rhysida

Rhysida は 2023 年 5 月に出現したランサムウェアで、RansomLook の記録では初出は 2023 年 6 月 9 日である [s1][s2][s6]。

CISA・FBI・MS-ISAC の共同勧告によれば、Rhysida は 2023 年 5 月以降、教育、医療、製造、情報技術、政府の各分野に対して主に使われてきた [s2]。Fortinet の公開報告では、ランサムウェアのツールとインフラを貸し出して利益を分配する RaaS 形態で動く事例が確認されており、身代金は運営側とアフィリエイトで分け合う [s2]。Picus も、ペイロードを他の攻撃者に貸し出す、または販売する RaaS モデルだと説明している [s6]。公開報告には、Vice Society (DEV-0832) の活動と Rhysida を展開する攻撃者の活動に類似点があるとの指摘もある [s2]。RansomLook は連絡手段として email を挙げ、ハンドルとして rhysidacrypting@onionmail[.]org と rhysida@onionmail[.]org を記録している [s1]。なお、一般論として、RaaS は運営側がランサムウェアやリークサイトなどの攻撃環境を実行者に提供し、見返りに身代金の一部を受け取る仕組みである [s3]。

初期侵入について、CISA は外部公開のリモートサービスの悪用を挙げている。とくに、多要素認証 (MFA) が既定で有効でない組織の VPN に、侵害された正規の認証情報でログインする例が多いという [s2]。2025 年 4 月の更新では、Gootloader マルウェアを初期侵入に使う場合もあると追記された [s2]。一方 Picus は、アフィリエイトが初期アクセスブローカー (IAB) から侵害済みの RDP・VPN アカウントを入手するほか、悪意あるリンクや添付ファイルを含むフィッシングメールも使い、Cobalt Strike ビーコンを展開すると説明している [s6]。

侵入後は、組み込みの管理ツールを使う living off the land の手法が目立つ。RDP による横展開、PowerShell の利用、ipconfig、whoami、nltest、net コマンドによる環境の列挙などである [s2]。使用が確認されたツールは、PsExec(横展開と遠隔実行で多用)、PuTTY(SSH 接続)、AnyDesk、PowerView、secretsdump、ntdsutil.exe(NTDS.dit の取得)、wevtutil.exe(イベントログ消去)、バックドアスクリプトの PortStarter などである [s2]。2025 年 4 月の更新では、AZCopy と StorageExplorer-windows-x64.exe によるクラウドストレージ経由の操作が最近の手法として追加された [s2]。ある調査では、C:\ 直下に「in」「out」というステージング用フォルダが作られ、ランサムウェアのバイナリ (conhost.exe)、バッチスクリプト (S_0.bat)、暗号化対象の拡張子リストを定義する 1.ps1 などが置かれていた [s2]。Picus によれば、永続化には「Rhsd」という名前のスケジュールタスクを使い、実行後は自身と痕跡を削除する [s6]。ボリュームシャドウコピーも全削除して復旧を妨げる [s6]。

暗号化は RSA と ChaCha20 を組み合わせたハイブリッド方式で、暗号化後のファイルには .rhysida の拡張子が付く [s6]。二重脅迫として、暗号化の前に被害者の機密データを C2 サーバへ送り出し、支払いに応じなければ公開すると脅す [s6]。

標的は「機会があれば狙う」型で、教育、医療、製造、情報技術、政府が中心である [s2]。Picus は、被害組織が中東、中南米、欧州にあり、出現以降に世界で約 50 組織が被害を受けたとしている [s6]。

動向としては、CISA の勧告が 2025 年 4 月 30 日に更新され、2024 年 12 月までの調査で確認されたアフィリエイトの新しい IOC が反映され、古い IOC と TTP が削除された [s2]。