Rhysida狮子大开口，大英图书馆确认被勒索

Rhysida勒索组织首次被披露于2023年5月，该组织发现之初最为出名的是攻击智利军队并窃取大量内部数据来索要赎金，截止目前，在其博客网站上已经有60多个组织或机构成为受害者。

Rhysida使用双重勒索策略，加密文件并且窃取敏感数据，并且使用勒索即服务（RaaS）的运营模式。在加密受害者文件后附加.rhysida的后缀名，释放的勒索信文件也与其他勒索组织不同，其是名为“CriticalBreachDetected.pdf”的PDF格式文件，并在内容中将自己定位为“网络安全团队”。

安恒猎影实验室长期对全球勒索攻击态势和勒索组织进行跟踪和监测，我们对Rhysida勒索组织受害者进行统计分析发现，目前共有60多名受害者在其泄露网站上被公开披露，其中3家目前为数据待公开阶段，其余是已经公开/售卖部分数据或全部数据。

对受害者进行国家/地区统计，受害者分布目前主要在欧美和中东地区，其中受害者最多的国家为美国、英国和意大利，但Rhysida并不局限地区，全球范围都有可能是目标。

针对Rhysida攻击的行业进行统计，该组织目前主要针对教育、医疗保健、政府和公共机构，以及制造业相关行业进行攻击。在受害者中，教育领域占据1/3以上，但政府机构和医疗保健相关的受害者影响比较突出，例如在今年9月，美国医疗公司Prospect Medical Holdings 遭受Rhysida的网络攻击，影响了美国各地的17家医院和 166家诊所。

Rhysida勒索组织画像如下：

2023年11月20日，英国国家图书馆大英图书馆在受到网络攻击影响近一个月后，仍持续出现重大技术中断，该攻击已被证实涉及勒索软件。在 Rhysida 勒索软件团伙声称对此次攻击负责并寻求价值近 75 万美元的比特币作为泄露文件的赎金后，大英图书馆披露，勒索软件操作泄露的信息来自其内部 HR 文件。

2023年11月15日，FBI 和 CISA 发布了联合网络安全公告 (CSA)，警告 Rhysida 勒索软件攻击。该通报旨在传播有关与勒索软件团体相关的策略、技术和程序(TTP)以及危害指标(IOC)的信息。

2023年8月，美国医疗保健公司Prospect Medical Holdings (PMH)遭受Rhysida 勒索组织的攻击,声称窃取了 500,000 个社会安全号码、公司文件和患者记录.这次网络攻击导致医院关闭了 IT 网络以防止攻击蔓延，迫使医院重新使用纸质图表，影响了16 家医院以及由 166 个门诊诊所。此外在其网站上还显示攻击了欧美多地的医疗保健相关机构和组织。

我们对该组织以往勒索样本进行分析，Rhysida在入侵目标系统后，执行一系列脚本和工具用于横向移动、窃取和传输凭证和协助加密。部署的勒索软件使用RSA和ChaCha20组合的密码算法来加密文件，这种组合方式在没有对应密钥的情况下无法解密。勒索程序在配置时可以添加参数，-d用于添加加密路径，-sr在执行结束后自删除。

加密过程中会跳过一些指定扩展名的文件类型和文件夹，避免加密系统文件。

需要跳过的文件扩展名和文件名称：

避免加密的文件夹名称：

加密时，在加密文件末尾附加.rhysida的扩展名，并释放PDF格式的勒索信文件CriticalBreachDetected.pdf。

此外，该勒索加密成功后，更改桌面壁纸，但该功能视样本情况，有些并未触发。