8Base 勒索病毒解密与数据恢复

8Base 自称从 2022 年 3 月开始运营，但真正被安全界广泛注意是在 2023 年中——泄露站上受害者数量突然激增，一度成为当年最活跃的勒索团伙之一。技术上它并非独立开发者：多家机构（VMware、Trend Micro、FortiGuard、Acronis）证实其载荷是 Phobos 勒索病毒（观察到 2.9.1 版本）的定制变种，通过 SmokeLoader 加载器投放并做免杀处理，只是把后缀改成了 .8base 并换上自己的品牌与泄露站。换句话说，8Base 是 Phobos 生态里包装得最成功的一个「附属品牌」。

它的目标画像非常清晰：以年营收有限的中小企业为主，覆盖商业服务、制造、建筑、金融、医疗与 IT 等行业，赎金金额相对不高但数量极大。美国司法部与欧洲刑警组织的数据显示，Phobos/8Base 体系累计从 1000 多家受害单位勒索超过 1600 万美元。

2025 年 2 月，由欧洲刑警组织与欧洲司法组织协调、14 个国家参与的「Operation PHOBOS AETOR」行动查封了 27 台服务器并关停泄露站与谈判站，泰国警方在普吉岛逮捕 4 名俄罗斯籍嫌疑人，行动同时向 400 多家潜在受害单位发出预警。此后 8Base 品牌基本停止发布新受害者，可视为已被瓦解。2025 年 7 月日本警察厅发布 Phobos/8Base 免费解密工具，使这一家族成为少数「有官方解密方案」的案例。

对中国企业而言，8Base 的意义不止于历史：Phobos 家族本体在国内长期高发，入口是 RDP 弱口令与暴露的远程服务，完全相同的打法今天仍在发生。

文件命名：8Base 的命名模式是 Phobos 家族的典型特征，形如 订单.xlsx.id[A1B2C3D4-3335].[联系邮箱].8base——即在原文件名后依次追加受害者 ID、攻击者邮箱与 .8base后缀。部分样本只追加 .8base。

勒索信：同时投放两份，纯文本 info.txt 与带界面的 info.hta（会自动弹窗）。内容为英文，说明数据已被加密并外传，给出邮箱与备用联系方式，通常带有「限时否则公开」的威胁。

其他迹象：

• 攻击前可见 RDP 登录爆破痕迹（事件 ID 4625 大量失败后成功）；
• 防火墙规则被修改以放通远程访问，本地账号被新增；
• 卷影副本被 vssadmin / wmic 删除，Windows 恢复环境被禁用；
• 系统被设置为「安全模式下仍加密」或修改启动配置；
• 数据库、邮件与虚拟机文件相关服务被强行停止后再加密。

判定要点：出现 .8base后缀 + info.hta 弹窗即可判定为 Phobos 系 8Base 变种，这直接意味着官方免费解密工具值得优先尝试——但必须先确认恶意程序已彻底清除。

8Base 的入侵方式几乎完全继承 Phobos，特点是廉价、规模化、对暴露面依赖极强：

• RDP 暴力破解与凭据撞库：直接对公网 3389 或非标准远程端口做口令爆破，是最主要入口，也是国内 Phobos/8Base 案例的第一大原因；
• 钓鱼邮件投递 SmokeLoader：附件或链接落地加载器，再解密并运行加密载荷；
• 暴露的远程管理与 VPN 服务：弱口令、默认口令、未启用多因素认证；
• 内网横向：使用获取到的本地/域账号通过 RDP 与管理员共享跳转，在文件服务器、数据库服务器和备份服务器上重复投放；
• 防御削弱：关闭 Windows Defender 与第三方杀软、修改防火墙、删除卷影、禁用恢复环境；
• 数据外传：使用压缩与云盘/FTP 工具带走财务、人事与客户数据，用于双重勒索。

8Base 很少使用复杂的 0day，它赢在「目标足够多」。因此对中小企业来说，关闭公网 RDP、强制多因素认证这两件事，基本就能挡掉绝大多数此类攻击。

算法：作为 Phobos 变种，8Base 使用 AES-256（CBC 模式）加密文件内容，并以 RSA-1024 保护密钥。Phobos 的实现细节正是 2025 年官方解密工具得以成立的基础。

大小文件差异处理：Phobos 系对小文件（通常阈值在 1.5MB 左右）做完整加密，对大文件只加密开头与若干区块（间歇加密），以提高速度。这一点非常关键——数据库文件（MDF/LDF、DBF、ibd）、邮件库、虚拟磁盘往往属于「大文件」，其中大量数据页可能未被覆盖，即使不用解密工具也存在结构化修复空间；而 Office 文档、图纸等小文件通常被完整加密。

破坏恢复能力：执行前后删除卷影副本、禁用 Windows 恢复环境与自动修复、修改启动配置、停止数据库与备份服务，并尝试加密可直连的网络共享与映射盘。

范围：8Base 的加密器为 Windows 平台，没有公开确认的独立 Linux/ESXi 加密器；但若虚拟机文件存放在被感染的 Windows 宿主或网络共享上，同样会被一并加密。

双重勒索：先外传数据再加密，未付款则在泄露站公开（该站已于 2025 年 2 月被查封）。