国产NAS系统飞牛(fnOS)是一款免费、高效又安全的NAS系统，兼容x86硬件，智能影视刮削，相册支持实况，由NAS骨灰级玩家团队倾心打造，稳定迭代，无损更新。
消息显示，飞牛OS存在一个路径穿越漏洞，可以在未授权的情况下可以访问整个 NAS 全部文件，包括系统的配置文件。
造成的后果是，许多飞牛OS被植入恶意程序，即便已经开启了 SSL 、2FA ，且密码为非弱密码的情况下，这个恶意程序仍然能植入到设备。
本次针对飞牛OS的漏洞利用活动呈现多团伙、多基础设施特征：疑似存在 2–3 个利用团伙，攻击流程较为成熟，并观察到多个 C2（命令与控制）域名用于回连与任务下发。
当前已明确捕捉到 DDoS 攻击指令，被入侵设备存在被纳入僵尸网络风险。根据网络空间测绘（网站空间）统计，全网可直接访问并暴露 fnOS Web 页面设备约 306,766 台。最早入侵记录可追溯到12天前（1月21日）。
----------2.1更新----------
对此，飞牛官方表示，经深入分析，此次攻击行为具有明显针对 fnOS 的定向属性，且采用了多维度复合型攻击手法。过去一周，技术团队已紧急排查大量异常设备，持续追踪木马样本及其变种并展开深度分析。目前，安全团队已完成对该攻击链路的逆向工程，并发布系统安全更新以阻断此类攻击行为。
飞牛希望用户尽快升级至 1.1.18 最新版本，补丁安装完成后无需额外配置，即可有效提升设备安全性及系统稳定性。
攻击时间线
最早入侵记录：约 12 天前（1 月 19 日左右）
用户察觉异常：约 10 天前（1 月 21 日左右），主要因设备出现对外异常行为（含对外攻击/连接异常增多）导致网络不稳定而被发现
1 月 21–22 日期间观测到任务/指令下发行为
综合判断：攻击者至少利用了约 3–4 天“空窗期” 在用户察觉前完成感染、持久化与回连准备
官方侧：据反馈，官方约在 1 月 21 日左右因用户集中反映“建立大量连接、网络不稳定”等现象，才进一步定位并确认漏洞风险
用户需尽快响应
所有用户立刻停止公网暴露 fnOS Web 管理页面。
这是当前最关键、最有效的止损措施。无论是否升级、是否自查“暂未发现异常”，都不要再让 Web 管理面可被公网直接访问。
“升级到新版本”并不等于风险解除。
目前无法确认新版本已覆盖全部修复点，仅依赖升级不能作为安全保证；在 Web 仍暴露公网的情况下仍可能被再次利用或二次入侵。
官方目前未公开可复用、可验证的完整处置方案。
因此不建议在联网状态下“边运行边清理”。
不要指望“屏蔽某个 IP / 屏蔽单个 C2 域名”解决问题。
已确认存在多个 C2 域名/基础设施轮换，单点封堵不一定有效，且可能快速失效。
已捕捉到 DDoS 指令：被控设备可能被用来对外攻击。
这不仅会造成你的网络被打满、设备性能异常、业务不可用，也可能引发运营商封禁。
初步补救措施
A1. 未发现入侵迹象的用户：
1.立即关闭公网访问，撤销端口映射/公网反代/暴露端口；仅允许内网访问，或使用 VPN/零信任网关进入内网后访问管理面；在网关处限制来源 IP（最小化暴露面）。
2.持续监控
再次强调：未中招用户也不要再暴露 Web。“没被打到”不代表安全，反而意味着资产仍处于可被扫描与补种的窗口内。
A2.已疑似/确认中招的用户
第一步：立刻断网隔离（物理断网优先）。
不要让设备继续联网回连 C2，也不要让其继续执行任务或触发 DDoS。第二步：在断网环境下清除与排查（不要边联网边操作）。
中招用户共识建议：离线状态下进行木马清除、检查并处理定时任务/计划任务、启动项、可疑账号与权限、异常容器/进程、异常文件变更等持久化点。第三步：清理完成前不要恢复联网。
在缺乏完整、可验证的清除方案前，贸然联网可能导致再次回连、二次下发任务或触发破坏行为。第四步：保留日志与证据。