是在 Pwn2Own 2024 比賽中由 DEVCORE 團隊發現的。

360 等安全公司說法：2026 年 9 月 18 日的漏洞

中國安全公司 360 於同日（2026-10-29）發布技術報告，指出攻擊利用的是兩個今年 9 月披露的漏洞：

  • CVE-2026-13639：登入邏輯熵不足（Insufficient Entropy in login logic）
  • CVE-2026-13684：SCGI 輸出編碼不當（Improper Encoding or Escaping of Output in SCGI）
  • 均為 CVSS 9.8 Critical
  • 均可免驗證遠端讀寫任意檔案與拒絕服務
  • 公開與修補日期：2026-09-18（Synology-SA-26:13）
  • 影響版本：DSM 7.4（需升級至 7.4-90075）、DSM 7.3（需升級至 7.3.2-86009-4）、DSM 7.2.2（需升級至 7.2.2-72806-9）、DSM 7.2.1（需升級至 7.2.1-69057-12）

360 強調這是「1-day 漏洞攻擊」（漏洞公開修補後一個月內的利用），而非「0-day」（未公開修補的漏洞利用）。

Solar 的案例：最新版 DSM 也中了？

事情變得更複雜：應變團隊 Solar 回報處理的一個案例，受害 NAS 當時跑的是 DSM 7.4.1-90080 Update 1（2026-10-12 發布），這個版本已經修補了上述所有漏洞（包括 CVE-2024-10441、CVE-2026-13639、CVE-2026-13684）。

但 Solar 明確表示：

「不能斷定是零日漏洞，也不排除第三方套件、管理員密碼外洩或入侵後才更新。」

為什麼說法會不同？

目前沒有任何一方提供決定性的技術證據（例如流量封包、exploit 程式碼、入侵時間戳）來證明自己的說法。

可能的解釋：

  1. 兩條路都有人在走：老舊機器（DSM 7.2.x 以下）被 CVE-2024-10441 打，較新機器（DSM 7.2.2 至 7.3）被 CVE-2026-13639/13684 打
  2. Synology 基於不同資料來源：官方可能看到的受害案例多為未更新至 2024-12 月版本的設備
  3. 360 基於樣本分析：360 拿到的樣本可能是針對 9 月漏洞開發的版本
  4. 還有其他入侵途徑：第三方套件、容器、弱密碼、SMB 暴露等

受害案例：快照被刪、備份被加密

從公開的受害者描述中，可以看到攻擊者不只加密檔案，還會：

刪除快照

有受害者回報 36 個快照只剩 1 個。

加密備份碟

常駐連接的 Hyper Backup USB 碟也會被加密。

這代表如果你的備份策略是「把 USB 碟插在 NAS 上定期備份」，勒索軟體會連備份一起加密。

部分案例的共同點

有受害者回報顯示：

  • QuickConnect 或管理介面暴露於網際網路
  • 路由器 UPnP 開啟，自動轉發埠
  • 已開啟 2FA 的案例也中招（代表不是弱密碼暴力破解）
  • 自認「已是最新版本」，但實際版本是數個月前的（DSM 不會跨主要版本自動更新）

如何確認是否受影響

檢查 DSM 版本

  1. 登入 DSM
  2. 開啟控制台 > 資訊中心 > 一般
  3. 檢查「DSM 版本」欄位

修補版本（涵蓋 SA-24:20 與 SA-26:13 的所有漏洞）：

DSM 版本最低修補版本當前最新版本（2026-10-12）
DSM 7.47.4-900757.4.1-90080 Update 1
DSM 7.37.3.2-86009-47.3.2-86009 Update 5
DSM 7.2.27.2.2-72806-97.2.2-72806 Update 10
DSM 7.2.17.2.1-69057-127.2.1-69057 Update 13
DSM 7.27.2-64570-4—
DSM 7.1 / 7.07.1.1-42962-77.1.1-42962 Update 9
DSM 6.26.2.4-25556-86.2.4-25556 Update 8

注意：DSM 的「檢查更新」畫面顯示「已是最新版本」不可信，因為：

  • 自動更新不會跨主要版本（例如從 7.1 跳到 7.2）
  • 有用戶停在 DSM 7.1.1（2024 年的版本）仍顯示「最新」

檢查是否已被加密

  1. 開啟 File Station
  2. 檢查共用資料夾中是否有副檔名變成 .L0CK3D 的檔案
  3. 檢查是否有 read-me3.txt 檔案

檢查日誌

  1. 開啟 日誌中心（Log Center）
  2. 檢查是否有：
    • 異常的登入記錄（特別是來自陌生 IP）
    • 未知的使用者帳號
    • 可疑的排程任務
    • 批量檔案修改記錄

