群晖 NAS 仍在运行：C3RB3R/L0CK3D 急救步骤

本页不承诺恢复结果。PVE 虚拟机和物理 DSM 的内存采集路径不同，不要混用命令。

1. 隔离入口，保留管理通道

阻断 NAS 对互联网和其他设备的访问，同时检查 IPv4 与 IPv6。暂停云同步和共享文件夹同步，避免损坏继续传播。

远程操作时，先保留可信控制台或受限 SSH 通道。不要为了追求“彻底断网”而切断唯一管理入口，也不要关机、重启或拔电源。

2. 核实进程，再暂停

下面的命令只用于寻找线索。deleted 和进程名都不能单独证明进程就是加密程序，不要按名字批量暂停或结束进程。

ls -l /proc/*/exe 2>/dev/null | grep deleted

确认可疑进程身份后，把 <PID> 替换为已经核实的数字进程号。以下占位符不能直接照抄执行：

sudo kill -STOP <PID>
grep State /proc/<PID>/status

主进程状态应为 T。还需要按主救援指南核对所有线程；D 表示等待 I/O，不能算全部暂停成功。

**停止条件：**无法确认 PID、状态不符合预期、读取权限不足，或无法保证管理通道时，不要继续尝试，不要改用 kill -9，交给可信管理员处理。

3. 优先保存内存和程序样本

目标必须是容量足够、挂载已确认的独立存储。不要把大型转储写入 /tmp、内存盘或受灾数据卷，也不要覆盖旧采集目录。

主救援仓库提供了带进程身份、线程状态、目标设备和校验检查的采集工具及模板。先阅读物理机内存采集指南，确认工具和系统条件后再操作。

不要直接对 /proc/kcore 使用通用 dd，不要为采集而执行 swapoff、清理缓存、加载未经验证的内核模块、升级或重启。

4. 先验证少量副本

找几份电脑、手机、邮件或 Git 克隆中仍完好的同版本原件，在独立副本上测试候选恢复方案。使用完整 SHA-256 或逐字节比较确认结果，原始密文始终保留。

恢复数据不代表原 NAS 已安全。业务恢复后还需要在干净环境中重建、替换凭据并处理入侵入口。

资料来源：主救援仓库急救说明、物理机补充案例。