【訳】
リシダ・ランサムウェア：活動分析と悪徳社会とのつながり
【図表】
図1-RhysidaとVice Societyの被害者の経時的分布
図2 - 業種別のRhysida被害者の分布
図3 - 業種ごとのVice Society被害者の分布
出典: https://research.checkpoint.com/2023/the-rhysida-ransomware-activity-analysis-and-ties-to-vice-society/
【要約】
Rhysidaランサムウェアは、チリ軍などへの攻撃と関連があり、Prospect Medical Holdingsへの攻撃も報告された。RhysidaとVice Societyの関連性が示唆され、技術的類似性と被害者の共通性が見られる。横方向の移動にはRDPやPowerShellセッションが使用され、クレデンシャルアクセスはntdsutil.exeを利用。検出を避けるためにログとフォレンジック成果物が削除された。Vice Societyとの関連性も明らかにされ、システムBCやAnyDeskなどのツールを使った攻撃が行われた。防御回避策としてファイル削除やログ削除も行われ、被害者は主に教育と医療業界で共通している。RhysidaとVice Societyの被害者数や時期にも相関が見られ、活動パターンが類似している。ランサムウェアのペイロードの展開方法や被害の拡大過程も明らかにされ、注意深いツール監視が重要である。
【ニュース】
◆THE RHYSIDA RANSOMWARE: ACTIVITY ANALYSIS AND TIES TO VICE SOCIETY (Check Point, 2023/08/08)
[リシダ・ランサムウェア：活動分析と悪徳社会とのつながり]
https://research.checkpoint.com/2023/the-rhysida-ransomware-activity-analysis-and-ties-to-vice-society/
