Vue d’ensemble
Rhysida est un groupe de rançongiciels en tant que service (RaaS) apparu en mai 2023. Le groupe utilise un rançongiciel éponyme, via des attaques d’hameçonnage et Cobalt Strike, pour pénétrer les réseaux des cibles et déployer ses charges utiles. Le groupe menace de diffuser publiquement les données exfiltrées si la rançon n’est pas payée ; Rhysida en est encore aux premiers stades de son développement. Le rançongiciel laisse des notes PDF dans les dossiers touchés, demandant aux victimes de contacter le groupe via son portail, et le paiement se fait en Bitcoin. Après le chiffrement, le rançongiciel ajoute l’extension « .rhysida » aux fichiers chiffrés.
Ce que disent les sources publiques
- Apparu en mai 2023, au moment où Vice Society se taisait. Check Point et d’autres jugent qu’il s’agit de Vice Society rebaptisé : même focalisation sur l’éducation, mêmes outils comme SystemBC, même exclusion de la Russie et de la CEI. Des commentaires en russe dans son code appuient une origine russophone.
Check Point Research · Wikipedia
Géographie : origine et cibles
Origine estimée: Russie. Jugée comme Vice Society rebaptisée ; commentaires en russe dans son code et même exclusion de la Russie et de la CEI. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
États-Unis d'Amérique130
Canada20
Allemagne12
Royaume-Uni10
Australie8
Italie8
Suisse6
Brésil5
Japon3
Argentine3
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Windows | NetLogon | CVE-2020-1472 | Microsoft | cisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1548.002 · Abusing Elevation Control Mechanism: Bypass User Account Control: Contournement de l’UAC pour obtenir l’accès.
- T1566 · Phishing: Hameçonnage pour l’accès initial.
Exécution (TA0002)
- T1059 · Command and Scripting Interpreter: Utilisation d’interpréteurs de commandes pour l’exécution.
- T1129 · Shared Modules: Utilisation de modules partagés.
Persistance (TA0003)
- T1547.001 · Registry Run Keys / Startup Folder: Persistance via les clés Run du registre.
Élévation de privilèges (TA0004)
- T1055 · Process Injection: Injection dans des processus pour élever les privilèges.
- T1055.003 · Thread Execution Hijacking: Détournement de l’exécution de threads.
- T1547.001 · Registry Run Keys: Utilisation des clés Run du registre.
Évasion des défenses (TA0005)
- T1027 · Obfuscated Files or Information: Obfuscation de fichiers et d’informations.
- T1036 · Masquerading: Camouflage de fichiers malveillants.
- T1055 · Process Injection: Injection de processus pour l’évasion.
- T1055.003 · Thread Execution Hijacking: Détournement de l’exécution de threads.
- T1497 · Virtualization/Sandbox Evasion: Évitement de la détection de virtualisation et de bac à sable.
- T1564 · Hidden Artifacts: Dissimulation d’artefacts.
- T1564.004 · NTFS File Attributes: Utilisation d’attributs de fichiers NTFS.
- T1620 · Reflective DLL Injection: Injection réflexive de DLL.
Découverte (TA0007)
- T1010 · Application Window Discovery: Découverte des fenêtres d’application.
- T1057 · Process Discovery: Découverte des processus en cours.
- T1082 · System Information Discovery: Découverte des informations système.
- T1083 · File and Directory Discovery: Découverte de fichiers et de répertoires.
- T1497 · Virtualization/Sandbox Evasion: Détection de la virtualisation et du bac à sable.
- T1518.001 · Security Software Discovery: Découverte des logiciels de sécurité.
Collecte (TA0009)
- T1005 · Data from Local System: Collecte de données depuis le système local.
- T1119 · Automated Collection: Collecte automatisée de données.
Exfiltration (TA0010)
- T1041 · Exfiltration Over C2 Channel: Exfiltration de données via le canal de commande et contrôle.
Commande et contrôle (TA0011)
- T1071 · Application Layer Protocol: Utilisation de protocoles de la couche application.
- T1071.001 · Web Protocols: Utilisation de protocoles web pour la commande et le contrôle.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Chiffrement de données pour provoquer un impact.
Développement de ressources (TA0042)
- T1583 · Acquire Infrastructure: Acquisition d’infrastructure pour les opérations.
- T1587 · Develop Capabilities: Développement de capacités de logiciels malveillants.
Reconnaissance (TA0043)
- T1595 · Active Scanning: Analyse de cibles vulnérables.
- T1598 · Phishing for Information: Collecte d’informations par hameçonnage.
Outils
- PowerView
- WinSCP
- NTDS Utility (ntdsutil)
- PsExec
- WMIC
- Windows Event Utility (wevtutil)
- Impacket
- AnyDesk
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| — | DLS | rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad[.]onion | Oui |
| Rhysida | DLS | rhysidafc6lm7qa2mkiukbezh7zuth3i4wof4mh2audkymscjm6yegad[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11