随着【中国能源】、大英图书馆、智利陆军、美国医院等国际重要组织被勒索，Rhysida组织在全球内的勒索名气，已经仅次于lockbit3.

Rhysida 勒索软件历史

Rhysida Ransomware 是一个独立组织，首次于 5 月 23 日被发现。该组织将自己定位为一个网络安全团队，通过强调安全问题和潜在后果来支持受害者。Rhysida 使用的 TTP 与另一个勒索软件组织 Vice Society 有显着相似之处。Vice Society 自 2021 年以来一直活跃，并遵循机会主义攻击方法。该组织利用易受攻击的网络应用程序或使用有效帐户来访问组织。Vice Society 的最后一次攻击发生在 2022 年 7 月至 10 月期间。

在 Rhysida 出现期间，人们注意到 Rhysida 和 Vice Society 团体之间的 TTP 有许多相似之处——使用相同的文件夹名称、SystemBC 的利用、出售恶意软件以及用于持久性的注册表运行密钥的确切名称——所有这些都指向Vice Society 更名为 Rhysida Group。Rhysida 出现后，Vice Society 的活动明显减少，此后他们只在泄密网站上公布了两名受害者。这两个组织还针对类似的行业，即医疗保健和教育，揭示了 Rhysida 和 Vice Society 成员之间的联系。

下图显示了 Rhysida 活动的统计数据。

尽管该组织的受害者名单并不长，但其对高调目标的关注对那些受到影响的人产生了严重影响。8 月，Rhysida 勒索软件组织声称对 Prospect Medical Holdings 的网络攻击负责，该攻击影响了美国各地的 17 家医院和 166 家诊所。据 报道，该组织声称已经窃取了 1.3 TB 的 SQL 数据库和 1 TB 的文档，包括患者记录、公司文档和 500,000 个社会安全号码。Rhysida 勒索软件组织还声称对全球最大的图书馆之一大英图书馆的网络攻击负责。

Rhysida 主要依靠利用有效凭据并通过 VPN 建立网络连接来进行初始访问。尽管他们如何获得这些凭据仍有待确定，但推测它们是通过初始访问代理 (IAB) 获得的。在渗透受害者的网络后，该组织使用 net 命令并利用 Advance IP/端口扫描器等工具来枚举受害者环境并收集有关域的关键信息。Rhysida 利用 PsExec 等 Sysinternals 工具在目标系统上部署勒索软件以进行横向移动。在启动加密过程之前，他们通过多种渠道（包括 MegaSync 和 PowerShell 渗透脚本）利用双重勒索技术窃取敏感数据。

Rhysida 如何发挥作用？

Rhysida 勒索软件有多种部署方式。众所周知，该组织依靠网络钓鱼攻击和Cobalt Strike来破坏网络并部署其有效负载。Cobalt Strike 是一种渗透测试工具，因其先进的利用能力而经常被黑客使用。Rhysida 勒索软件通过网络钓鱼诱饵进入受害者的机器后，Cobalt Strike 用于在系统内进行横向移动。

安全专家的遥测还显示，威胁参与者执行 PsExec 来部署 PowerShell 脚本和 Rhysida 勒索软件负载本身。 Bleeping Computer报告称，Rhysida 操作员使用的 PowerShell 脚本会终止防病毒进程、删除卷影副本、修改远程桌面协议配置以及更改活动目录 (AD) 密码。

虽然勒索软件加密器通常会处理这些任务，但 Rhysida 勒索软件使用外部脚本来实现相同的目的。这一切都表明了储物柜的积极发展。

另一份报告还证实，最新的 Rhysida 储物柜使用 4096 位 RSA 密钥和 ChaCha20 算法进行文件加密，并且现在排除了多个目录。当 Rhysida 勒索软件运行时，安全专家注意到命令行的输出，该输出扫描文件，运行“file_to_crypt”函数，如果成功，则将文件扩展名更改为“ .rhysida ”。

这些攻击方法并不针对任何组织，这意味着任何部门都可能成为潜在目标。

成功加密后，勒索软件会留下一份 PDF 勒索字条，指示受害者通过其门户网站联系该组织并以比特币付款。PDF 注释的使用还表明该组织并不针对网络设备或服务器上使用的命令行操作系统。

Rhysida 勒索软件 TTP

Rhysida 勒索软件运营商利用最近的漏洞或利用初始访问经纪人在暗网市场上购买的有效凭证，机会主义地危害受害者。在其链的加密阶段，他们利用自己的 Rhysida 有效负载或 RaaS 生态系统中可用的其他勒索软件有效负载，例如 QuantumLocker、BlackCat 和 Zepplin 等。在一些案例中，该组织没有加密受害者的文件，而是仅使用泄露的被盗数据进行勒索。

初始访问

Rhysida 操作员使用多种方法执行初始访问。他们伺机瞄准易受攻击的 Web 应用程序或通过初始访问代理获取有效的 RDP 帐户或 VPN 凭证。据观察，他们还成功进行了网络钓鱼攻击

