群晖 NAS 中了 C3RB3R/L0CK3D：先确认设备状态

先确认设备状态

不要重启、关机、升级或重装，也不要对加密进程使用 kill -9。进程内存中可能仍有恢复所需的材料，但是否存在、能否使用，需要按实际情况验证。

• 机器仍在运行，进入黄金急救步骤：先隔离入口，确认进程后暂停，优先保存内存和程序样本。
• 已经关机或重启，查看补救步骤：保留磁盘、已有转储、快照和其他副本，再评估 Btrfs 路线。

三条底线

1. 隔离网络时保留可信管理通道，不要误断电源，也不要把自己锁在设备之外。
2. 不在受灾存储池写恢复文件，不删除密文、快照或回收站。
3. 不相信“保证解密”的承诺，不运行来源不明的工具，不公开密码、内存、密钥或业务文件。

不熟悉 SSH、进程或存储操作时，把救援仓库交给可信管理员处理，不要为了准备工具而重启设备。

资料来源：C3RB3R / .L0CK3D 主救援仓库。