Rhysida

Rhysida ist seit Mai 2023 aktiv und hat sich schnell als ernsthafte Bedrohung für das Gesundheitswesen, den Bildungssektor und Regierungseinrichtungen etabliert. Die Gruppe wird mit der ehemaligen Vice Society in Verbindung gebracht und nutzt eine Kombination aus Verschlüsselung und Datendiebstahl. Das FBI und CISA haben eine gemeinsame Warnung zu Rhysida veröffentlicht.

Fokus auf sensible Sektoren

Rhysida zielt gezielt auf Sektoren mit besonders sensiblen Daten: Krankenhäuser (British Library, chilenische Armee, Prospect Medical Holdings), Schulen, Universitäten und Regierungsbehörden. Diese Organisationen stehen unter besonderem Druck, schnell zu zahlen, da Menschenleben und öffentliche Dienste betroffen sind.

Angriffstechniken

Rhysida nutzt Phishing, kompromittierte VPN-Zugänge und die Ausnutzung von Zerologon (CVE-2020-1472) als Einstiegspunkte. Die laterale Bewegung erfolgt über RDP, PowerShell und PsExec. Die Ransomware verschlüsselt mit ChaCha20 und RSA-4096. Besonders ist die Auktionierung gestohlener Daten auf der Leak-Site — Daten werden an den Meistbietenden verkauft.

Vice Society-Verbindung

Sicherheitsforscher sehen starke Verbindungen zwischen Rhysida und der ehemaligen Vice Society-Gruppe, die ebenfalls auf Bildung und Gesundheitswesen spezialisiert war. Überlappungen bei TTPs (Tactics, Techniques and Procedures), Infrastruktur und Zielauswahl deuten auf eine Umbenennung oder personelle Kontinuität hin.