Cerber勒索攻击群晖NAS事件预警
- 2026-10-29 10:07:57
突发！1day漏洞致使大量NAS用户文件被加密
今年10月以来，360反勒索服务连续接到多起针对群晖NAS设备的勒索攻击求助。反勒索团队利用360AI安全专家，对被攻击设备进行了采样分析，确认本轮勒索攻击的主要源头是老牌勒索家族Cerber的一个变种“C3RB3R”，该家族长期针对NAS设备实施加密勒索，此次攻击使用了两个今年9月披露的漏洞。
经详细排查发现，本轮攻击的切入点是两个高危远程漏洞，CVE编号分别为CVE-2026-13639和CVE-2026-13684。这两个漏洞于今年9月披露，距今仅一个月左右，这意味着网络中仍有大量设备尚未更新系统修补漏洞，很多用户也根本不清楚这两个漏洞的存在和危害性，本次攻击是一个典型的1day漏洞攻击场景。
拆解分析，Cerber勒索“走新路，穿旧鞋”
Cerber虽然在攻击入口阶段采用了这两个1day高危漏洞，但其在入侵成功进入受害设备后，执行的操作依然是加密、留信、等赎金的“老三样”。
扫描系统
Cerber进入受害设备后，会扫描当前系统中的文件，跳过特定系统目录以避免加密文件导致系统崩溃，进而影响自身的持续加密。跳过的目录共27个，具体列表如下：
而对于其他所有目录，Cerber均会进入目录进行递归扫描并加密其中的文件。对于文件名及扩展名，Cerber会跳过常见的可执行文件或脚本，以及被加密后的文件。被跳过的文件名及扩展名如下表：
加密文件
进入核心的文件加密流程，Cerber勒索软件依然采用当前较为主流的ChaCha8（对称加密算法）+RSA2048（非对称加密算法）的加密算法策略。实施加密时，Cerber会对每个待加密文件生成一份单独的256位密钥文件及64位nonce，再使用ChaCha8算法对文件内容实施加密。加密完成后，利用样本内置的RSA公钥，对加密密钥及加密模式、加密位置、文件原始信息等数据进行加密，并将全部密文附在被加密文件的数据尾部。最终，将被加密文件扩展名修改为“.L0CK3D”，以标记该文件已加密完成。
此外，勒索样本中还附带了一份文件扩展名列表。扩展名在该列表中的文件，Cerber采用了完整加密的策略，而其他文件则采用区分大小的选择性加密策略。其加密策略如下：
而不区分大小全文件加密的优先扩展名共187个，全部列举如下：
勒索信息
最终，Cerber会在每个被加密的目录中留下一份名为“read-me3.txt”的勒索信文件，提醒用户文件已被加密，要求尽快交付赎金。这份勒索信息的文件内容如下（文中问号部分，在实际执行时会替换为本地生成的 6 位设备识别 ID）：
修漏补缺，及时更新NAS系统
由于本轮攻击的主要目标是群晖的NAS设备，其运行的是硬件设备上高度定制化的私有系统。对于这种环境中的安全防护，往往非常依赖供应商提供的系统更新或漏洞补丁。
所幸的是，群晖在漏洞被披露的第一时间（2026年9月18日），就发布了针对这批漏洞补丁的系统更新。具体的系统更新版本号如下表：
群晖在这波更新中共修复了8个漏洞，这些漏洞的CVE编号及作用分别如下：
l CVE-2026-13684 / CVE-2026-13639 / CVE-2026-13635
这一组三个漏洞允许远程攻击者读/写任意文件、进行拒绝服务（DoS）攻击或获取非敏感信息。
l CVE-2026-13673 / CVE-2026-6205 / CVE-2026-13666
这一组三个漏洞允许远程认证用户读/写任意文件；当受害用户点击共享网址时，允许写入权限受限的文件并实施拒绝服务（DoS）攻击。
l CVE-2026-13623 / CVE-2026-13683
这一组两个漏洞允许具有管理员权限的远程认证用户读/写权限受限的文件或获取非敏感信息。
其他更多信息可以参考群晖官方发布的更新公告：
https://www.synology.com/en-br/security/advisory/Synology_SA_26_13
安全建议
针对本轮Cerber对群晖NAS发起的勒索攻击，我们给出如下安全建议：
l 关注网络安全资讯，第一时间更新NAS设备系统或安装安全补丁，封堵高危漏洞；
l 尽量不要直接把NAS管理端口映射至公网，如需外网访问，优先使用NAS厂商提供的跳转业务或者VPN；
l 停用设备初始的默认管理员账号，为所有账号设置强口令，尽可能开启两步验证及自动IP封锁等安全验证机制；
l 开启共享文件夹快照并打开快照防篡改功能；定期检查快照是否正常生成；
l 至少为重要数据准备一份离线隔离备份；该备份平时需断开与NAS的任何连接，避免被勒索软件一并加密；
l 开启设备防火墙，仅放行必要端口，尽量为管理后台的访问权限配置可信IP白名单；
l 定期查看日志中心，留意异常登录、批量文件修改，发现可疑后缀或疑似勒索文件等情况，应立刻断网进行安全检查；
l 清理闲置共享链接、不用的套件和服务，缩小攻击面；
l 不要支付赎金！不要支付赎金！不要支付赎金！
IOCs
MD5s
a1375e0f82ae86df528876c049b5a23c
