ARTICLE / 安全

8Base

Updated: 2026-07-01
Reading time: 5 min

报告编号: TIR-2026-0701-019 | 分类等级: TLP:AMBER | 发布日期: 2026年7月1日 | 情报来源: 多源交叉验证（OSINT + Europol Operation PHOBOS AETOR + US DoJ + HHS/HC3 + VMware Carbon Black + Trend Micro + Check Point + Vectra AI + Eye Security）

一、执行摘要

8Base 是2022年3月崛起的勒索软件组织，以双重勒索模式运营，利用泄露的 Phobos 勒索软件构建工具（v2.9.1）发起攻击，加密文件追加 .8base 扩展名。该组织在2023年夏季活动量急剧攀升，三个月内声称131个受害者，与 Cl0p、LockBit 并列为2023年7月全部已记录网络攻击的48%的制造者。累计公布受害者超过 455 个，涉及全球超过1,000个实体，非法获利约 1,600 万美元。

2025年2月，在国际执法行动 “Operation PHOBOS AETOR” 中，4名8Base组织领导层成员（俄罗斯国籍）在泰国普吉岛被捕，暗网数据泄露网站及27台关联服务器被查封。该组织与 RansomHouse 存在高度关联（勒索信匹配度99%），作为 Phobos “Affiliate 2803” 运作。

关键发现

维度	关键指标
组织规模	455+ 受害者，1,000+ 关联实体
首要目标	美国（36%）、巴西（15%）、英国（10%）
加密方式	AES-256-CBC（Phobos 变体）
代码来源	Phobos v2.9.1 泄露构建工具
商业模式	Phobos 附属（Affiliate 2803）
关联组织	Phobos（上游 RaaS）、RansomHouse（99%勒索信匹配）
执法行动	Operation PHOBOS AETOR（2025.02，4人逮捕）
赎金收入	~$1,600万
解密可能性	部分存在（Phobos 解密工具覆盖部分变体）
当前状态	受重创（核心成员被捕，基础设施查封）

威胁等级评估

评估维度	等级	说明
技术能力	🟠 高	Phobos 变体、SmokeLoader、SystemBC
运营成熟度	🟠 高	双重勒索、数据外泄 + 加密
攻击规模	🔴 极高	455+ 受害者，$1,600万收入
目标针对性	🟠 高	中小企业为主，无差别行业
数据泄露风险	🔴 极高	双重勒索 + Mega.nz 外传

二、威胁行为者画像

2.1 组织标识

属性	值
官方名称	8Base（EightBase）
组织类型	Phobos 附属（Affiliate 2803）
活跃周期	2022年3月 – 2025.02（执法打击）
代码来源	Phobos v2.9.1 泄露构建工具
地理归属	俄罗斯（2025执法确认）
攻击目标	全球（美/巴西/英为主）
动机	经济利益

2.2 关联组织

┌──────────────────────────────────────────────────────┐
│           8Base 关联组织网络                            │
├──────────────────────────────────────────────────────┤
│                                                        │
│  Phobos RaaS（上游提供者）                             │
│  ├── 提供加密工具和基础设施                            │
│  ├── 8Base 为 "Affiliate 2803"                        │
│  │                                                      │
│  └──→ 8Base（2022.03-2025.02）                        │
│       ├── 修改 Phobos 构建工具                         │
│       ├── .8base 扩展名                                │
│       ├── 自定义勒索信                                 │
│       │                                                │
│       └── RansomHouse（99%勒索信匹配）                 │
│            措辞逐字复制，可能共用开发者                  │
│                                                        │
└──────────────────────────────────────────────────────┘

三、归因分析

3.1 地理归属

证据类型	详情	置信度
执法确认	2025.02 逮捕4名俄罗斯国籍成员	极高
排除规则	未发现针对 CIS 国家的攻击	高
DoJ 起诉书	明确归因于俄罗斯国籍人员	极高

四、技术能力评估

4.1 加密方案

属性	值
加密算法	AES-256-CBC
代码来源	Phobos v2.9.1 修改版
文件扩展名	`.8base`
勒索信	自定义勒索信

五、攻击链分析

5.1 初始访问

技术	MITRE ATT&CK	详情
钓鱼邮件	T1566.001	主要入侵向量
IAB 购买	T1199	暗网购买已攻陷网络
漏洞利用	T1190	未修补软件漏洞

5.2 执行与持久化

技术	MITRE ATT&CK	详情
SmokeLoader	T1027	初始混淆与载荷加载
SystemBC	T1090	代理/RAT C2 通信
defoff.bat	T1562.001	禁用 Windows Defender（KILLAV）
注册表/启动文件夹	T1547	持久化

5.3 凭证窃取

技术	MITRE ATT&CK	详情
Mimikatz	T1003.001	LSASS 凭证提取
SAM 转储	T1003.002	注册表配置单元转储

5.4 横向移动

技术	MITRE ATT&CK	详情
SSL VPN	T1133	利用窃取的服务账户凭证
虚拟桌面	T1021	Windows 虚拟桌面横向
多IP同时操作	T1021	至少2个独立IP同时活动

5.5 数据外传

技术	MITRE ATT&CK	详情
WinRAR	T1560	压缩数据
Mega.nz	T1567.002	云存储外传

5.6 防御规避与影响

技术	MITRE ATT&CK	详情
禁用安全软件	T1562.001	终止 AV/EDR 进程、篡改 Defender 设置
卷影副本删除	T1490	`vssadmin delete shadows` 阻断本地恢复
泄露施压	T1657	泄密站公布受害者与勒索倒计时，拒付即公开数据

六、受害面与运营特征

8Base 自 2022 年中以 RaaS 模式活跃，攻击面集中在中小型企业：其泄密站累计披露受害者约两百家，行业分布以航空、电信、软件与专业服务为主，美国与拉美占比最高。FBI 与 CISA 在 2023 年 8 月发布联合公告，点名其针对航空、通信与 IT 服务商的入侵活动。

勒索金额常见区间为 1 万-10 万美元，随数据体量与行业浮动。谈判经 Tor 面板与聊天系统完成，并附"免费小额解压"作为付款信任钩子——典型的施耐德漏斗话术：先证明能解密，再谈金额。

七、检测与防御建议

暴露面收缩：VPN/RDP/SSH 全面 MFA，收敛非必要端口，泄露即轮换凭证。
凭证卫生：优先排查共享账号与长期未改密码的服务账户——此类组织的初始访问成功率几乎完全建立在泄露凭证之上。
EDR 防篡改：确保终端代理不可被本地卸载，对进程终止、服务停止类行为单独告警。
备份与恢复：离线/不可变副本；卷影副本删除动作实时响应。
外传监控：压缩工具（WinRAR）与云存储（Mega.nz）的组合出现是高置信外传信号。

八、总结

8Base 没有明星恶意软件，它的威胁来自流水线化的初始访问与标准化的双重勒索施压：拿到票、进网、抄数据、加密、上泄密站。对付这类组织，防御方拼的不是猎奇能力，而是 MFA、补丁、备份与告警覆盖这些"无聊的基本功"——它的全部战术都建立在基本功缺口的受害者画像上，补齐缺口就等于抽走它的商业模式。（数据来源：FBI/CISA 2023 年 8Base 联合公告、8Base 泄密站公开记录与主流厂商威胁情报报告，整理截至 2026-10。）本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。