我的群晖也被勒索病毒攻击过，但是似乎防住了。

[StevenTong]

今天让 codex 帮我分析了下日志，看上去应该是被执行了一样的脚本，好在我个人习惯，总是喜欢直接更新到最新系统，这次似乎防住了。

之前网上看到几例声称最新系统也有中招的，搞得我现在依然挺慌的。

直接看 Codex 给我的分析结论：

有重要新发现：你的 NAS 确实遭到过与近期 C3RB3R 案例一致的攻击尝试，但目前没有发现成功感染或加密文件的证据。 这需要补充修正前面的初步结论。

管理员日志确认了三次恶意请求，时间均为 GMT+8 时间：

时间	攻击来源
10 月 28 日 14:10	104[.]253[.]175[.]125
10 月 28 日 18:31	46[.]8[.]78[.]122
10 月 29 日 10:08	46[.]8[.]78[.]122

请求把恶意指令藏在登录用户名里，企图植入 root 每分钟下载并执行 xdy5.sh 的计划任务。其特征与 Rapid7 的漏洞分析及 C3RB3R 受害者公布的脚本地址一致。仅看到“登录失败”不能判断这类攻击是否失败。

深入核查得到的好消息是：

• 攻击前已有补丁：更新日志确认 10 月 23 日已安装 90080 Update 1。
• 未见程序残留：已知载荷、标记文件均不存在；检查的 281 个进程中，没有发现从临时目录运行或可执行文件已删除的情况。
• 未见恶意任务：当前计划任务中没有对应下载命令。
• 未见执行或清理痕迹：检索了 23 个当前及轮转日志、约 37 万行，删除日志和任务日志没有命中相关特征。
• 加上前一轮文件筛查，仍未发现勒索加密迹象。