Rhysida / Vice Spider

Rhysida ist eine Ransomware-Operation, die auf doppelte Erpressung setzt, bezeichnet als Double Extortion. Die Angreifenden verschlüsseln Daten und drohen zusätzlich damit, die zuvor gestohlenen Informationen zu veröffentlichen. Rhysida funktioniert als ein Ransomware-as-a-Service-Modell (RaaS), bei dem die verantwortliche Gruppierung Schadsoftware und Infrastruktur anderen Angreifenden bereitstellt und Lösegelder zwischen der Gruppierung und den beteiligten Angreifenden aufgeteilt werden.

Akteur

Ransomware-Akteur ist Vice Spider auch bekannt als Arcane Mantis, Nefarious Mantis, White Nefas, DEV-0832, Vanilla Tempest oder Vice Society.
Seit April 2021 aktiv, Einsatz von Rhysida-Modell seit Mai 2023 beobachtet
Herkunft: Ungesichert, generell ist Vice Spider dem russischen Sprachraum zuzuordnen
Finanziell motivierte Cyberkriminalität mit dem Schwerpunkt auf Ransomware und Datenerpressung.

Eingesetzte Malware

Rhysida-Ransomware: Varianten für Windows und Linux sind dokumentiert. Bei den untersuchten Varianten erhalten verschlüsselte Dateien die Endung .rhysida. Die Erpressungsnachricht wird als PDF-Datei mit dem Namen CriticalBreachDetected.pdf hinterlegt
Ransomware-as-a-Service-Modell (RaaS)

Schutzmaßnahmen

Handlungsempfehlungen zu Ransomware erhalten Sie beim Klick auf den Link

Angriffsmethoden

Für den Erstzugriff sind insbesondere kompromittierte VPN-Zugangsdaten dokumentiert, insbesondere bei einer fehlenden Multi-Faktor-Authentifizierung (MFA). Teilweise wurde auch die Schadsoftware Gootloader und in jüngster Vergangenheit der LoremIpsumLoader zur Erlangung des Erstzugriffs eingesetzt.

Innerhalb betroffener Netzwerke verwendet Rhysida Living-off-the-Land-Techniken. Die Aktivitäten sollen dadurch weniger auffallen. Konkret genutzt werden unter anderem das Remote Desktop Protocol (RDP) und PowerShell.

Weitere Informationen