Rhysida

2021年夏季    Vice Society 首次活跃
              主要目标：美国教育部门
              使用多种商品化勒索载荷
    ↓
2022.11       Sophos 首次观测到 TAC5279 活动集群
              针对政府/物流部门部署 Vice Society
    ↓
2023.02       Vice Society 攻击物流部门
              驻留时间长达112天
    ↓
2023.04       Vice Society 攻击教育部门
              开始使用 SystemBC
    ↓
2023.05       Rhysida 首次出现
              智利军队遭攻击
              Vice Society 活动开始减少
    ↓
2023.06       同一 TAC5279 集群切换至 Rhysida
              物流和教育部门受害
    ↓
2023.07       攻击 Prospect Medical Holdings
              影响美国17家医院和166家诊所
              美国 HHS 定义为医疗 sector 重大威胁
    ↓
2023.10       英国图书馆遭攻击
              英王爱德华七世医院数据泄露
              声称窃取英国王室成员信息
    ↓
2023.11       CISA/FBI/MS-ISAC 联合发布警报（AA23-319A）
    ↓
2023.12       Insomniac Games 遭攻击
              Marvel's Wolverine 游戏细节泄露
    ↓
2024.05       恶意广告活动启动（Google/Bing）
              CleanUpLoader 伪装 Microsoft Teams 下载
    ↓
2024.07       美国哥伦布市遭攻击
              3TB 数据泄露，勒索30 BTC（170万美元）
    ↓
2024.08       西雅图-塔科马国际机场遭攻击
    ↓
2025.01       IBM X-Force 发现 Tomb 加密器用于加载 Broomstick/Rhysida
    ↓
2025.03       恶意广告活动升级（Bing 搜索 + Windows 11 开始菜单）
              使用40+ 代码签名证书（vs 2024年仅7个）
              滥用 Microsoft Trusted Signing 系统
    ↓
2025.04       CISA 更新通告（新增 IOC）
    ↓
2025.06       IBM X-Force 披露 Rhysida-Interlock 生态关联
              Endico 下载器、Supper 后门、Tomb 加密器
    ↓
2025.09       Microsoft  disrupt Vanilla Tempest 活动
              撤销200+ 关联代码签名证书
    ↓
2026          持续活跃，约80受害者（2025年数据）
              Interlock 生态可能从 Rhysida 分裂

┌─────────────────────────────────────────────────────────────┐
│  1. 生成 ChaCha20 对称密钥                                  │
│  2. 使用 ChaCha20 加密文件内容                              │
│  3. 生成 RSA-4096 密钥对                                    │
│  4. 使用 RSA 公钥加密 ChaCha20 密钥                         │
│  5. 将加密后的 ChaCha20 密钥附加到文件                      │
│  6. 重命名文件（添加 .rhysida 扩展名）                      │
│  7. 投放 PDF 格式勒索信                                     │
│  8. 删除卷影副本                                            │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  多层基础设施架构                                            │
│                                                             │
│  Layer 1: 恶意广告 → 伪造下载页 → CleanUpLoader 投递        │
│           （typosquatting 域名 + SEO 投毒）                  │
│                                                             │
│  Layer 2: CleanUpLoader → C2 通信（HTTPS）                  │
│           多 C2 域名冗余配置                                 │
│                                                             │
│  Layer 3: SystemBC → 持久化后门                             │
│           PowerShell 植入物                                  │
│                                                             │
│  Layer 4: Cobalt Strike → 后渗透操作                        │
│           横向移动 + 数据渗出                                │
│                                                             │
│  Layer 5: Rhysida 加密器 → 最终载荷部署                     │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（传统路径）: VPN 凭证利用                        │
│  ──────────────────────────────                              │
│  1. 获取无 MFA 的 VPN 凭证（暗网购买/凭证泄露）             │
│  2. 通过 VPN 接入内部网络                                    │
│  3. 驻留时间: 5-112天不等                                   │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B（2024+）: 恶意广告 + CleanUpLoader               │
│  ────────────────────────────────────                        │
│  1. 购买 Bing/Google 搜索广告                               │
│  2. 创建伪造下载页面（Teams、PuTTY、Zoom）                  │
│  3. SEO 投毒 + typosquatting 域名                            │
│  4. 受害者下载并运行伪造安装器                               │
│  5. 部署 CleanUpLoader/OysterLoader                         │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 漏洞利用                                        │
│  ────────────────────────                                    │
│  1. 利用 CVE-2023-34048（VMware Aria Operations for Network）│
│  2. 利用其他暴露的外部服务漏洞                               │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── Advanced IP/Port Scanner 扫描网络
├── RDP 连接远程主机
├── 远程 PowerShell 会话（WinRM）
├── PuTTY SSH 连接
└── AnyDesk 远程桌面

