.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
Rhysida勒索軟件組織於今年5月首次被披露，自那時起，它就與幾起影響巨大的攻擊事件有關，其中包括對智利軍隊的攻擊。最近，該組織還與針對Prospect Medical Holdings的攻擊有關，影響了美國的17家醫院和166家診所。在這次攻擊之後，美國衛生與公眾服務部將Rhysida定義為對醫療保健行業的重大威脅。
在分析最近一起針對教育機構的Rhysida勒索軟件事件時，Check Point事件響應小組（CPRT）與Check Point Research（CPR）合作，觀察到了一套獨特的技術、戰術和工具（TTP）。在分析中，研究人員發現了它與另一個勒索軟件組織Vice Society的TTP有顯著相似之處。 Vice Society是自2021年以來最活躍、最具攻擊性的勒索軟件組織之一，主要針對教育和醫療保健行業。
例如，在2022 年期間，該組織襲擊了33 個教育機構，超過LockBit、BlackCat、BianLian 和Hive 等其它勒索軟件組織。自2021 年5 月開始活躍以來，Vice Society 與其它勒索軟件組織主要區別在於其不使用自己的勒索軟件變體，而是依賴於地下論壇上出售的HelloKitty 和Zeppelin 等預先存在的勒索程序二進製文件。微軟曾以DEV-0832 的名義追踪過該組織活動軌跡，發現在某些情況下，Vice Society 盡量避免部署勒索軟件直接勒索，而是利用竊取的數據進行勒索。
鑑於Vice Society與Rhysida之間存在聯繫，有必要找到這種聯繫的技術證據。分析顯示，這兩個組織在技術上層面存在相似性，以及Rhysida的出現和Vice Society的消失之間存在明顯關聯。此外，這兩個組織共同關注的目標都是教育和醫療保健行業。
據觀察，Vice Society部署了各種商用勒索軟件有效負載，所以Rhysida並不等同於Vice Society，但至少表明Vice Society運營商現在正在使用Rhysida勒索軟件。
戰術、技術和程序由於之前對Rhysida勒索軟件有效負載進行了徹底的分析，我們將重點關注導致其部署的TTP，特別是橫向移動、憑證訪問、防禦規避、指揮和控制以及影響。
根據我們掌握的證據，使用Rhysida勒索軟件的攻擊者的贖金時間(TTR)相對較低。從最初出現橫向移動的跡像到勒索軟件的廣泛部署，只有8天時間。
橫向活動攻擊者使用多種工具進行橫向活動，包括：
1.遠程桌面協議（Remote Desktop Protocol ）——在整個攻擊過程中，攻擊者啟動了RDP連接，並採取額外步驟故意刪除相關的日誌和註冊表項，以避免被檢測到，加強研究人員的分析工作。 RDP仍然是在環境中進行橫向移動的有效方法。
2.遠程PowerShell會話（WinRM）——當通過RDP遠程連接時，可以發現攻擊者正在啟動與環境中服務器的遠程PowerShell連接。這種情況發生在部署勒索軟件負載之前的幾天。
3.PsExec——勒索軟件有效負載本身是使用PsExec從環境中的服務器部署的。部署分兩個階段進行。
3.1 使用命令PsExec.exe -d \\VICTIM_MACHINE -u 'DOMAIN\ADMIN' -p 'Password' -s cmd /c COPY '\\path_to_ransomware\payload.exe' 'C:\windows\temp'複製惡意負載；
3.2 使用命令PsExec.exe -d \\VICTIM_MACHINE -u 'DOMAIN\ADMIN'' -p 'Password' -s cmd /c c:\windows\temp\payload.exe執行惡意負載。
憑據訪問最值得注意的是，攻擊者使用ntdsutil.exe來創建NTDS的備份。將其放入名為temp_l0gs的文件夾中。此路徑被攻擊者多次使用。除此之外，攻擊者還列舉了域管理員帳戶，並試圖使用其中一些帳戶登錄。
指揮與控制攻擊者利用了幾個後門和工具來實現持久性攻擊，包括：
1.SystemBC：在一個成功的PowerShell會話中，攻擊者執行一個SystemBC PowerShell植入，它通過安裝一個名為socks的註冊表運行項來在啟動時執行腳本以維護持久性。植入程序的域為5.255.103[.]7。此外，攻擊者設置了名為Windows Update的防火牆規則，以允許向另一台服務器5.226.141[.]196發送流量。
