Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Malware analysis del ransomware Rhysida. Un rebrand di una vecchia conoscenza underground?

Emanuele De Lucia : 28 Luglio 2023 08:05

Rhysida è un gruppo ransomware relativamente nuovo che opera come RaaS (Ransomware-as-a-Service). Il ransomware ha la particolarità di utilizzare LibTomCrypt, una libreria crittografica che consente agli aggressori di sfruttare metodi di crittografia robusti e uno sviluppo rapido. 

Rhysida sembra essere scritto in C++ e compilato tramite MinGW; i payload che ho trovato sono di dimensioni piuttosto ingombranti (± 1,20 MB) probabilmente a causa delle librerie collegate.

Come già riportato, infatti, questo ransomware include la libreria crittografica open source LibTomCrypt che è in grado di fornire supporto per l’implementazione di diverse funzioni crittografiche e, più in generale, di permettere al ransomware di operare attraverso metodi crittografici efficaci. È anche possibile che gli autori di Rhysida abbiano apprezzato il fatto che LibTomCrypt sia scritto in C e quindi possa essere facilmente integrato.

Schermata del Data Leak Site (DLS) di Rhysida

Dentro al ransomware Rhysida 

Vuoi diventare un Ethical Hacker?
Non perdere i nostri corsi e scrivi subito su WhatsApp al numero
375 593 1011  per richiedere informazioni dicendo che hai trovato il numero sulle pagine di Red Hot Cyber

Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Rhysida ransomware si presenta come un malware con una logica piuttosto semplice e in alcuni casi poco ottimizzata nel suo codice (in diversi casi alcuni costrutti vengono immediatamente ripetuti nel codice presentando le stesse condizioni logiche). 

Alla sua esecuzione, il ransomware inizializza diverse strutture e acquisisce informazioni sulla macchina su cui sta lavorando.

È interessante notare che la variante Rhysida in analisi sembra progettata per funzionare sulla base di due parametri potenzialmente specificati all’avvio: directory e is_self_remove

directory (-d) viene utilizzato per specificare la directory da crittografare (in alternativa, il ransomware crittograferà tutte le unità logiche dalla A alla Z) mentre is_self_remove (-sr) viene utilizzato per garantire che il ransomware si rimuova da solo al termine del processo di crittografia. 

Per eseguire correttamente questa azione, Rhysida si basa sul seguente comando di PowerShell

Il ransomware crittografa i file utilizzando Chacha20 e RSA 4096 per crittografare la chiave ChaCha20. 

Il costrutto in cui viene lanciato il processo crittografico potrebbe rappresentare una buona opportunità per scrivere una specifica regola di identificazione:

rule Rhysida_Ransomware_87234_98244 {
meta:
author = "Emanuele De Lucia"
hash1 = "250e81eeb4df4649ccb13e271ae3f80d44995b2f8ffca7a2c5e1c738546c2ab1"
hash2 = "a864282fea5a536510ae86c77ce46f7827687783628e4f2ceb5bf2c41b8cd3c6"
hash3 = "d5c2f87033a5baeeb1b5b681f2c4a156ff1c05ccd1bfdaf6eae019fc4d5320ee"
tlp = "white"
score = 80
strings:
$ = { 48 8B 40 [1] 0F B6 00 84 C0 75 [1] B9 [4] E8 [4] 48 89 85 [4] C7 85 [8] EB [1] 8B 95 [4] 48 8B 85 [4] 41 89 D0 48 8D 15 [4] 48 89 C1 E8 [4] 48 8B 85 [4] 48 89 C1 E8 [4] 83 85 [5] 83 BD [5] 7E [1] 48 8B 85 [4] 48 89 C1 E8 ?? ?? ?? ?? }
condition:
any of them
}

La funzione setBG() si occupa di modificare lo sfondo del sistema eseguendo una serie di comandi come riportato di seguito:

Infine, le seguenti sono le estensioni del tipo di file che il ransomware non crittografa:

.bat, .bin, .cab, .cmd, .com, .cur, .diagcab, .diagcfg, .diagpkg, .drv, .dll, .exe, .hlp, .hta, .ico, .lnk, .msi , .ocx, .ps1, .psm1 , .scr, .sys, .ini, .db, .url, .iso, .cab, .thumdb.

mentre di seguito sono riportate le cartelle che Rhysida esclude dalla cifratura:

  • \$Recycle.bin
  • \Documents and Settings
  • \PerfLogs
  • \Program Files
  • \Program Files (x86)
  • \ProgramData
  • \Recovery
  • \System Volume Information
  • \Boot e \Windows.

Una volta eseguita correttamente la crittografia, l’estensione dei file cambia in .rhysida .

Accesso iniziale

Rhysida rappresenta una minaccia relativamente nuova nel panorama dei ransomware e per questo motivo le informazioni sui suoi metodi di propagazione sono piuttosto limitate; tuttavia è possibile ipotizzare che, almeno in parte, gli affiliati di Rhysida si affidino a IAB (Initial Access Broker) da cui acquistare accessi RDP / VPN per poi recapitare il ransomware una volta raggiunto il domain controller interno. 

Altre tecniche potenzialmente utilizzate per distribuire il ransomware Rhysida includono attacchi di spraying password , phishing e compromissione diretta da parte di affiliati che utilizzano vulnerabilità note e l’installazione di malware di base.

Attribuzione e vittimologia

Rhysida sembra essere una tendenza totalmente nuova nel panorama delle minacce ransomware. 

Tuttavia, alcuni aspetti indicano la necessità del gruppo di sviluppare rapidamente il proprio ransomware (come l’utilizzo di LibTomCrypt) oltre alla soluzione di crittografia dei file che deve essere robusta by design. Tutto questo (e altri aspetti ancora in fase di analisi) suggeriscono che Rhysida potrebbe essere in realtà un rebrand di un cartello già noto e non un gruppo totalmente nuovo

Questa opzione è inoltre rafforzata dal fatto che il gruppo sembra essere focalizzato su settori specifici da prendere di mira, come quello accademico / educativo (che potrebbe essere molto vicino a un gruppo con tecniche già collaudate).

Conclusioni

In questo post ho analizzato una nuova variante di ransomware nota come Rhysida. È relativamente nuovo nel panorama delle minacce ransomware. 

Sebbene vi sia una tendenza pubblica a considerare Rhysida come una minaccia totalmente nuova, alcuni suoi aspetti (soprattutto nell’ecosistema che lo circonda) fanno pensare a un possibile rebranding in atto da parte di un gruppo già in attività. Rhysida sembra rivolgersi principalmente a entità accademiche/educative e l’analisi del suo codice suggerisce la necessità di un rapido sviluppo e di una soluzione sufficientemente robusta.

Indicatori di compromesso

CategoriaTipoValore
CARICO UTILESHA256d5c2f87033a5baeeb1b5b681f2c4a156ff1c05ccd1bfdaf6eae019fc4d5320ee
CARICO UTILESHA256a864282fea5a536510ae86c77ce46f7827687783628e4f2ceb5bf2c41b8cd3c6
CARICO UTILESHA256250e81eeb4df4649ccb13e271ae3f80d44995b2f8ffca7a2c5e1c738546c2ab1

Emanuele De Lucia
Laureato in Informatica (con master in Computer Security e un master alla Stanford University), ha lavorato come analista nel Security Operation Center (Se.OC o SOC) in una TELCO italiana e nel settore spaziale. Dirige un team internazionale di ricercatori focalizzato sulla Threat Intelligence, sul reverse engineering e la risposta agli incidenti.