Origen y operación del grupo Rhysida
El grupo detrás del ransomware Rhysida emergió a fines de mayo de 2023. Opera bajo el modelo de ransomware-as-a-service (RaaS). El grupo ha demostrado un enfoque particular en objetivos ubicados en Latinoamérica, habiendo lanzado su primer ataque de alto perfil contra entidades públicas en Chile en junio de 2023. También ha dirigido sus ataques hacia Argentina y otros países como Europa y los Estados Unidos.
Metodología de operación
Rhysida opera un sitio en la darkweb donde publica los nombres de sus víctimas y divulga la información robada en caso de que las víctimas no cumplan con el pago del rescate exigido. Se indica a las víctimas que se pongan en contacto con los atacantes a través de su portal basado en TOR, utilizando un identificador único proporcionado en las notas de rescate.
Metodos de propagación
Rhysida se implementa de múltiples maneras. Los métodos principales incluyen la implementación a través de Cobalt Strike o un framework similar, y mediante campañas de phishing. Rhysida utiliza métodos de propagación comunes en su intento de infiltrarse en los sistemas de las víctimas. Esto incluye el envío de correos electrónicos falsos que parecen provenir de fuentes confiables, pero que contienen archivos adjuntos o enlaces maliciosos.
Vulnerabilidades explotadas
Otro enfoque utilizado por los atacantes es aprovechar vulnerabilidades en el sistema, como software desactualizado o configuraciones de red inseguras. Las contraseñas débiles también pueden ser una entrada, ya que los atacantes a menudo utilizan contraseñas comunes o herramientas automatizadas para adivinarlas.
Procedimiento de pago y notas de rescate
Rhysida acepta pagos en BTC (Bitcoin) únicamente y brinda a las víctimas información sobre la compra y el uso de BTC en el portal de víctimas. Al proporcionar su identificación única al portal de pago, se proporciona un formulario adicional que permite a las víctimas proporcionar más información a los atacantes con fines de autenticación y detalles de contacto.
Características técnicas
Las notas de rescate de Rhysida se escriben como documentos PDF en las carpetas afectadas en las unidades de destino. Se han observado cargas útiles de Rhysida utilizando RSA 4096-bit y ChaCha20 para el cifrado de archivos. Parece que los autores tienen la intención de admitir otros algoritmos en el futuro, sin embargo, ChaCha20 es actualmente la única opción completamente implementada.
Comportamiento durante la ejecución
Cuando se ejecuta Rhysida, se observa que ejecuta un cmd.exe y un proceso de obtención de resultados desde la línea de comandos, que aparentemente escanea los archivos, ejecuta la función «file_to_crypt» y, si tiene éxito, cambia la extensión del archivo a «.rhysida».
Estado actual del ransomware
Las muestras analizadas del ransomware Rhysida indican que el grupo se encuentra en las primeras etapas del ciclo de desarrollo. A las cargas útiles les faltan muchas funciones básicas, como la eliminación de VSS, que son sinónimo del ransomware actual. Dicho esto, el grupo amenaza a las víctimas con la distribución pública de los datos exfiltrados, alineándolos con los grupos de extorsión múltiple de hoy en día.