执行

初次访问后，Rhysida 操作员被发现利用 bat 脚本、PS1 文件和计划任务来执行其有效负载。该组织在受感染的系统上部署商品工具和恶意软件，例如 CobaltStrike 信标和 SystemBC。

权限提升

Rhysidia 操作员利用进程注入升级权限，成为 NT 权限/系统，或利用 ZeroLogon 等漏洞成为域管理员

防御规避

在感染链中，Rhysida 运营商不断消除任何妥协迹象。他们定期清除 Windows 事件日志、删除文件并创建隐藏工件。

凭证转储

一旦拥有正确的权限，Rhysida 操作员就会尝试寻找在整个组织中传播的凭证。它们转储 lsass 内存、NTDS 数据库并在注册表中搜索凭据。

发现

在感染过程中，Rhysidia 操作员发现了可能有助于实现进一步目标的细节，例如横向移动。他们发现远程系统、当前用户权限以及可用来进一步实现其目标的任何信任。

横向运动

Rhysida Operators 通过利用 RDP 和 SSH 连接在整个组织中传播。他们还利用 PsExec 等工具来执行命令并在其他系统中立足。

命令与控制

Rhysida 运营商让 Anydesk 服务在受感染的系统上运行，以获得远程访问并保持持久性

渗漏

Rhysida 运营商使用 DataGrabber1 等工具窃取受害者数据并将其上传到他们的云系统。如果受害者不支付赎金，数据就会被泄露或卖给最高出价者。

影响

Rhysida 运营商出于经济动机，利用双重勒索攻击迫使受害者付款。除了加密受害者数据外，他们还窃取数据，并威胁如果不支付赎金就公布敏感信息

Rhysida 勒索软件搜寻和检测

可以通过以下规则在您的环境中追捕 Rhysida 勒索软件。

以下 YARA 规则可用于搜寻 Rhysidia 勒索软件二进制文件。

1rule rw_rhysida {
2
3	meta:
4		author = "Alex Delamotte"
5		description = "Rhysida ransomware detection."
6		sample = "69b3d913a3967153d1e91ba1a31ebed839b297ed"
7		reference = "https://s1.ai/rhys"
8	strings:
9		$typo1 = { 63 6D 64 2E 65 78 65 20 2F 63 20 72 65 67 20 64 65 6C 65 74 65 20 22 48 4B 43 55 5C 43 6F 6E 74 74 6F 6C 20 50 61 6E 65 6C 5C 44 65 73 6B 74 6F 70 22 }
10		$cmd1 = { 63 6D 64 2E 65 78 65 20 2F 63 20 72 65 67 20 61 64 64 20 22 48 4B 43 55 5C 53 6F 66 74 77 61 72 65 5C 4D 69 63 72 6F 73 6F 66 74 5C 57 69 6E 64 6F 77 73 5C 43 75 72 72 65 6E 74 56 65 72 73 69 6F 6E 5C 50 6F 6C 69 63 69 65 73 5C 41 63 74 69 76 65 44 65 73 6B 74 6F 70 }
11		$cmd2 = { 63 6D 64 2E 65 78 65 20 2F 63 20 72 65 67 20 61 64 64 20 22 48 4B 4C 4D 5C 53 6F 66 74 77 61 72 65 5C 4D 69 63 72 6F 73 6F 66 74 5C 57 69 6E 64 6F 77 73 5C 43 75 72 72 65 6E 74 56 65 72 73 69 6F 6E 5C 50 6F 6C 69 63 69 65 73 5C 53 79 73 74 65 6D 22 20 2F 76 20 57 61 6C 6C 70 61 70 65 72 20 2F 74 20 52 45 47 5F 53 5A 20 2F 64 20 22 43 3A 5C 55 73 65 72 73 5C 50 75 62 6C 69 63 5C 62 67 2E 6A 70 67 22 20 2F 66 }
12		$byte1 = { 48 8D 05 72 AA 05 00 48 8B 00 8B 95 }
13		$byte2 = { 48 8D 15 89 CF 03 00 48 89 C1 E8 F9 1C 03 00 44 }
14	condition:
15		2 of them
16}

下面的 Fortinet 搜索规则可以搜索 Rhysida 操作员使用的持久性方法。

1Type: ("Value Created") AND Registry.Name:"socks" AND Registry.Path: ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run") AND Registry.Data: ("Powershell.exe \-windowstyle hidden \-ExecutionPolicy Bypass \-File ")

以下检测规则可用于检测 Rhsyida Operators 的 LSASS 内存转储。

防御 Rhysida 勒索软件

Rhysida 操作者在入侵期间使用的大多数 TTP 都是这些勒索软件入侵的典型，并且没有观察到新颖的技术。这凸显了不仅了解勒索软件有效负载的操作，而且了解其部署的整个过程的重要性。有一些经验不足的演员的标志，例如在整个活动中看到的未混淆的注册表修改和 PowerShell 命令。

攻击者利用各种工具来促进此类攻击，从使用 AnyDesk 等远程管理工具到通过 PsExec 部署勒索软件。密切监控这些活动有助于防止下一次勒索软件攻击。