Synology 受災戶可以一試 不一定成功
【試試 ⚠️】如果你不幸成為 Synology 受災戶，先不要放棄治療！有資安研究人員在 GitHub 上釋出名為「c3rb3r-rescue」的開源專案，針對近期的 Synology DSM / GitLab 勒索軟體事件，提供一套基於實證（Evidence-based）的記憶體取證與副本解密復原方法。目前該專案已成功還原 10 月 24 日近 49 GiB 的 GitLab 每週備份檔案，恢復了 80 個專案、23 名使用者、16 個群組與逾 9,000 個 LFS 物件，為遭遇同類勒索攻擊的企業與系統管理員提供了極具參考價值的實戰應變指引。
據了解，「c3rb3r-rescue」並非 C3RB3R 家族通用的萬能解密程式（Universal Decryptor），而是針對已分析的特定樣本（libgld）與檔案格式所建立的鑑識及解密記錄，其核心概念在於搶救記憶體（RAM）中殘留的解密材料，用以解密受災檔案的獨立副本。因此，當設備遭入侵時，關鍵在於「保住揮發性記憶體」，切勿在第一時間直接重開機或變更系統設定。
開發者特別提醒，當管理員發現設備遭受勒索攻擊時，首要原則是在封鎖惡意程式繼續加密、同時保留管理通道的前提下，以最快速度擷取處理程序記憶體及整機實體 RAM。千萬不要為了清理惡意程式而貿然結束處理程序（Kill Process）、重新開機、升級作業系統，或是載入救援光碟開機；皆因主機一旦重新開機或電源中斷，記憶體內的揮發性金鑰便會徹底遺失，後續的取證與還原程序亦將完全失效。
在 Proxmox VE（PVE）虛擬化環境的實測中，應變團隊在維持系統運行的狀態下，迅速完成來賓虛擬機（Guest OS）的 16 GiB 記憶體傾印（Memory Dump），最終成功在記憶體殘留中擷取出一組關鍵的 48 位元組主要材料（Master Material）。不過作者強調，這組金鑰僅為該特定工作階段在記憶體內的殘留材料，並非攻擊者的通用 RSA 私鑰，因此無法直接跨受害者套用；其他受害者仍須從自己機器的記憶體中擷取對應金鑰，或在獨立副本上進行比對驗證。
解密過程中，團隊透過這組金鑰配合五組已知明密文逐位元組比對驗證，成功將 10 月 24 日約 49 GiB 的每週備份完整解密，並在隔離環境的同版本 GitLab 中順利恢復出 80 個專案、23 名使用者、16 個群組及 9,253 個 LFS 物件；其程式庫（Repositories）、Secrets 機密變數、附件與 CI/CD Artifacts 均通過完整性校驗，Web 登入頁面亦正常回應 HTTP 200。此外，另一個於 10 月 22 日存在交錯重複加密（Interleaved Encryption）的週備份，最終亦成功達成完美復原。
目前「c3rb3r-rescue」專案已在 GitHub 開源釋出，內容包含取證流程、自動化解密指令碼（decrypt_copy.py）、多階段備份校驗工具（verify_backup.py），並附帶了可供 AI 代理協助引導操作的任務技能說明（SKILL.md），供資安研究人員與受害管理員在獨立副本環境下參考驗證。
資料來源:
