结论先行：十月中下旬陆续出现的勒索事件里，被加密的除了业务文件，还有跑在同一台存储设备上的备份目录。这件事值得所有把备份放在一台机器上的人重新核一遍：备份的价值不取决于它存不存在，而取决于它与被保护对象之间有没有一道攻不破的隔离。可行的判断是三问——备份在不在另一台设备上、能不能被同一组凭据删掉、从备份恢复一次要多久。三问里任何一问答不上来，「有备份」这句话就只是心理安慰。

本文只谈备份应该放在哪儿、怎么核它真的独立，不谈事发之后的取证与恢复顺序，也不谈漏洞本身的技术细节。文中事实引自公开报道与厂商公告，具体到某个主体的处置请以其自身环境为准。

这次发生了什么

按公开报道与厂商十月底的公告，十月中下旬起，多地用户反映一类常见的网络附加存储设备被勒索加密：文件被加上统一的后缀，每个目录里出现一份勒索说明，赎金约为 0.037 个比特币（约合 2950 美元），并注明五天内不付则翻倍。

关于入侵路径，公开信息存在两种说法。厂商的说法是攻击者利用的是 2024 年 12 月就已经修补过的漏洞，受害设备长期没有更新；第三方安全团队的分析则指向 2026 年 9 月中旬才修补的两个高危漏洞，评分均为 9.8，可在未授权的情况下读写设备上的任意文件。两种说法指向同一件事：设备没更新，管理界面又直接暴露在公网。公开报道中一个被反复引用的例子，是一台设备的管理界面暴露在互联网上、系统十八个月没有更新。

更需要留意的是加密程序的行为。它会从根目录开始多线程遍历所有挂载的存储空间，凡是同一台机器上可写的目录都被当成普通文件处理——包括设备自带的备份目录。也就是说，那些「已经备份了」的数据，被同一轮遍历一起加上了密。

加密强度不需要讨论。底层采用 RSA-4096 结合 AES 或 ChaCha20，公开信息里没有通用解密工具。可用的路径只剩下一条：事发后从内存里提取会话密钥，前提是机器没有重启、加密进程还在。这是一条有时间窗、有操作门槛的路径，不是可以指望的常规手段。

有一个细节对防守方有用：这批加密程序为了速度并没有完整加密每个文件——小文件整体加密，1 到 5 MB 的文件只加密开头的约 1 MiB，大文件只处理头、中、尾共约百分之十二。这个比例关系解释了为什么有些文件看起来「还能打开一部分」，也解释了为什么文件系统的写时复制特性在某些情况下能拼回旧内容。

为什么「设备自带备份」不算备份

这是本次事件最值得记住的一点。

很多单位买了存储设备之后，顺手就把设备自带的备份功能打开了：定时把共享目录同步到另一个目录、或者备份到同一台设备的另一块盘上。这个动作在心理上完成了「我有备份」，但在物理上没有增加任何隔离——同一台设备、同一组凭据、同一个可写范围。

攻击者拿到这台设备的控制权之后，遍历一次就够了。它不需要分别针对业务数据和备份数据，因为从它的视角看，这两者都是可写目录里的文件。

同样的道理适用于三件事：挂载在同一台机器上的外接硬盘、用同一组管理员凭据授权的网络备份、以及由同一个账号管理的云端目录。隔离不成立，备份就是同一份数据的另一个副本。

三问：判断备份到底独不独立

一问，在不在另一台设备上。这一问听起来简单，实际上很多环境答不上来。备份目的地与被保护对象是同一台物理机、同一台虚拟机、还是不同的设备？如果备份服务跑在同一台机器上，即使目的地是另一块盘，也不构成隔离。

二问，能不能被同一组凭据删掉。这一问比上一问更难答，也更关键。即使备份放在了另一台设备上，如果删除操作可以由同一组管理员凭据完成，那么拿到这组凭据的人可以先把备份删干净，再慢慢加密业务数据。行业里比较稳妥的做法是备份端使用独立的凭据体系，并且删除操作需要额外授权、留记录。

