ARTICLE / 安全
Rhysida
报告编号: TIR-2026-0624-012 | 分类等级: TLP:AMBER | 发布日期: 2026年6月24日 | 情报来源: 多源交叉验证（OSINT + 执法通报 + 厂商报告）
一、执行摘要
Rhysida 是一个于2023年5月首次活跃的勒索软件即服务（RaaS）组织，以蜈蚣属（Rhysida）命名并使用蜈蚣标志。该组织与 Vice Society（DEV-0832/Vanilla Tempest） 存在高度技术关联，多家安全厂商和执法机构评估认为 Rhysida 是 Vice Society 的演化品牌或关联载荷。截至2026年6月，Rhysida 已攻击全球超过 200个组织，重点目标涵盖教育、医疗、制造业、信息技术和政府部门的"机会性目标"。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 200+ 受害者（含 Interlock 生态约 80+ 受害者/2025年），全球影响 |
| 攻击速度 | 从横向移动到勒索部署最短仅需 8天 |
| 加密强度 | ChaCha20 + RSA-4096，无公开解密器 |
| 首要入口 | VPN 凭证利用（无MFA）、恶意广告（Malvertising）、漏洞利用 |
| 商业模式 | RaaS，利润分成模式，仅接受比特币支付 |
| 核心载荷 | Rhysida 加密器（Windows/Linux）、CleanUpLoader/OysterLoader、Supper 后门 |
| 多平台支持 | Windows、Linux |
| 关联组织 | Vice Society（DEV-0832）、Interlock、TAG-124（Landupdate808） |
| 解密可能性 | 不存在（截至2026年6月无公开解密工具） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🟠 高 | 多平台加密、CleanUpLoader 持久化、代码签名证书滥用、Tomb 加密器 |
| 运营成熟度 | 🟠 高 | RaaS 平台、多层基础设施、恶意广告分发网络 |
| 攻击规模 | 🟠 高 | 200+ 受害者，教育/医疗/政府跨部门攻击 |
| 目标针对性 | 🔴 极高 | 主动攻击学校和医院，突破传统勒索软件"道德底线" |
| 数据泄露风险 | 🔴 极高 | 双重勒索 + 泄露网站公开羞辱 + 7天快速发布期限 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | Rhysida |
| 别名 | DEV-0832（Microsoft）、Vanilla Tempest（Microsoft）、TAC5279（Sophos） |
| 追踪编号 | G1039（MITRE）、S1147 |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2023年5月 → 至今 |
| 主要语言 | 英语（泄露站）、俄语（推断，CIS地区活动） |
| 地理归属 | 独联体地区（CIS），可能位于俄罗斯（中置信度） |
| 攻击目标 | 教育、医疗、制造、IT、政府（“机会性目标”） |
| 动机 | 经济利益 |
| 标志 | 蜈蚣（Centipede） |
2.2 组织演化时间线
2.3 关联团伙
| 代号 | 说明 |
|---|---|
| Vice Society / DEV-0832 | 前身/关联组织，TTPs 高度一致，2023年5月后活动减少与 Rhysida 出现时间吻合 |
| Vanilla Tempest | Microsoft 对 Vice Society/Rhysida 关联集群的追踪名称 |
| TAC5279 | Sophos 对同一攻击者行为集群的追踪编号 |
| Interlock | 2024年9月出现的勒索组织，Cisco Talos 评估可能从 Rhysida 运营者/开发者分裂 |
| TAG-124 / Landupdate808 / KongTuke | IBM X-Force 发现的与 Interlock 关联的活动集群 |
2.4 附属成员体系
| 指标 | 数据 |
|---|---|
| 分成比例 | 利润分成模式（RaaS），具体比例未公开 |
| 沟通渠道 | 泄露网站谈判、比特币支付 |
| 准入门槛 | 通过 IAB（初始访问经纪人）获取访问权限 |
| 专业分工 | 基础设施管理、恶意广告运营、CleanUpLoader 开发、谈判 |
三、归因分析
3.1 归属评估
| 字段 | 信息 | 置信度 |
|---|---|---|
| 语言归属 | 英语（泄露站）、俄语（推断） | 中 |
| 地理归属 | 独联体地区（CIS），可能位于俄罗斯 | 中 |
| Vice Society 关联 | TTPs 完全一致（PortStarter、SystemBC、temp_l0gs 目录、ZeroLogon、RDP+PsExec 组合） | 高 |
| Interlock 关联 | 2024.09 后疑似从 Rhysida 分裂，接管其泄露库存 | 中 |
| 基础设施 | 泄露站与 C2 频繁更换注册商规避 WHOIS | 低-中 |
3.2 归属置信度评估
综合评估：Rhysida 与 Vice Society（DEV-0832/Vanilla Tempest）同源为中高置信度；地理归属推断为独联体地区，置信度中等。Interlock 分裂关系提示：Rhysida 画像需同时映射到两个后继品牌。
四、防御建议
4.1 检测要点
- PortStarter / SystemBC：端口转发与代理隧道的异常出站
- temp_l0gs 目录：Rhysida 标志性的日志暂存路径
- ZeroLogon（CVE-2020-1472）滥用与 RDP+PsExec 横向组合
- Interlock 载荷特征（“Landupdate808/KongTuke” 关联活动）同步纳入规则库
4.2 缓解与响应
- 教育、医疗、政府等高受害行业：优先修补域控相关漏洞，限制 DCSync 与远程管理服务
- 驻留窗口（最短 8 天）内加强行为告警收敛，为响应争取时间
五、总结
Rhysida 是"团伙换牌"模式的教科书：Vice Society 以钓鱼和打印服务驻留著称，品牌化后的 Rhysida 继承同一 TTP 库并叠加双重勒索，2024 年底又疑似分裂出 Interlock 接管库存。对防御者而言，单一品牌封禁几乎没有减损攻击产能——真正有效的是把 PortStarter、SystemBC、temp_l0gs 这类跨品牌稳定的行为指纹写进检测体系，以指纹而非名称跟踪家族簇。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。