Rhysida
El ransomware que debutó contra el Ejército de Chile y que después se llevó los datos de la Biblioteca Británica y del puerto de Seattle.
Quién es
Rhysida es un ransomware como servicio con doble extorsión, activo desde mayo de 2023 contra blancos de oportunidad, según el aviso AA23-319A de CISA y el FBI. CISA encuentra parecidos con Vice Society, y Sophos y Check Point vieron a operadores de Vice Society pasarse a Rhysida. Microsoft sigue como Vanilla Tempest al actor que lo despliega. No hay atribución a un país.
Cómo entra
Sobre todo con credenciales válidas robadas en accesos VPN, más fácil donde no hay doble factor. También con phishing y, según la actualización de 2025, a veces con el malware Gootloader.
Qué hace una vez dentro
Se mueve con escritorio remoto, PsExec, PowerShell y SSH, se queda con AnyDesk, saca credenciales del directorio activo y borra bitácoras. Roba la información, incluso con herramientas de Azure, y cifra con la extensión .rhysida. A quien no paga le publica o le vende los datos.
A quién ataca
Educación, salud, manufactura, tecnología y gobierno, sobre todo en Europa y Norteamérica. En América Latina se estrenó con el Ejército de Chile en mayo de 2023 y en agosto golpeó al PAMI de Argentina. En nuestra base tiene 2 víctimas publicadas en México.
En México
3 víctimas publicadas en su sitio de filtraciones entre el 26-mar-2024 y el 30-oct-2026, en 3 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Villanos relacionados
Fuentes
- CISA, FBI y MS-ISAC, aviso #StopRansomware: Rhysida (AA23-319A)
- Sophos, Vice Society y Rhysida
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
