Nemesis2024 勒索病毒解密与数据恢复

Nemesis2024 是国内安全厂商命名的家族，海外几乎没有对应的公开分析。我们能查到的最早记录是 360 2024 年 10 月的勒索软件月报：它把关键词 888 列入活跃关键词，并说明它「属于 Nemesis2024 家族，以勒索信中的 Nemesis 家族字段命名」，当时记录的传播方式是暴力破解远程桌面口令后手动投毒。此后它多次出现在 360 的月报中；2026 年 4 月、5 月与 7 月的月报把传播方式补充为「暴力破解远程桌面口令与数据库口令，成功后手动投毒」。

本页信息有限：360 的月报只给出关键词、命名来源与传播方式，没有公开勒索信全文、文件名格式、加密算法或样本哈希。下面的识别与处置建议基于这些已知事实和同类手动投毒家族的处置经验，不代表对该家族技术细节的确认。我们会随公开情报更新本页。

不要与以下两个同名或同后缀的家族混淆：

• 2017 年前后出现过一个同样叫 Nemesis 的旧家族，与 360 命名的 Nemesis2024 不是一回事；
• Dharma 家族有一个以 .888 结尾的变种，文件名格式形如 sample.jpg.id-1E857D00.[donald888@mail.fr].888，并在桌面生成 FILES ENCRYPTED.txt。看到 .888 时，先核对文件名里有没有 id 编号和邮箱，再判断属于哪一家。

后缀：360 的检索关键词是 888，国内反馈的案例一般以 .888 结尾，但完整的文件名格式未见公开记录。

勒索信：带有 Nemesis 字段，这是 360 命名的依据；文件名与联系方式须以现场为准。

与 Dharma .888 的区分：Dharma 变种的文件名里会依次出现 id-八位编号、方括号括起的邮箱，再接 .888，桌面上有 FILES ENCRYPTED.txt 并弹出窗口；如果文件名里没有这些元素、勒索信里出现 Nemesis 字样，更可能是 Nemesis2024。

入侵痕迹：由于是爆破后手动投毒，Windows 安全日志里通常能看到大量 RDP 登录失败（事件 ID 4625）后的一次成功登录（4624），数据库日志里有密集的登录失败记录。

建议：保留 3–5 个加密文件与勒索信原件，交由专业团队比对确认，不要只凭后缀下结论。

据 360 的记录，Nemesis2024 的主要传播方式是：暴力破解远程桌面口令与数据库口令，成功后手动投毒。这意味着：

• 入口通常是直接暴露在公网的远程桌面（3389 或改过的端口）以及 SQL Server、MySQL 等数据库端口；
• 攻击者登录成功后人工操作，往往会先关掉杀毒软件、查看有哪些数据库和备份，再挑时间投放；
• 同一组口令在内网多台服务器上复用时，攻击者会顺着这些口令逐台登录。

公开资料没有披露其是否会自动横向传播，排查时应按「人工操作、可能已登录多台」处理。

Nemesis2024 的加密算法、是否整文件加密、是否删除卷影副本，目前都没有公开分析。

这几点直接决定恢复路线：如果卷影副本仍在，「以前的版本」可能直接救回一部分文件；如果是部分加密，数据库文件可能保留大量完好的数据页，可以做结构级修复；如果是整文件加密并删除了卷影副本，就只能依靠备份。因此第一步一定是用实际样本测出来，而不是套用其他家族的结论。