電腦維修 · 2026年11月1日 · ComputerKing 團隊

Synology NAS 俾勒索軟件 C3RB3R 鎖死？九月補丁未裝就係入口：DSM 版本對照＋備份分離檢查

2026 年 10 月底有報道指，Cerber 變種 C3RB3R 正針對未裝九月補丁的 Synology NAS，檔案會變成 .L0CK3D。今篇唔講點樣同勒索者周旋，只講三樣即刻做到嘅事：對 DSM 版本、斷開不必要的對外暴露、同埋確認備份唔係同 NAS 一齊俾人鎖死，收費需個別報價。

重點摘要

2026 年 10 月 29 日有保安報道指，Cerber 勒索軟件變種 C3RB3R 自 10 月初起針對 Synology NAS，檔案會被改成 .L0CK3D 副檔名，每個資料夾會多一封名為 read-me3.txt 的勒索信。報道指入口係 Synology 早喺 9 月 18 日已經修復的兩個 DiskStation Manager（DSM）漏洞，編號 CVE-2026-13639 同 CVE-2026-13684，嚴重程度評為 9.8 分。

今篇唔講點樣同勒索者周旋，亦唔會教你點樣解鎖——中咗加密之後，冇一個步驟可以保證攞得返檔案。今篇只講三樣未中招之前即刻做到嘅事：第一，對一次 DSM 版本，睇下自己係咪仲喺受影響範圍；第二，收窄 NAS 對外暴露，唔好將管理介面直接擺上互聯網；第三，確認備份唔係同 NAS 綁埋一齊，否則 NAS 一出事，備份都跟住冇埋。收費需個別報價。

一、新聞講咗啲咩：先分清已證實同未證實

報道整理出嚟嘅已證實部分，大致係咁：

攻擊者用嘅係 C3RB3R，一個 Cerber 家族變種，目標係 Synology NAS。
檔案加密之後副檔名變成 .L0CK3D，勒索信檔名係 read-me3.txt。
入口據報係兩個 DSM 遠端、毋須登入就可以觸發的漏洞，Synology 已經喺 2026 年 9 月 18 日的公告 Synology-SA-26:13 入面修復，公告同時列出另外六個 DSM 問題，公告本身冇提供「唔更新都得」的緩解方法，更新就係修正方法。
受影響版本據報包括：DSM 7.4 早過 7.4-90075、DSM 7.3 早過 7.3.2-86009-4、DSM 7.2.2 早過 7.2.2-72806-9、DSM 7.2.1 早過 7.2.1-69057-12。

未證實、唔好自己腦補的部分同樣重要：有事件回應團隊指出，見過一宗受害個案的 DSM 已經係較新的 7.4.1 版本，暫時未能排除其他入口，例如套件、容器或者被盜憑證。所以正確嘅理解係：更新係必要，但唔可以單憑「我已經更新咗」就當自己百分百安全，憑證同對外暴露都要一齊檢查。

呢篇同本站舊文點分工，亦要講清楚：本站第 117 篇講 NAS 快照點設先擋到誤刪同勒索軟件，講嘅係快照保留期同鎖定快照嘅日常設定；第 42 篇講 NAS 壞咗之後的數據恢復。今篇唔重講快照設定，亦唔講壞碟恢復，只講呢單 C3RB3R 事件入面「版本對照＋暴露收窄＋備份分離」三個即時動作。

二、第一步：對 DSM 版本，唔好憑感覺估

好多 NAS 用家以為「我部 NAS 成日開住，應該自動更新咗」。但 DSM 更新有時要人手確認，有時會因為套件相容性停喺某個版本，開住機唔等於已經更新。

對版本嘅做法：

1. 登入 DSM，入控制台，睇 DSM 版本編號，逐個數字對上面列出的門檻版本。例如你用緊 DSM 7.4，就要係 7.4-90075 或更新；7.3 就要係 7.3.2-86009-4 或更新。只睇「7.4」呢個大版本係唔夠嘅，後面嗰串 build 號先係關鍵。

2. 如果低過門檻，先備份重要資料，再按 Synology 官方指引更新。更新之前，記低而家用緊的套件同設定，萬一更新之後有套件要再設定，都有得對。

3. 更新完再入去睇一次版本號，確認真係升咗上去，唔好只睇「檢查更新」嗰個掣冇嘢彈就當完成。

4. 如果你部 NAS 已經停產、裝唔到修復版本，呢個本身就係一個風險訊號：唔好再將佢直接暴露喺互聯網，重要資料要另外備份，長遠要諗換機定係轉做純內網用途。

一句話記住：版本號要對到 build 號，唔好只對大版本。

三、第二步：收窄對外暴露，管理介面唔好直接見人

呢類針對 NAS 的攻擊，好多時第一步就係搵到一部喺互聯網上直接見到管理介面的 NAS。如果你部 NAS 只係屋企或者公司內網用，根本唔需要對全世界開門。

即刻可以檢查嘅幾樣：

路由器有冇將 DSM 的管理 port（預設 5000／5001）forward 咗出去？有而又唔係必要，就閂咗佢。
有冇開 QuickConnect 或者 DDNS 之後就冇再理？呢啲方便功能本身唔等於出事，但開咗就代表多咗一條由外面入嚟的路，要定期檢查登入紀錄有冇異常。
管理員帳戶係咪仲用緊預設名 admin？係就停用或者改名，密碼要獨立、夠長，唔好同其他服務共用。
有冇開兩步驗證？有就即刻開，冇就呢次一齊開埋。被盜憑證係報道提到的可能入口之一，兩步驗證就係擋呢一關最平的鎖。
唔常用嘅套件、容器同服務，停咗佢。每一樣對外服務都係多一個入口，留返真正用緊嘅就夠。

