突发！1day漏洞致使大量NAS用户文件被加密

今年10月以来，360反勒索服务连续接到多起针对 群晖NAS 设备的勒索攻击求助。反勒索团队利用360AI安全专家，对被攻击设备进行了采样分析，确认本轮勒索攻击的主要源头是老牌勒索家族 Cerber 的一个变种“C3RB3R”，该家族长期针对NAS设备实施加密勒索，此次攻击使用了两个今年9月披露的漏洞。 ▲ 图1：Cerber（C3RB3R）攻击群晖NAS流程示意 经详细排查发现，本轮攻击的切入点是两个高危远程漏洞，CVE编号分别为CVE-2026-13639和CVE-2026-13684。这两个漏洞于今年9月披露，距今仅一个月左右，这意味着网络中仍有大量设备尚未更新系统修补漏洞，很多用户也根本不清楚这两个漏洞的存在和危害性，本次攻击是一个典型的 1day漏洞 攻击场景。 一、拆解分析：Cerber勒索”走新路，穿旧鞋” Cerber虽然在攻击入口阶段采用了这两个1day高危漏洞，但其在入侵成功进入受害设备后，执行的操作依然是加密、留信、等赎金的”老三样”。 1️⃣ 扫描系统 Cerber进入受害设备后，会扫描当前系统中的文件，跳过特定系统目录以避免加密文件导致系统崩溃，进而影响自身的持续加密。跳过的目录共27个，具体列表如下： /boot /run /proc /sys /dev /etc /config /sbin /bin /lib /lib32 /lib64 /usr/sbin /usr/bin /usr/lib /usr/lib32 /usr/lib64 /usr/include /usr/local /usr/share /usr/src /usr/syno /var/packages /var/lock /var/run /var/tmp /tmp 而对于其他所有目录，Cerber均会进入目录进行递归扫描并加密其中的文件。对于文件名及扩展名，Cerber会跳过常见的可执行文件或脚本，以及被加密后的文件。被跳过的文件名及扩展名如下： .exe .dll .lnk .sys .msi .bat .mod read-me3.txt C3RB3R_LOG.txt init-rsysd.lo init-ld.lo .L0CK3D 2️⃣ 加密文件 进入核心的文件加密流程，Cerber勒索软件依然采用当前较为主流的ChaCha8（对称加密算法）+ RSA2048 （非对称加密算法）的加密算法策略。实施加密时，Cerber会对每个待加密文件生成一份单独的256位密钥文件及64位nonce，再使用ChaCha8算法对文件内容实施加密。加密完成后，利用样本内置的RSA公钥，对加密密钥及加密模式、加密位置、文件原始信息等数据进行加密，并将全部密文附在被加密文件的数据尾部。最终，将被加密文件扩展名修改为”.L0CK3D”，以标记该文件已加密完成。 此外，勒索样本中还附带了一份文件扩展名列表。扩展名在该列表中的文件，Cerber采用了完整加密的策略，而其他文件则采用区分大小的选择性加密策略。其加密策略如下： 文件类型 加密策略 文件后缀在优先列表中 不区分文件大小，全文件加密 小于约1MB的普通文件 全文件加密 约1MB到约5MB的普通文件 只加密头部约1MB的数据 大于约5MB的普通文件 以约5MB大小分段加密，仅加密每段头部约1MB数据 ▲ 图2：受害群晖NAS中被加密的文件（扩展名被改为.L0CK3D） 而不区分大小全文件加密的优先扩展名共187个，全部列举如下： .4dd .4dl .accdb .accdc .accde .accdr .accdt .accft .adb .ade .adf .adp .arc .ora .alf .ask .btr .bdf .cat .cdb .ckp .cma .cpd .dacpac .dad .dadiagrams .daschema .db-shm .db-wal .db3 .dbc .dbf .dbs .dbt .dbv .dbx .dcb .dct .dcx .ddl .dlis .dp1 .dqy .dsk .dsn .dtsx .dxl .eco .ecx .edb .epim .exb .fcd .fdb .fic .fmp .fmp12 .fmpsl .fol .fp3 .fp4 .fp5 .fp7 .fpt .frm .gdb .grdb .gwi .hdb .his .ibd .idb .ihx .itdb .itw .jet .jtx .kdb .kexi .kexic .kexis .lgc .lwx .maf .maq .mar .mas .mav .mdb .mdf .mpd .mrg .mud .mwb .myd .ndf .nnt .nrmlib .ns2 .ns3 .ns4 .nsf .nv2 .nwdb .nyf .odb .oqy .orx .owc .p96 .p97 .pan .pdb .pdm .pnz .qry .qvd .rbf .rctd .rod .rodx .rpd .rsd .sas7bdat .sbf .scx .sdb .sdc .sdf .sis .spq .sql .sqlite .sqlite3 .sqlitedb .temx .tmd .tps .trc .trm .udb .udl .usr .v12 .vis .vpd .vvv .wdb .wmdb .wrk .xdb .xld .xmlff .abcddb .abs .abx .accdw .adn .db2 .fm5 .hjt .icg .icr .lut .maw .mdn .mdt .vdi .vhd .vmdk .pvm .vmem .vmsn .vmsd .nvram .vmx .raw .qcow2 .subvol .bin .vsv .avhd .vmrs .vhdx .avdx .vmcx .iso 3️⃣ 勒索信息 最终，Cerber会在每个被加密的目录中留下一份名为”read-me3.txt”的勒索信文件，提醒用户文件已被加密，要求尽快交付赎金。这份勒索信息的文件内容如下（文中问号部分，在实际执行时会替换为本地生成的6位设备识别ID）： ▲ 图3：Cerber（C3RB3R）勒索信 read-me3.txt 二、修漏补缺，及时更新NAS系统 由于本轮攻击的主要目标是群晖的NAS设备，其运行的是硬件设备上高度定制化的私有系统。对于这种环境中的安全防护，往往非常依赖供应商提供的系统更新或漏洞补丁。 所幸的是，群晖在漏洞被披露的第一时间（2026年9月18日），就发布了针对这批漏洞补丁的系统更新。具体的系统更新版本号如下： 设备系统版本 漏洞已被修补的更新版本号 DSM 7.4 更新至 7.4-90075 或更高版本 DSM 7.3 更新至 7.3.2-86009-4 或更高版本 DSM 7.2.2 更新至 7.2.2-72806-9 或更高版本 DSM 7.2.1 更新至 7.2.1-69057-12 或更高版本 群晖在这波更新中共修复了 8个漏洞，这些漏洞的CVE编号及作用分别如下： CVE-2026-1