執行安全性掃描

  1. 開啟 套件中心，安裝 Security Advisor（若尚未安裝）
  2. 執行完整掃描
  3. 檢視建議並修正

立即要做的事

更新到最新版本

立即更新 DSM，不要等。

  1. 控制台 > 更新和還原 > DSM 更新
  2. 點選「下載」，等待下載完成
  3. 點選「立即更新」
  4. 更新後重新開機

重要：DSM 7.4、7.3、7.2.2、7.2.1 是不同的主要版本，更新時要手動選擇要升級的版本。不要只按「檢查更新」就以為已經是最新。

不要把管理介面暴露在網際網路上

最重要的防禦：管理介面（5000/5001 埠）不應該直接暴露於網際網路。

改用：

  1. VPN：透過 VPN 連回內部網路再存取 NAS
  2. Synology QuickConnect：Synology 提供的中繼服務（但要注意 QuickConnect 本身也可能成為攻擊面）
  3. 反向代理：如果一定要從外部存取，放在反向代理後面並加上額外的驗證層

啟用雙重驗證（2FA）

即使有案例開了 2FA 還是中招（透過 DSM 漏洞繞過登入），2FA 仍能防禦：

  • 弱密碼暴力破解
  • 密碼外洩
  • 釣魚攻擊（部分）
  1. 控制台 > 使用者與群組
  2. 選擇你的帳號，點「編輯」
  3. 勾選「啟用雙因素驗證」

同時啟用自動 IP 封鎖（連續登入失敗後封鎖 IP）：

  1. 控制台 > 安全性 > 帳號
  2. 勾選「啟用自動封鎖」

停用預設 admin 帳號

預設 admin 帳號是眾所周知的目標，應該停用並改用自訂帳號。

  1. 建立一個新的管理員帳號（自訂名稱）
  2. 賦予管理員權限
  3. 用新帳號登入測試
  4. 停用 admin 帳號

啟用 Btrfs 快照與快照防篡改

如果你的共用資料夾使用 Btrfs 檔案系統，可以啟用快照：

  1. 控制台 > 共用資料夾
  2. 選擇資料夾，點「編輯」> 快照
  3. 勾選「啟用共用資料夾快照排程」
  4. 啟用「快照防篡改」（防止勒索軟體刪除快照）

重要：前面提到有案例 36 個快照被刪到只剩 1 個，代表預設的快照不一定安全。Synology 有快照防篡改功能（immutable snapshots），可以防止快照被刪除或修改。

準備離線或異地備份（3-2-1 原則）

最重要的防禦：至少有一份備份是勒索軟體碰不到的。

3-2-1 備份原則：

  • 3 份資料副本（1 份正本 + 2 份備份）
  • 2 種不同媒體（例如 NAS + USB 碟 + 雲端）
  • 1 份離線或異地保存

離線備份的意思是：

  • USB 碟備份完後拔掉，不要常駐連接
  • 或者定期輪替備份碟（類似傳統磁帶備份的 GFS 排程）

異地備份的意思是：

  • 備份到雲端（Synology C2、Backblaze、AWS S3 等）
  • 或者備份到另一個地點的 NAS（但要確保兩邊都安全）

如果已經中毒

如果發現檔案已經變成 .L0CK3D，立即採取以下步驟：

1. 拔網路線隔離

立即拔掉網路線，阻止：

  • 加密繼續擴散
  • 攻擊者遠端控制
  • 擴散到同網段其他設備

不要重新啟動或關機：有案例顯示加密金鑰可能還在記憶體中，重開機會丟失。

2. 不要急著付贖金

不要立即支付贖金，理由：

  • 沒有保證付了錢就能拿回檔案
  • 助長勒索軟體生態
  • 可能還有其他還原方式（快照、備份、記憶體金鑰）

360 在報告中三次強調：「不要支付贖金！不要支付贖金！不要支付贖金！」

3. 保留證據

保留以下檔案，供後續調查或還原：

  • 勒索信 read-me3.txt
  • 加密檔案樣本（不要刪除）
  • 日誌中心的所有日誌（匯出備份）
  • SSH 日誌（如果有開 SSH）
  • Docker / 套件日誌

4. 從快照或備份還原

如果有啟用快照或離線備份：

從快照還原：

  1. 控制台 > 共用資料夾 > 選擇資料夾
  2. 快照 > 選擇加密前的快照
  3. 還原

從 Hyper Backup 還原：

  1. 如果備份在離線 USB 碟或雲端（未被加密）
  2. 開啟 Hyper Backup
  3. 選擇備份任務 > 還原

5. 改密碼、通報、重建

還原檔案後：

  1. 強制重設所有密碼（包括 DSM、SMB、其他服務）
  2. 檢查是否有未授權帳號
  3. 移除可疑的排程任務與套件
  4. 通報 Synology 技術支援
  5. 考慮重建系統（因為攻擊者可能已植入後門）

