Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Rhysida
Rhysida es un grupo de ransomware como servicio (RaaS) que surgió en mayo de 2023. Conocido por sus tácticas de "doble extorsión", el grupo cifra archivos y amenaza con divulgar los datos robados si no se paga el rescate. Operando bajo la apariencia de un “equipo de ciberseguridad”, Rhysida ataca principalmente industrias como la salud, la educación y el gobierno.
Rhysida es un grupo de ransomware como servicio que usa tácticas de doble extorsión para atacar industrias como la salud, la educación y el gobierno mediante el cifrado de archivos y la filtración de datos.
Perfil del actor de amenazas
Rhysida
País de origen
Los orígenes exactos de Rhysida siguen siendo desconocidos; sin embargo, algunas pruebas sugieren un vínculo con actores de amenazas de habla rusa o la región de la CEI. La infraestructura y las tácticas del grupo son coherentes con regiones conocidas por actividad cibercriminal avanzada.
Miembros
Hay información pública limitada sobre los miembros específicos de Rhysida. El grupo probablemente opera con un modelo en red típico de los sindicatos RaaS, aprovechando afiliados para expandir sus operaciones.
Liderazgo
Los detalles específicos sobre la estructura de liderazgo de Rhysida siguen sin divulgarse. Sus operaciones sugieren un sistema centralizado, pero no se ha vinculado definitivamente a ninguna persona o alias identificable con el grupo.
TTPs de Rhysida
tácticas
El objetivo principal de Rhysida es la extorsión financiera mediante el despliegue de ransomware. Al cifrar datos y amenazar con exponerlos públicamente, obligan a las víctimas a pagar demandas de rescate, a menudo en Bitcoin.
técnicas
El grupo usa campañas de phishing y credenciales comprometidas para obtener acceso inicial. Herramientas como Cobalt Strike y PsExec facilitan el movimiento lateral, mientras que la exfiltración ocurre mediante cargadores personalizados como CleanUpLoader. Se apoyan en técnicas de evasión avanzadas, incluyendo SEO poisoning y dominios con typosquatting.
Procedimientos
Los métodos específicos incluyen el despliegue de scripts basados en PowerShell para deshabilitar las protecciones antivirus, el cifrado de archivos agregando la extensión .rhysida, y la entrega de notas de rescate (por ejemplo, “CriticalBreachDetected.pdf”) que indican a las víctimas usar portales basados en Tor para negociar.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Estos son algunos ejemplos notables de Rhysida.
2023 – El ataque a la British Library interrumpió operaciones y expuso datos críticos.
Julio de 2024 – La brecha en la ciudad de Columbus, Ohio, marcó uno de sus ataques más costosos.
2025 – Se atacaron múltiples proveedores de salud, donde se filtró en línea información confidencial de pacientes.
Aplicación de la ley y arrestos
Hasta el momento, no se han vinculado públicamente arrestos a Rhysida. Las operaciones policiales dirigidas a grupos RaaS similares destacan un esfuerzo global creciente por interrumpir las operaciones de los actores de amenazas.
Cómo defenderse de Rhysida
1
Prevención del acceso inicial
Implementa filtrado de correo electrónico y capacitación en defensa contra phishing.
Aprovecha la autenticación multifactor (MFA) en todos los puntos de acceso.
2
Detección de TTP
Monitorea comportamientos inusuales como balizas de Cobalt Strike y grandes exfiltraciones de datos.
Usa servicios de inteligencia de amenazas para detectar dominios con typosquatting.
3
Respaldo y recuperación
Mantén copias de seguridad inmutables y prueba su restauración con regularidad.
Los servicios de Huntress pueden identificar indicadores tempranos de compromiso, garantizar un registro forense detallado y fortalecer las defensas de endpoints de una organización frente a tácticas sofisticadas de los atacantes.
Referencias
