El ransomware:
Rhysida ransomware es un nuevo tipo de ransomware que ha surgido recientemente y ha afectado a más de 200 víctimas corporativas.
A diferencia del ransomware típico, Rhysida ransomware deja una nota de rescate en forma de un archivo PDF llamado “CriticalBreachDetected.pdf” en cada directorio que atraviesa durante su operación.
Los autores de Rhysida ransomware utilizaron la biblioteca de código abierto LibTomCrypt para crear los módulos de cifrado en la carga útil.
El grupo de Rhysida ransomware se presenta como un “equipo de ciberseguridad” que está haciendo un favor a sus víctimas al atacar sus sistemas. Rhysida ransomware se dirige explícitamente al sistema operativo Windows y utiliza una combinación de algoritmos de cifrado RSA y otros. Las muestras analizadas de Rhysida ransomware indican que el grupo está en las primeras etapas del ciclo de desarrollo y que las cargas útiles carecen de muchas características comunes.
Infección:
Rhysida ransomware se despliega de varias maneras, incluyendo el despliegue a través de Cobalt Strike o un marco similar, y a través de campañas de phishing. Una vez que el ransomware cifra los archivos con Chacha20, los autores utilizan RSA-4096-OAEP para cifrar las claves Chacha20.
Mensaje:
Cifrado y exfiltración de datos:
No hay información disponible sobre si los archivos cifrados por Rhysidaransomware pueden ser descifrados.
El grupo de Rhysida ransomware se desvía de la norma al exigir que las víctimas hagan donaciones en lugar de rescates tradicionales.
Sin embargo, no hay información disponible sobre la cantidad específica de rescate exigida por el grupo de Rhysida ransomware.
No hay información disponible sobre si el grupo de Rhysida ransomwareroba información de sus víctimas.
Medidas preventivas:
Es crucial tener medidas adecuadas de ciberseguridad y antiransomware, para prevenir este tipo de ataques.
Referencias:
Scratching the Surface of Rhysida Ransomware – Secplicity – Security Simplified
Double Extortion Ransomware Groups Emerging As Pervasive Cybersecurity Threat (thecyberexpress.com)
Informe desarrollado por: Tecnovan Security Team