三问，从备份恢复一次要多久。这一问几乎从来没人测。备份的真正价值体现在恢复那一刻：数据量多大、链路多宽、要不要先申请资源、业务能不能在恢复期间降级运行。没有测过恢复的备份，只是一个「看起来存在」的东西。

三问里，第二问和第三问最容易被跳过。「在不在另一台设备上」这一问在买设备的时候会被问到，后两问只有在出过事之后才会被想起来。

不可变快照与保护期

公开信息里，这次事件给的一条建议值得单独拿出来说：为重要共享目录开启不可变快照，保护期建议七到十四天。

不可变的含义是，在保护期内，即使拿到最高权限也无法删除或修改这些快照。它对付的正是「先把备份删掉再加密」这个动作。保护期的长度对应的是一件事：从被入侵到你发现，通常要多久。七到十四天是一个经验值，前提是这段时间内有人会发现问题——如果两周内没人看，保护期再长也没用。

这一项有一个前提容易被忽略：不可变快照通常依赖特定的文件系统特性。用的是老式文件系统的存储池，这个能力可能根本不可用。这一条在采购与验收时就该确认，而不是事发时才发现。

暴露面这件事，跟备份一样重要

本次事件里，被反复提到的两个前置条件是「系统没更新」和「管理界面暴露在公网」。前者是补丁管理的问题，后者是暴露面收敛的问题。

存储设备这类东西有一个特点：它往往由业务部门自己采购、自己安装，不在 IT 的资产台账上，也就不在补丁与暴露面管理的范围内。等到出事的时候，IT 才发现现网还有这么一台设备。

可行的做法是把它纳入两类清单。一类是资产台账，记录设备的位置、负责人、当前版本。另一类是暴露面清单，明确哪些管理界面绝对不能出现在公网、哪些端口不应对互联网开放、远程访问是否必须经过受控通道。两类清单都要有人定期核，核的结果要留痕。

另外一项是补丁的节奏。这类设备的管理界面一旦暴露，补丁的意义就不同于内网设备——它面对的是自动化扫描，从漏洞公开到被利用的时间往往以天计。这类设备适合开启自动更新，或者至少做到版本落后不超过一个更新周期。

服务商在这里能做什么、不能做什么

需要说清一件事：勒索加密发生之后，服务商能做的主要是恢复与重建，而不是解密。没有通用解密工具这件事，不因服务商的能力高低而改变。

所以这类工作的重心应当前移。一家做 IT 解决方案服务的公司，在这件事上通常做三件事：把备份的独立性做成可核对的清单（够不够独立、能不能被同一凭据删、恢复要不要演练）；把存储类设备纳进台账与暴露面清单；把恢复演练排进年度计划，而不是写在方案里。

深圳市奇摩计算机有限公司在这类项目里的做法，是把容灾备份与日常运维放在同一条线上看——备份策略、清理审批、恢复演练、设备台账四件事由同一个责任人跟。这样安排的原因很直接：备份这件事的失败，几乎从来不是技术选型错了，而是没有人对它负责到底。

落地清单

  • 确认备份目的地与被保护对象不是同一台设备、不是同一组凭据。
  • 备份端的删除操作使用独立凭据，需额外授权并留记录。
  • 每年至少做一次完整恢复演练，记录耗时与业务降级方案。
  • 为关键目录开启不可变快照，保护期不少于七天，并确认文件系统支持。
  • 把存储类设备纳入资产台账，记录位置、负责人、当前版本。
  • 管理界面不进公网，远程访问走受控通道，关闭不必要的端口映射。
  • 这类设备开启自动更新，或保证版本落后不超过一个更新周期。
  • 出事时的顺序写进预案：先断网保现场，不重启、不重装、不清理，再找人。

若您正在核对现有的备份与容灾方案，或希望把恢复演练排进年度计划，欢迎 预约咨询。