中小企要特別留意：NAS 好多時唔只一個人用，離職同事的帳戶、舊供應商的遠端帳戶如果冇清走，本身就係一個入口。今次順手做一次帳戶大掃除，成本最低、效果最實在。

四、第三步：備份分離——NAS 本身唔可以係唯一備份

呢單事件最值得香港用家警惕嘅一點，唔係加密本身，而係「備份同原資料擺埋同一部 NAS」。如果你的備份策略係「電腦備份去 NAS，NAS 就係備份」，咁 NAS 一被加密，原文同備份就一齊冇埋。

正確的分離檢查，問自己四條問題：

1. 除咗 NAS 之外，有冇另一份備份喺第二部裝置？例如外置硬碟、第二部 NAS，或者雲端備份。

2. 嗰份備份係咪離線或者唔會被 NAS 同一個帳戶一次過改寫？如果備份碟長期插住 NAS、又用同一個管理員帳戶，勒索軟件一樣有機會掂到佢。

3. 有冇試過由備份還原一個檔案出嚟？未試過還原的備份，只係一個假設，唔係一個事實。

4. NAS 上面嘅快照，係咪鎖定咗、唔會俾一般帳戶刪除？快照設定細節可以參考本站第 117 篇，今篇唔重講，但要提醒：冇鎖定的快照，喺攻擊者攞到管理權限之後一樣可以刪除。

如果四條問題有一條答唔出，就代表備份未真正分離。最簡單的起步做法，係即刻將最重要的資料夾另外抄一份去外置硬碟，抄完就拔線收好，之後先慢慢做完整的 3-2-1 備份安排。本站第 79 篇有香港用家的備份策略完整講法，可以跟住做。

五、如果已經見到 .L0CK3D，停手次序

如果你開 NAS 已經見到檔案變成 .L0CK3D、資料夾多咗 read-me3.txt，先唔好慌，更加唔好即刻做以下幾樣：

唔好即刻刪除勒索信或者加密檔案，呢啲係之後評估同通報的證據。
唔好即刻格式化或者重裝 DSM，以為「洗乾淨就冇事」——咁做只會令評估同恢復的機會一齊消失。
唔好喺同一部 NAS 上面不停試各種解密工具，寫入動作本身可以覆寫仲有機會救返的資料。
唔好即刻俾贖金。俾錢唔等於一定攞得返檔案，亦唔等於對方會刪除偷走的資料，仲可能令你成為下一個目標。

正確次序係：即刻將 NAS 同網絡隔離（拔線或者喺路由器封鎖佢），記低發現時間、受影響資料夾同檔案副檔名，影低勒索信畫面，然後搵專業評估同埋按香港指引考慮通報。公司用家仲要通知負責 IT 同管理層，唔好自己一個人靜靜處理。評估之前，保持原狀就係最有用的一件事。

六、送修／求助之前，準備好呢張清單

如果你決定搵人幫手，帶齊以下資料會快好多，亦可以避免來回問答拖時間：

NAS 型號、DSM 版本編號（更新前後都要，如果記得嘅話）。
硬碟數量、容量同 RAID／SHR 設定。
發現問題的日期同時間、邊啲資料夾受影響、副檔名係咪 .L0CK3D。
NAS 有冇對外暴露（QuickConnect、DDNS、port forward），管理員帳戶有冇開兩步驗證。
備份喺邊：有冇另一份喺外置硬碟、第二部 NAS 或者雲端，上次成功還原測試係幾時。
有冇喺出事之後寫入、刪除或者重裝過任何嘢——誠實講清楚，評估先至準。

收費方面要講明：本文唔提供任何價錢，實際收費需個別報價，視 NAS 型號、碟數、容量同加密狀況而定。

來源

CyberExperts 報道：C3RB3R Ransomware Hits Synology NAS, Update DSM（2026 年 10 月 30 日）：https://cyberexperts.com/2026-10-30-synology-dsm-c3rb3r-ransomware/
本站第 117 篇 nas-snapshot-protection：NAS 快照設定指南
本站第 42 篇 nas-data-recovery-guide-hong-kong：NAS 數據恢復指南
本站第 79 篇 backup-strategy-hk：香港用家備份策略

nas-snapshot-protection
nas-data-recovery-guide-hong-kong
backup-strategy-hk
nas-home-office