权限提升
├── ZeroLogon（CVE-2020-1472）→ 域控权限
├── ntdsutil.exe → NTDS.dit 转储（存于 temp_l0gs）
├── Secretsdump → 远程凭据提取
├── LSASS 内存转储 → Mimikatz
└── 枚举域管理员账户

# RDP 横向移动（清除日志）
# 连接后删除相关日志和注册表项

# PsExec 部署勒索软件（两阶段）
PsExec.exe -d \\VICTIM -u "DOMAIN\ADMIN" -p "Password" -s cmd /c COPY "\\path\payload.exe" "C:\windows\temp"
PsExec.exe -d \\VICTIM -u "DOMAIN\ADMIN" -p "Password" -s cmd /c c:\windows\temp\payload.exe

数据渗出
├── 7zip 压缩关键数据
├── MegaSync 上传至 Mega 云存储
├── WinSCP 传输
├── 自定义 PowerShell 脚本
└── Rclone（部分案例）

# 删除卷影副本
vssadmin.exe delete shadows /all /quiet

# 部署 Rhysida 加密器
# 清除事件日志
wevtutil cl Security
wevtutil cl System

# 投放 PDF 格式勒索信

┌─────────────────────────────────────────────────────────────┐
│  Rhysida RaaS 运营架构                                      │
│                                                             │
│  核心层: 加密器开发 + 基础设施管理 + 泄露站运营              │
│    ↓                                                        │
│  分发层: IAB（初始访问经纪人）                               │
│    ├── VPN 凭证销售                                         │
│    ├── 漏洞利用访问权                                       │
│    └── CleanUpLoader 分发网络                               │
│    ↓                                                        │
│  执行层: 附属成员（Affiliates）                              │
│    ├── 内网渗透 + 数据渗出                                  │
│    ├── 部署 Rhysida 加密器                                  │
│    └── 谈判与赎金收取                                       │
│    ↓                                                        │
│  利润层: 利润分成                                            │
│    └── 核心层与附属成员按比例分配赎金                        │
└─────────────────────────────────────────────────────────────┘

title: Rhysida NTDS.dit Dump to temp_l0gs Directory
id: a1b2c3d4-e5f6-7890-abcd-ef1234567890
status: experimental
description: 检测 ntdsutil.exe 将 NTDS.dit 转储至 temp_l0gs 目录的行为
author: Threat Intelligence Report
date: 2026/06/24
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\ntdsutil.exe'
    CommandLine|contains:
      - 'temp_l0gs'
      - 'ifm'
      - 'create full'
  condition: selection
level: critical
tags:
  - attack.credential_access
  - attack.t1003.003

title: Rhysida RDP Log Cleanup
id: b2c3d4e5-f6a7-8901-bcde-f12345678901
status: experimental
description: 检测攻击者清除 RDP 连接日志和注册表项的行为
author: Threat Intelligence Report
date: 2026/06/24
logsource:
  category: process_creation
  product: windows
detection:
  selection_reg:
    CommandLine|contains:
      - 'HKCU\Software\Microsoft\Terminal Server Client'
      - 'reg delete'
    Image|endswith: '\reg.exe'
  selection_evt:
    Image|endswith: '\wevtutil.exe'
    CommandLine|contains:
      - 'cl Security'
      - 'cl System'
      - 'cl Microsoft-Windows-TerminalServices'
  condition: selection_reg or selection_evt
level: high
tags:
  - attack.defense_evasion
  - attack.t1070.001