你可以學到什麼

站在攻擊者的角度：我先掃描未更新的 Synology NAS，管理介面直接對外、QuickConnect 開著、或者用路由器 UPnP 自動轉發。進去之後掃描所有掛載的儲存空間，跳過系統目錄讓 DSM 繼續運作，把共用資料夾、開發文件、資料庫、備份檔全部加密成 .L0CK3D。你的快照？我會刪到只剩一個。你的 Hyper Backup USB 碟？只要常駐連著 NAS，一起加密。

lessons本案的 7 個教訓
  1. 01
    入侵路徑存在爭議不等於沒有風險：Synology 官方與 360 對漏洞的說法不同，但無論如何，未更新 DSM 都是受害主因。不要因為「說法不一致」就不更新。
  2. 02
    「已是最新版本」不可信：DSM 自動更新不會跨主要版本，有用戶停在 2024 年的 7.1.1 仍顯示「最新」。要手動確認版本號。
  3. 03
    快照不等於快照防篡改：有案例 36 個快照被刪到只剩 1 個。Btrfs 快照要額外啟用「快照防篡改」才能防止勒索軟體刪除。
  4. 04
    常駐連接的備份碟會被加密：把 USB 碟插在 NAS 上定期備份，勒索軟體會連備份一起加密。備份完要拔掉，或者定期輪替。
  5. 05
    管理介面不應暴露於網際網路：即使開了 2FA、強密碼、停用 admin，DSM 本身的漏洞仍可能被利用。改用 VPN 或反向代理。
  6. 06
    第三方套件與容器也是入侵途徑：Solar 的案例顯示即使 DSM 本身已更新，第三方套件（如 GitLab、Confluence、Docker 容器）或弱密碼仍可能成為破口。
  7. 07
    3-2-1 備份原則是最後防線：至少有一份備份是勒索軟體碰不到的（離線或異地），這是把勒索軟體從「災難」變成「麻煩」的關鍵。
keywords重點學習：最需要學習的 10 個關鍵字12 個
  1. 01
    C3RB3R
    Cerber 勒索軟體的變種，使用 leetspeak 命名，本次攻擊的主角。
  2. 02
    Cerber
    老牌勒索軟體家族，長期針對 NAS 設備實施加密勒索。
  3. 03
    .L0CK3D
    被 C3RB3R 加密的檔案副檔名（或 .LOCK3D）。
  4. 04
    read-me3.txt
    C3RB3R 在每個被加密目錄留下的勒索信檔名。
  5. 05
    CVE-2024-10441
    Synology 官方指向的漏洞（2024-12 月修補），CVSS 9.8，免登入遠端執行程式碼。
  6. 06
    CVE-2026-13639
    360 指向的漏洞（2026-09-18 修補），登入邏輯熵不足，CVSS 9.8，免驗證遠端讀寫任意檔案。
  7. 07
    CVE-2026-13684
    360 指向的漏洞（2026-09-18 修補），SCGI 輸出編碼不當，CVSS 9.8，免驗證遠端讀寫任意檔案。
  8. 08
    Synology-SA-24:20
    Synology 安全公告（2024-11-05），涵蓋 CVE-2024-10441 等漏洞。
  9. 09
    Synology-SA-26:13
    Synology 安全公告（2026-09-18），涵蓋 CVE-2026-13639、CVE-2026-13684 等 8 個漏洞。
  10. 10
    快照防篡改（Immutable Snapshots）
    Btrfs 快照的功能，防止快照被刪除或修改，需額外啟用。
  11. 11
    3-2-1 備份原則
    3 份資料副本、2 種不同媒體、1 份離線或異地，防禦勒索軟體的最後防線。
  12. 12
    ChaCha8 + RSA-2048
    C3RB3R 使用的加密演算法組合：ChaCha8 對稱加密檔案內容，RSA-2048 非對稱加密金鑰。
try today今天就可以來試試約 20 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 確認 DSM 版本並更新到最新
    登入 DSM > 控制台 > 資訊中心 > 一般 > 檢視「DSM 版本」；然後到控制台 > 更新和還原 > DSM 更新 > 手動下載並安裝
    看到什麼代表什麼：DSM 7.4 要 7.4-90075 以上、7.3 要 7.3.2-86009-4 以上、7.2.2 要 7.2.2-72806-9 以上、7.2.1 要 7.2.1-69057-12 以上。不要只看「已是最新版本」，要看實際版本號。
  2. 檢查管理介面是否暴露於網際網路
    看到什麼代表什麼：從外部網路（手機 4G 或其他網路）嘗試連線 http://你的公網IP:5000 或 https://你的公網IP:5001。如果能連上，立即關閉路由器的埠轉發或防火牆規則。
  3. 檢查是否有 .L0CK3D 檔案或 read-me3.txt
    登入 DSM > File Station > 檢視共用資料夾 > 搜尋 '.L0CK3D' 或 'read-me3.txt'
    看到什麼代表什麼：若找到，立即拔網路線、不要重開機、保留現場、聯繫資安團隊或 Synology 技術支援。
  4. 啟用雙重驗證（2FA）與自動 IP 封鎖
    控制台 > 使用者與群組 > 編輯帳號 > 啟用雙因素驗證；控制台 > 安全性 > 帳號 > 啟用自動封鎖
    看到什麼代表什麼：設定 2FA 後每次登入需輸入動態驗證碼；自動封鎖會在連續登入失敗後封鎖 IP。
  5. 停用預設 admin 帳號
    先建立一個自訂名稱的管理員帳號並測試能登入，然後到控制台 > 使用者與群組 > 選擇 admin > 停用
    看到什麼代表什麼：登入畫面不再顯示 admin 帳號，只能用自訂管理員帳號登入。
  6. 啟用 Btrfs 快照與快照防篡改
    控制台 > 共用資料夾 > 選擇資料夾 > 編輯 > 快照 > 啟用共用資料夾快照排程 > 啟用快照防篡改
    看到什麼代表什麼：定期自動產生快照，且快照無法被刪除或修改（需 Btrfs 檔案系統）。
  7. 檢查備份策略是否符合 3-2-1 原則
    看到什麼代表什麼：3 份資料副本（正本 + 2 備份）、2 種媒體（NAS + USB / 雲端）、1 份離線或異地。若備份 USB 碟常駐連接，改為備份完就拔掉。
  8. 執行 Security Advisor 掃描
    套件中心 > 安裝 Security Advisor（若未安裝）> 開啟 Security Advisor > 執行掃描
    看到什麼代表什麼：檢視建議並逐項修正，特別是「安全性」與「帳號」類別的警告。

