Cerber勒索攻击群晖NAS事件预警

2026-10-29 10:07:57
我要分享


微信扫码分享

突发！1day漏洞致使大量NAS用户文件被加密

今年10月以来，360反勒索服务连续接到多起针对群晖NAS设备的勒索攻击求助。反勒索团队利用360AI安全专家，对被攻击设备进行了采样分析，确认本轮勒索攻击的主要源头是老牌勒索家族Cerber的一个变种“C3RB3R”，该家族长期针对NAS设备实施加密勒索，此次攻击使用了两个今年9月披露的漏洞。

经详细排查发现，本轮攻击的切入点是两个高危远程漏洞，CVE编号分别为CVE-2026-13639和CVE-2026-13684。这两个漏洞于今年9月披露，距今仅一个月左右，这意味着网络中仍有大量设备尚未更新系统修补漏洞，很多用户也根本不清楚这两个漏洞的存在和危害性，本次攻击是一个典型的1day漏洞攻击场景。

拆解分析，Cerber勒索“走新路，穿旧鞋”

Cerber虽然在攻击入口阶段采用了这两个1day高危漏洞，但其在入侵成功进入受害设备后，执行的操作依然是加密、留信、等赎金的“老三样”。

扫描系统

Cerber进入受害设备后，会扫描当前系统中的文件，跳过特定系统目录以避免加密文件导致系统崩溃，进而影响自身的持续加密。跳过的目录共27个，具体列表如下：

而对于其他所有目录，Cerber均会进入目录进行递归扫描并加密其中的文件。对于文件名及扩展名，Cerber会跳过常见的可执行文件或脚本，以及被加密后的文件。被跳过的文件名及扩展名如下表：

加密文件

进入核心的文件加密流程，Cerber勒索软件依然采用当前较为主流的ChaCha8（对称加密算法）+RSA2048（非对称加密算法）的加密算法策略。实施加密时，Cerber会对每个待加密文件生成一份单独的256位密钥文件及64位nonce，再使用ChaCha8算法对文件内容实施加密。加密完成后，利用样本内置的RSA公钥，对加密密钥及加密模式、加密位置、文件原始信息等数据进行加密，并将全部密文附在被加密文件的数据尾部。最终，将被加密文件扩展名修改为“.L0CK3D”，以标记该文件已加密完成。

此外，勒索样本中还附带了一份文件扩展名列表。扩展名在该列表中的文件，Cerber采用了完整加密的策略，而其他文件则采用区分大小的选择性加密策略。其加密策略如下：