Qu'est-ce que le rançongiciel Rhysida ?

Rhysida est un groupe de ransomware as a service apparu en mai 2023. La CISA, le FBI et le MS-ISAC l'ont décrit dans l'avis conjoint AA23-319A du 15 novembre 2023, en notant qu'il attaquait de manière opportuniste l'éducation, la santé, l'industrie, l'informatique et les administrations, par double extorsion. Selon l'avis, ses auteurs entraient surtout par des services distants externes comme les VPN, souvent avec des identifiants volés là où l'authentification multifacteur n'était pas imposée, par du phishing et parfois en exploitant la vulnérabilité Zerologon des contrôleurs de domaine. Une fois à l'intérieur, ils utilisaient les outils d'administration intégrés et le bureau à distance pour se déplacer, le schéma living off the land observé chez beaucoup de groupes. Pour une petite entreprise, le message de l'avis est connu mais important : exiger la MFA sur chaque accès distant, corriger les contrôleurs de domaine, restreindre le bureau à distance et segmenter le réseau pour qu'un seul point d'appui n'expose pas tout.

← Les 25 questions sur Groupes et familles de rançongicielsTous les thèmes