title: Rhysida PsExec Ransomware Deployment
id: c3d4e5f6-a7b8-9012-cdef-123456789012
status: experimental
description: 检测通过 PsExec 将载荷复制到远程主机并执行的行为
author: Threat Intelligence Report
date: 2026/06/24
logsource:
  category: process_creation
  product: windows
detection:
  selection_copy:
    Image|endswith: '\PsExec.exe'
    CommandLine|contains:
      - 'COPY'
      - 'windows\temp'
  selection_exec:
    Image|endswith: '\PsExec.exe'
    CommandLine|contains:
      - 'c:\windows\temp'
      - '.exe'
  condition: selection_copy or selection_exec
level: high
tags:
  - attack.lateral_movement
  - attack.t1570
  - attack.execution

title: CleanUpLoader OysterLoader Fake Installer
id: d4e5f6a7-b8c9-0123-defa-234567890123
status: experimental
description: 检测来自非预期路径的 Teams/PuTTY/Zoom 安装器行为
author: Threat Intelligence Report
date: 2026/06/24
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|contains:
      - 'Teams'
      - 'PuTTY'
      - 'Zoom'
    Image|contains|all:
      - 'AppData'
  filter_legitimate:
    Image|contains:
      - 'Program Files'
      - 'Program Files (x86)'
      - 'WindowsApps'
  condition: selection and not filter_legitimate
level: high
tags:
  - attack.execution
  - attack.t1204.002
  - attack.defense_evasion
  - attack.t1036

rule Rhysida_Ransomware {
    meta:
        description = "检测 Rhysida 勒索软件加密器"
        author = "Threat Intelligence Report"
        date = "2026-06-24"
        reference = "CISA AA23-319A"
    strings:
        $s1 = ".rhysida" ascii
        $s2 = "ChaCha" ascii
        $s3 = "RSA" ascii
        $s4 = "vssadmin" ascii
        $s5 = "delete shadows" ascii
        $s6 = "readme" ascii wide
        $m1 = { 4D 5A 90 00 03 00 00 00 }
    condition:
        $m1 at 0 and
        3 of ($s*)
}

rule CleanUpLoader_OysterLoader {
    meta:
        description = "检测 CleanUpLoader/OysterLoader 后门"
        author = "Threat Intelligence Report"
        date = "2026-06-24"
        reference = "Expel Research, Recorded Future Insikt Group"
    strings:
        $s1 = "cleanup" ascii
        $s2 = "oyster" ascii
        $s3 = "broomstick" ascii
        $c2_1 = "https://" ascii
        $c2_2 = ".onion" ascii
        $mutex = "Global\\CleanupLoader" ascii
    condition:
        2 of ($s*) or
        ($c2_1 and $c2_2) or
        $mutex
}

# 检测 ntdsutil 转储至 temp_l0gs
ProcessCreation where process.name="ntdsutil.exe" and process.command_line contains "temp_l0gs"

# 检测 vssadmin 删除卷影副本
ProcessCreation where process.name="vssadmin.exe" and process.command_line contains "delete shadows"

# 检测 RDP 注册表清除
ProcessCreation where process.name="reg.exe" and process.command_line contains "Terminal Server Client" and process.command_line contains "delete"

# 检测事件日志清除
ProcessCreation where process.name="wevtutil.exe" and process.command_line contains "cl"

# 检测非预期路径的 Teams/PuTTY/Zoom 安装器
ProcessCreation where process.name contains "Teams" or process.name contains "PuTTY" or process.name contains "Zoom" and not process.path contains "Program Files"

# 检测 MegaSync 异常上传
ProcessCreation where process.name="MegaSync.exe" and process.command_line contains "put" or process.command_line contains "sync"

# 检测 PsExec 远程部署
ProcessCreation where process.name="PsExec.exe" and process.command_line contains "windows\temp"