Rhysida Ransomware v0.1: Tor C2, AES+RSA Hibrit Şifreleme ve PDF Fidye Notu

Genel Bakış

Rhysida Ransomware, Mayıs 2023'ten bu yana aktif olan ve özellikle sağlık, eğitim ve kamu sektörlerini hedefleyen gelişmiş bir fidye yazılımıdır. Bu örnekte tespit edilen v0.1 versiyonu; Tor ağı üzerinden çalışan bir C2 portalı, AES+RSA hibrit şifreleme, PDF formatında fidye notu ve masaüstü arka planını değiştirme gibi özellikler içermektedir.

⚠️ Bu analiz, açık kaynak istihbarat yöntemleriyle yürütülmüştür. C2 adresi aktif tehdit içerdiğinden asla ziyaret edilmemelidir.

Teknik Analiz

Kimlik Bilgileri (Binary İçinde Sabit Kodlu)

Tor Portalı: rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion
Gizli Anahtar: 6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1
Versiyon: Rhysida-0.1

Fidye Notu İçeriği

"Our team has developed a unique key, specifically designed to restore your digital security. This key represents the first and most crucial step in recovering from this situation. To utilize this key, visit our secure portal: [onion adresi] with your secret key 6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1. It's vital to note that any attempts to decrypt the encrypted files independently could lead to permanent data loss."

Fidye notu hem TXT hem PDF formatında oluşturulmaktadır (__NOTE_NAME_PDF, __NOTE_PDF, __NOTE_TXT).

Şifreleme Mekanizması

AES (CBC/ECB/XTS/LRW modları): ファイル içeriklerinin şifrelenmesi
RSA: AES anahtarının şifrelenerek saklanması
Rastgele anahtar üretimi: CryptAcquireContextA + CryptGenRandom
Config yapısı: cipher_key, cipher_key_length, cipher_key_crypted_length

Kurban Sistemi Manipülasyonu

Masaüstü arka planı değiştirme: rundll32.exe user32.dll,UpdatePerUserSystemParameters
PowerShell ile öz silme: cmd.exe /c start powershell.exe -WindowStyle Hidden -Command Sleep -Milliseconds 500; Remove-Item -Force -Path "[exe yolu]"
ファイル sorgulama: QUERY_FILES ile hedef dosyaların listelenmesi

Teknik 項目ler

項目	値
アーキテクチャ	PE32+ (x86-64) / MinGW-w64 GCC
Section Sayısı	17 (çok sayıda idata/refptr bölümü)
Versiyon	Rhysida-0.1
C2 プロトコル	Tor (.onion)
Şifreleme	AES (çoklu mod) + RSA
Ransom Not Formatı	PDF + TXT

IOC Özeti

Tor C2: rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion
Gizli Anahtar: 6F2PQ14O2POZ1JB5PSD65HUJP19Y9DU1
SHA256: 67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779

IOCリスト (2 件の指標)

IOC — Rhysida

# SHA256
67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779

# DOMAIN
rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion

タイプ	値	メモ
sha256	67a78b39e760e3460a135a7e486e33db2aa97ac455b13f6ef5d1a38c4ef2e779
domain	rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion

C2サーバー (このファミリーで1台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
rhysidafohrhyy2aszi7bm32tnjat5xri65fopcxkdfxhi4tidsg7cad.onion	domain	80	custom	inactive	—

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

ransomwarerhysidatoronionaesrsapdf-ransom-notewallpaperself-deletepowershellgccmingw