給 NAS 用戶的實用建議

以下整理給 Synology NAS 用戶的完整防禦檢查清單，附上官方說明文件連結：

更新與修補

  • 更新到最新版 DSM：如何更新 DSM
  • 啟用自動更新：控制台 > 更新和還原 > 自動更新設定

網路存取控制

帳號安全

  • 啟用雙重驗證（2FA）：設定雙因素驗證
  • 停用預設 admin 帳號：建立新管理員帳號後再停用
  • 啟用自動 IP 封鎖：控制台 > 安全性 > 帳號
  • 使用強密碼：至少 12 字元，混合大小寫、數字、符號

備份與快照

  • 啟用 Btrfs 快照與快照防篡改：共用資料夾快照
  • 設定 Hyper Backup：Hyper Backup 教學
  • 離線備份：備份到 USB 碟後拔掉，或定期輪替
  • 異地備份：備份到雲端或另一個地點的 NAS
  • 測試還原：定期測試備份能否成功還原

監控與稽核

  • 檢視日誌中心：日誌中心
  • 執行 Security Advisor：Security Advisor
  • 檢查排程任務：控制台 > 任務排程器
  • 檢查套件與 Docker 容器：移除不需要的套件與容器

後續追蹤

由於入侵路徑仍有爭議，且 Solar 案例顯示可能有其他未知途徑，建議持續關注：

  1. Synology 安全公告：https://www.synology.com/security/advisory
  2. CISA KEV（已知被利用漏洞）：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
  3. 360 安全資訊：https://www.360.cn/n/

如果你的 NAS 已經更新到最新版本、管理介面沒有暴露、開了 2FA 與快照防篡改、有離線備份，那你已經做了大部分該做的防禦。剩下的就是持續監控與保持更新。

攻擊還在進行中。今天就檢查。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 12 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

SynologyC3RB3RCerber勒索軟體NASCVE-2024-10441CVE-2026-13639CVE-2026-13684
看完的心情
ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

§
對應課程模組

M2 弱點與修補管理 · M3 備份與還原 · M6 威脅情報 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。

延伸閱讀
newsletter
下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

← 上一份Android WAP Push 零點擊漏洞：一封簡訊癱瘓通話功能，連緊急電話都打不出去