Rhysida
Rhysida, 5 Haz 2023 tarihinden bu yana sızıntı sitesinde 338 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 338
- İlk ilan
- 5 Haz 2023
- Son ilan
- 4 Kas 2026
- MITRE ATT&CK tekniği
- 32
Rhysida, Mayıs 2023’te ortaya çıkan bir fidye yazılımı hizmeti (RAAS) grubudur. Grup, hedeflerin ağlarına sızmak ve yüklerini yerleştirmek için kimlik avı saldırıları ve Cobalt Strike aracılığıyla kendi adını taşıyan bir fidye yazılımı kullanmaktadır. Grup, fidye ödenmezse ele geçirilen verileri kamuya ifşa etmekle tehdit etmektedir ve Rhysida'nın henüz gelişiminin erken aşamalarında olduğu belirtilmelidir. Fidye yazılımı, etkilenen klasörlere PDF notları bırakarak kurbanlara grubun portalı üzerinden iletişime geçmelerini bildirir ve ödeme Bitcoin ile yapılır. Şifreleme işleminden sonra fidye yazılımı, şifrelenmiş dosyalara '.ryshida' uzantısını ekler.
Son 12 ayda 92 ilan verdi; en yoğun ay Ekim 2026 oldu (41 ilan).
En çok hedeflenen ülke Amerika Birleşik Devletleri: 143 ilan, toplamın %42 kadarı.
En çok hedeflenen sektör Eğitim: 62 ilan, toplamın %18 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
338 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 12 aşamaya yayılan 32 MITRE ATT&CK tekniği belgelendi.
- 1
Keşif
Saldırı öncesinde hedef kurum hakkında bilgi toplanır.
T1595Active ScanningT1598Phishing for Information - 2
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1583Acquire InfrastructureT1587Develop Capabilities - 3
İlk erişim
Kurum ağına ilk giriş yapılır.
T1548.002Abusing Elevation Control Mechanism: Bypass User Account ControlT1566Phishing - 4
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1059Command and Scripting InterpreterT1129Shared Modules - 5
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1547.001Registry Run Keys / Startup Folder - 6
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1055Process InjectionT1055.003Thread Execution HijackingT1547.001Registry Run Keys - 7
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1036MasqueradingT1055Process InjectionT1055.003Thread Execution HijackingT1497Virtualization/Sandbox EvasionT1564Hidden ArtifactsT1564.004NTFS File AttributesT1620Reflective DLL Injection - 8
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1010Application Window DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory DiscoveryT1497Virtualization/Sandbox EvasionT1518.001Security Software Discovery - 9
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from Local SystemT1119Automated Collection - 10
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1071Application Layer ProtocolT1071.001Web Protocols - 11
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1041Exfiltration Over C2 Channel - 12
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for Impact
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Rhysida kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1548.002 · Abusing Elevation Control Mechanism: Bypass User Account Control
- T1566 · Phishing
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.