888

中低活跃

暂无信息

首次发现： 2024-10-01

勒索信： !RESTORE_FILES!.txt

算法： AES-256

扩展名： 888

情报摘要：

别名：: Crypt888（历史关联，待确认）
IOC数量：: 5
受害记录：: 0
ATT&CK战术：: 19

概览

暂无信息

加密特征

暂无加密特征数据。

勒索信

勒索信文件： !RESTORE_FILES!.txt

+----------------------------------------------------------------------------+ | !!!ALL YOUR FILES ARE ENCRYPTED, AS A RESULT OF A BREACH IN SECURITY!!! | +----------------------------------------------------------------------------+ No worries - you can get them back! It's impossible to decrypt without contacting us. +----------------------------------------------------------------------------+ | !!!DON'T TRY TO CHANGE ENCRYPTED FILES!!! | | !!!DON'T RENAME ENCRYPTED FILES!!! | | !!!DON'T USE ADDITIONAL RECOVERY SOFTWARE!!! | | !!!IT WILL MAKE THEM IMPOSSIBLE TO DECRYPT!!! | +----------------------------------------------------------------------------+ How to return all your data back in safe: 1. Copy and sent us your KEY. 2. We can decrypt 2 small files, no databases (.jpg, .txt, .doc, ets.. (up to 3mb)) as your warranty. 3. After payment, you will receive a special software for decryption. ----------------------------------------------------------------------------------------------------------------- KEY: xxxxxxxxxxxxxxxxxxxxxxx ----------------------------------------------------------------------------------------------------------------- EMAILS: nemesis@888recover.4wrd.cc nemesissupport@firemail.cc Zero cheats, all integrity.

技术细节

“888”勒索软件的公开技术细节较少，当前更适合作为基于勒索扩展名的威胁标签处理，而非已充分定义的独立勒索家族。公开资料未稳定披露其开发语言、互斥体名称、配置结构、样本哈希、C2 域名或固定文件路径；因此这些字段应标记为暂无公开信息。

从已知勒索样本命名习惯看，疑似 888 样本可能具备以下特征：加密后为文件追加 .888 扩展名，或采用类似 Dharma/CrySiS 的命名模式，将受害者 ID、联系邮箱和扩展名组合进文件名；赎金说明通常要求受害者通过邮件或即时通信工具联系攻击者。文件加密流程一般会遍历本地磁盘、可移动介质和网络共享，跳过系统关键目录以保持主机可启动。

持久化方面暂无公开信息，未见可靠资料证明其固定创建注册表 Run 键、计划任务或服务。规避方面也缺乏明确证据，不能确认是否具备虚拟机检测、调试器检测、代码混淆或安全进程终止能力。C2 通信同样暂无公开信息；部分勒索软件并不依赖实时 C2，而是在样本中内置公钥和联系信息。防御侧应重点监控异常批量改名、短时间高频文件写入、卷影副本删除命令、远程桌面暴力破解痕迹以及未知可执行文件从用户目录启动等行为。

威胁指标

恶意邮箱

nemesis@888recover.4wrd.cc

来源： SolarA028项目捕获

首次录入： 2024-10-15

最后更新： 2026-09-01

恶意邮箱

nemesissupport@firemail.cc

来源： SolarA028项目捕获

首次录入： 2024-10-15

最后更新： 2026-09-01

MD5

恶意软件样本

5807d78434e578865d60acbcd7030df1

来源： Solar263项目捕获

首次录入： 2026-01-23

最后更新： 2026-09-01

MD5

恶意软件样本

87aaae78b96ca76c0152c2d38ba14f38

来源： Solar259项目捕获

首次录入： 2026-01-21

最后更新： 2026-09-01

MD5

恶意软件样本

f6f828fa9c1b9381dfe8453b20513754

来源： Solar020项目捕获

首次录入： 2025-06-20

最后更新： 2026-09-01

已显示：5/5

受害者信息

暂无受害者记录。

MITRE ATT&CK

初始访问：暂无公开信息能够确认 888 的固定入侵路径。若其确属 Dharma/CrySiS 相关分支，常见入口包括暴露的 RDP 暴力破解或凭据填充，对应 ATT&CK T1110、T1133；也可能通过钓鱼附件或恶意下载器投递，对应 T1566、T1204，但不能作为该标签的确定结论。
执行：勒索载荷通常由攻击者手动运行、通过远程管理工具运行，或由脚本/批处理触发，可映射到 T1059、T1106。公开资料未确认 888 是否使用 PowerShell、.NET、C/C++ 或 Go 等具体实现语言。
持久化：暂无公开信息。若出现注册表 Run 键、计划任务或服务安装，应分别关注 T1060/T1547.001、T1053.005、T1543.003，但这些属于检测假设，不应视为已验证家族特征。
防御规避：同类勒索活动常终止安全软件、清理日志或删除备份，涉及 T1562.001、T1070、T1490。对于 888，是否稳定执行这些动作暂无公开信息，建议以主机行为日志确认。
发现与横向移动：攻击者可能枚举磁盘、共享、域用户和在线主机，对应 T1083、T1135、T1018。如结合 RDP、SMB 或 PsExec 扩散，可关联 T1021.001、T1021.002、T1570，但暂无公开资料证明其为固定 TTP。
加密勒索：核心影响行为是批量加密用户文件并追加 .888 标识，投递勒索说明，属于 T1486。若删除卷影副本或系统恢复点，则对应 T1490；该行为在 888 中暂无可靠公开确认。