2.AnyDesk：通過遠程管理工具AnyDesk觀察到該攻擊者。
逃避檢測在整個活動過程中，攻擊者始終在其活動之後刪除日誌和取證工件。這包括：
1.刪除最近使用的文件和文件夾的歷史記錄；
2.刪除最近執行的程序列表；
3.刪除文件資源管理器中最近輸入的路徑的歷史記錄；
4.刪除PowerShell控制台歷史文件；
5.刪除當前用戶臨時文件夾中的所有文件和文件夾；
6.在RDP會話之後，攻擊者還通過以下方式刪除了RDP特定的日誌：
7.在Windows註冊表中的“HKCU:\Software\Microsoft\Terminal Server Client”下搜索所有子項，並刪除每個子項的“UsernameHint”值（如果存在）；
8.刪除用戶Documents文件夾中的Default.rdp；
影響在勒索軟件部署當天，攻擊者會利用AnyDesk提供的訪問權限，使用PsExec在環境中廣泛部署的勒索軟件有效負載：
1.刪除帳戶訪問權限（Account Access Removal）——攻擊者啟動了對域中數万個帳戶的密碼更改，以加強修復工作；
2.禁止系統恢復（Inhibit System Recovery）：在部署勒索軟件負載之前，攻擊者試圖部署具有多種功能的PowerShell腳本，包括：
2.1 將所有本地密碼更改為預定義密碼；
2.2阻止與數據庫系統、備份軟件、安全產品相關的業務；
2.3禁用Windows Defender並阻止其運行；
2.4使用wmic.exe和vssadmin.exe刪除卷影副本；
2.5將默認RDP端口更改為4000並為其創建防火牆規則；
2.6刪除所有Windows事件日誌和PowerShell歷史記錄。
3.數據加密：如上所述，攻擊者最終使用PsExec部署了Rhysida勒索軟件有效負載。
與Vice Society的關係在研究人員對Rhysida勒索軟件TTP和基礎設施的分析中，發現了與另一個臭名昭著的勒索軟件組織Vice Society的幾個相似之處，並且觀察到隨著時間的推移勒索軟件有效負載的變化。有人提出Vice Society和Rhysida之間可能存在聯繫。接下來，我們將提供支持這一說法的其他證據。
技術、工具和基礎設施上面描述的許多技術與之前由微軟和Intrinsec描述的Vice Society攻擊高度相關。其中一些可能對勒索軟件運營商來說很通用，但卻以非常具體的方式被利用，包括不常見的特定路徑：
1.使用NTDSUtil創建一個NTDS.dit備份到一個名為temp_l0gs的文件夾。據觀察，Vice Society也使用了同樣的路徑。
2.使用名為Windows Update的New-NetFirewallRule創建本地防火牆規則，以便於使用惡意軟件SystemBC進行流量中繼。 SystemBC是通過存儲在值socks下的註冊表Run項執行的。
3.在部署勒索軟件有效負載之前，啟動整個域的密碼更改過程；
4.對與Rhysida事件相關的基礎設施的分析發現了一組PortStarter樣本，其中一些之前被認為是Vice Society的。儘管PortStarter經常被描述為一種獨立的惡意軟件，但它的使用幾乎完全與Vice Society聯繫在一起。
受害者研究除了技術上的相似性之外，Rhysida的出現與Vice Society活動的顯著下降也存在相關性。根據Rhysida和Vice Society洩漏網站的信息，研究人員構建了一個時間線。
自從Rhysida第一次出現以來，Vice Society隻公布了兩名受害者。這些很可能是在早些時候進行的，直到6月份才被公開。自2023年6月21日起Vice Society的攻擊者就停止在他們的洩漏網站上發布信息。
Rhysida和Vice Society受害者隨時間的分佈
此外，研究人員還注意到，受這兩個組織影響的目標行業有相似之處，這兩個組織以教育和醫療保健行業為目標而聞名。在整個勒索軟件生態系統中，教育行業的受害者比例很高，這對這兩個組織來說都是獨一無二的：
Rhysida受害者在每個行業分佈情況
Vice Society受害者分佈情況
總結研究人員對Rhysida勒索軟件攻擊的分析揭示了該組織與臭名昭著的Vice Society之間的明確聯繫，但它也揭示了一個殘酷的事實，大量勒索軟件攻擊者的TTP基本保持不變。目前觀察到的大部分活動均已被任何勒索軟件組織用於部署任何勒索軟件有效負載。
上述分析表明，安全人員不僅要了解勒索軟件有效負載的操作，還要了解導致其部署的整個過程的重要性。