Czym jest ransomware Rhysida?

Rhysida to grupa typu ransomware as a service, która pojawiła się w maju 2023 roku. CISA, FBI i MS-ISAC opisały ją we wspólnym komunikacie AA23-319A z 15 listopada 2023 roku, zaznaczając, że atakowała oportunistycznie w edukacji, ochronie zdrowia, produkcji, IT i administracji, stosując podwójne wymuszenie. Według komunikatu sprawcy wchodzili głównie przez zewnętrzne usługi zdalne, takie jak VPN, często ze skradzionymi danymi logowania tam, gdzie nie wymuszono uwierzytelniania wieloskładnikowego, przez phishing, a w niektórych przypadkach wykorzystując podatność Zerologon w kontrolerach domeny. W środku używali wbudowanych narzędzi administracyjnych i pulpitu zdalnego, żeby się przemieszczać, czyli wzorca living off the land spotykanego w wielu grupach. Przesłanie komunikatu dla małej firmy jest znajome, ale ważne: wymagaj MFA na każdej ścieżce zdalnego dostępu, łataj kontrolery domeny, ograniczaj pulpit zdalny i segmentuj sieć tak, by jeden przyczółek nie odsłaniał wszystkiego.

← Wszystkie pytania (25): Grupy i rodziny ransomwareWszystkie tematy