Genel Bakış
Rhysida Ransomware, Mayıs 2023'ten bu yana aktif olan ve özellikle sağlık, eğitim ve kamu sektörlerini hedefleyen gelişmiş bir fidye yazılımıdır. Bu örnekte tespit edilen v0.1 versiyonu; Tor ağı üzerinden çalışan bir C2 portalı, AES+RSA hibrit şifreleme, PDF formatında fidye notu ve masaüstü arka planını değiştirme gibi özellikler içermektedir.
⚠️ Bu analiz, açık kaynak istihbarat yöntemleriyle yürütülmüştür. C2 adresi aktif tehdit içerdiğinden asla ziyaret edilmemelidir.
Teknik Analiz
Kimlik Bilgileri (Binary İçinde Sabit Kodlu)
Tor Portalı: rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion
Gizli Anahtar: 6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1
Versiyon: Rhysida-0.1Fidye Notu İçeriği
"Our team has developed a unique key, specifically designed to restore your digital security. This key represents the first and most crucial step in recovering from this situation. To utilize this key, visit our secure portal: [onion adresi] with your secret key 6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1. It's vital to note that any attempts to decrypt the encrypted files independently could lead to permanent data loss."
Fidye notu hem TXT hem PDF formatında oluşturulmaktadır (__NOTE_NAME_PDF, __NOTE_PDF, __NOTE_TXT).
Şifreleme Mekanizması
- AES (CBC/ECB/XTS/LRW modları): Fichier içeriklerinin şifrelenmesi
- RSA: AES anahtarının şifrelenerek saklanması
- Rastgele anahtar üretimi:
CryptAcquireContextA+CryptGenRandom - Config yapısı:
cipher_key,cipher_key_length,cipher_key_crypted_length
Kurban Sistemi Manipülasyonu
- Masaüstü arka planı değiştirme:
rundll32.exe user32.dll,UpdatePerUserSystemParameters - PowerShell ile öz silme:
cmd.exe /c start powershell.exe -WindowStyle Hidden -Command Sleep -Milliseconds 500; Remove-Item -Force -Path "[exe yolu]" - Fichier sorgulama:
QUERY_FILESile hedef dosyaların listelenmesi
Teknik Propriétéler
| Propriété | Valeur |
|---|---|
| Architecture | PE32+ (x86-64) / MinGW-w64 GCC |
| Section Sayısı | 17 (çok sayıda idata/refptr bölümü) |
| Versiyon | Rhysida-0.1 |
| Protocole C2 | Tor (.onion) |
| Şifreleme | AES (çoklu mod) + RSA |
| Ransom Not Formatı | PDF + TXT |
IOC Özeti
- Tor C2:
rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion - Gizli Anahtar:
6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1 - SHA256:
67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779
Liste IOC (2 indicateurs)
# SHA256
67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779
# DOMAIN
rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion
| Type | Valeur | Note |
|---|---|---|
| sha256 | 67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779 | |
| domain | rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion |
Serveurs C2 (1 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion | domain | 80 | custom | inactive | — |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.