網絡安全 · 2026年11月2日 · ComputerKing 團隊
【即斷線】Synology 證實過時 DSM 遭勒索；香港報導檔案加密成 .L0CK3D
Synology 2026-10-29 確認過時 DSM 遭勒索（指向 Synology-SA-24:20／CVE-2024-10441）；香港媒體報導 .L0CK3D、read-me3.txt 與 C3RB3R。今晚隔離、更新與公網暴露檢查一次過講清。
CTA： 親臨沙田門市或 WhatsApp 2115 9219（門市／WhatsApp DSM 檢查；唔承諾解密）
今晚先做（摘要）
1. 懷疑中招 → 拔晒網線（或由路由器切斷 WAN／SMB）。
2. 未中 → 盡快到 Control Panel → Update & Restore 升到該分支最新；關掉路由器埠轉發／UPnP（尤其 5000、5001、80、443）。
3. 保留勒索信與日誌；唔好急住初始化硬碟。
4. 有離線／異地備份先談還原；Synology 無法代解密用戶資料。
發生咗咩事
2026 年 10 月 29 日，Synology 公布已識別威脅行為者針對仍運行過時 DSM 的裝置，利用2024 年 12 月已修補的漏洞加密資料並勒索贖金，強烈呼籲立即更新 DSM 並啟用自動更新，詳見安全性公告 Synology-SA-24:20。
同日香港 HKEPC 報導大量 NAS 用戶於 File Station 見到共享檔、資料庫映像以至本機備份被改為 .L0CK3D／.L0CK3D.，目錄出現 read-me3.txt（內含「C3RB3R INSTRUCTIONS」字樣），並以「斷線保平安」呼籲先隔離。RSM Hong Kong 翌日發 Critical 警示，指互聯網暴露的 Synology NAS 為高風險族群，家族名稱寫作 Cerber／C3RB3R。
編輯備註： Synology 短新聞沒有點名副檔名 .L0CK3D 或勒索家族品牌。IoC 以香港媒體／IR 標註；官方歸因以 SA-24:20 為準。
官方講咗咩、冇講咩
| 內容 | |
|---|---|
| 有講 | outdated DSM；Dec-2024 已修漏洞；立即更新＋自動更新；指向 SA-24:20 |
| 冇講 | 受害數量、具體勒索品牌、.L0CK3D 字樣 |
Critical RCE CVE-2024-10441（CVSS 9.8）屬 SA-24:20：system plugin daemon 不當編碼／跳脫可導致遠端程式碼執行；影響 BSM＜1.1-65374 及列明 DSM 版本之前。同公告另有 CVE-2024-50629、CVE-2024-10445；短新聞未指明三個 CVE 中邊個被武器化——文章應寫「官方指向 SA-24:20；Critical RCE 為 CVE-2024-10441」。
SA-24:20 最低安全版（只抄 advisory；勒索官方歸因表）
| Product | Fixed |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 或以上 |
| DSM 7.2.1 | 7.2.1-69057-6 或以上 |
| DSM 7.2 | 7.2-64570-4 或以上 |
| DSM 7.1 | 7.1.1-42962-7 或以上 |
| DSM 6.2 | 6.2.4-25556-8 或以上 |
實務上應升到該分支當前最新，唔好停喺「剛好過最低」。
時間線（公開）
- 2024-11 Synology-SA-24:20（Pwn2Own 2024）公開；各分支修復陸續上架（DSM 6.2 修復標註 2024-12）。
- 2025-03 CVE-2024-10441 詳情公開。
- 2026-09-18 Synology-SA-26:13 Critical DSM（含 CVE-2026-13639／13684 等）——與勒索官方歸因分開。
- 2026-10-22 Synology-SA-26:14 PHP2Shell。
- 2026-10-29 Synology 雙新聞（勒索歸因 Dec-2024／SA-24:20；另推 PHP2Shell 套件更新）＋ HKEPC .L0CK3D 報導。
- 2026-10-30 RSM Hong Kong Critical alert。
向量爭議（必留 sidebar）
| 說法 | 性質 |
|---|---|
| Vendor：勒索 ↔ SA-24:20／Dec-2024 已修漏洞 | 官方 |
| 同日：PHP2Shell 套件／PHP 更新（SA-26:14） | 平行 hygiene，非勒索句 root cause |
| HKEPC：Docker／GitLab + PHP2Shell | 媒體；GitLab CVE 未獨立核實 |
| 二級來源：SA-26:13 為主入口 | 與官方歸因衝突 → 只可 sidebar |
唔好把 SA-26:13 寫成「Synology 證實本波勒索用緊呢個」；可寫「九月已有 Critical DSM 更新，所有分支應升至當前最新」。
點解「同機備份」一齊死
HKEPC 指加密行程由根目錄巡檢掛載 volume；未異地隔離嘅 Hyper Backup 目錄會當普通檔一併鎖。RSM 亦提醒攻擊者可刪／加密本機備份，令 SME 無退路。RAID ≠ 備份；同機 Hyper Backup ≠ 異地備份。
香港角度
本地小店常見「家用級 NAS + 埠轉發返工睇相／落單」＝高暴露族群。HKEPC Instagram「不要問!! 斷線保平安」帶動認知；RSM 針對分行／SME 同時放 shares 與 backups 的 NAS。復原與私隱通報屬一般提示，非法務意見——可視情況聯絡 HKCERT。
收束與內鏈建議
- → RecoveryData：中招 10 步（隔離→取證→評估備份）
- → ServersKing：公網 DSM／容器硬化
- → Computerhome：家用／小店 5 步
- → SoftKing：備份設計（HOLD 則暫唔推）
CTA： 親臨沙田門市或 WhatsApp 2115 9219
主要來源
2. Synology-SA-24:20（CVE-2024-10441）
3. Synology PHP2Shell 新聞／SA-26:14
4. HKEPC 27124／27125