【資安通告】因應 Synology NAS LOCK3D 勒索軟體威脅與防範應變指南

1.暫時關閉對外Port
2.更新DSM系統至最新
3.系統套件更新至最新
4.Calendar、Mail Station、PHP更新至最新
5.如果有PHP 7.3移除此套件
6.建立快照(可以的話)

收斂公網暴露面
關閉直接 Port 映射：切勿將 DSM 管理埠（預設 5000/5001）、SMB 或 QuickConnect 直接暴露於公網。

即時修補系統與套件漏洞
DSM 系統：立即更新至最新安全版本
套件與 Docker：更新 MailStation、Synology Calendar、PHP 等相關套件；同步檢查 Container Manager (Docker) 中運行的第三方服務（如 GitLab）是否有未修補之高危漏洞。

落實「不可變」與「3-2-1」備份機制
啟用不可變快照（Immutable Snapshot）： 避免攻擊者取得管理權限後抹除歷史快照。
落實 3-2-1 備份原則：保存 3 份資料、使用 2 種不同儲存介面，並保持 至少 1 份異地/離線/冷備份（如冷備份硬碟或離線儲存）。

強化帳號與管理機制
全面啟用 雙重驗證（2FA）、自動封鎖（Auto Block）及帳號保護機制。
關閉不必要的服務（如 SSH、Telnet），並於 DSM 防火牆設定限制允許連線的 IP 範圍。

二、 受害緊急處置與搶救流程（應變處置)

若發現檔案副檔名已被變更為 .LOCK3D. / .L0CK3D. 或目錄下出現 read-me3.txt 勒索信，請 立即執行以下緊急步驟：

1.關鍵止血動作

立即實體斷網：第一時間拔除 NAS 網線，切斷外網與內網 SMB 共享通道，防止加密擴散。

停止同步與容器服務：若仍可登入 DSM，請立即停用 Cloud Sync、Hyper Backup 及所有 Container Manager (Docker) 容器，防止受感染檔案覆蓋至雲端備份。

謹慎處理重啟與儲存區：

切勿重置或格式化：若有資料救援需求，請勿刪除受損檔案、重建儲存池或執行 Data Scrubbing，避免覆寫底層殘留之 CoW 歷史節點。

保護記憶體資料

2.資料復原與重建管道

快照還原：如有先前快照，可以還原至受感染前的歷史版本。

異地/離線備份還原

3. 注意事項

• 切勿使用未經證實的通用解密工具：LOCK3D 採用強加密演算法（RSA/AES 或 ChaCha20），任意修改副檔名或套用老舊工具可能導致檔案二次損壞。
• 嚴防二次威脅與詐騙：避免輕信坊間宣稱「100% 解密」的二道販子；即便付費，系統內亦可能殘留黑客後門（如 crond 惡意計畫任務）引發二次感染。

• 參考資源
• 資訊安全加固教學：How to Secure Your Synology NAS fromRansomware
• Synology 呼籲盡速更新 DSM，避免過時版本暴露於風險
• PHP2Shell漏洞影響多家IT與OT廠商的產品，相關公告陸續出爐
• 網通設備恐受 PHP 漏洞影響，資安署籲檢視設定盡速更新