Rhysida 勒索病毒解密与数据恢复

Rhysida 于 2023 年 5 月被公开披露，实际活动可追溯至 2023 年初，以勒索软件即服务（RaaS）模式运营：核心团队提供加密器、谈判门户与暗网泄露站，附属成员负责入侵与投放，赎金分成。美国 CISA、FBI 与 MS-ISAC 于 2023 年 11 月发布 #StopRansomware 联合通告（AA23-319A），并在 2025 年 4 月更新其 IOC，说明该团伙持续更换基础设施。

从受害者构成看，Rhysida 是典型的「机会型」攻击者，不挑行业只挑弱点：教育、医疗、制造、信息技术与政府机构占比最高，约半数受害单位位于美国，欧洲占比逐年上升。其泄露站在 2025 年保持稳定的发布节奏并延续到 2026 年，属于仍在活跃的中量级家族。

公开研究普遍认为 Rhysida 与已经沉寂的 Vice Society 存在人员或资源延续关系（Sophos 对比了双方几乎一致的 TTP）；IBM X-Force 进一步指出 Rhysida 与 Interlock 在 Supper 后门、加壳器和流量分发系统上存在交集。对中国企业而言，Rhysida 的警示价值在于其入口非常「常规」——未启用多因素认证的 VPN 账号、暴露在公网的边界设备、可直连的虚拟化管理口，这些恰恰是国内制造业与医疗机构最常见的薄弱点。目前没有公开报告确认 Rhysida 对中国大陆企业发起定向攻击，但企业的海外子公司与跨境分支同样处在其打击面内。

后缀与文件名：被加密文件在原名后追加 .rhysida，例如 report.xlsx 变为 report.xlsx.rhysida，文件名主体不改写、不做随机化，这一点与 DragonForce、Makop 等改名家族明显不同。

勒索信：目录中出现 PDF 格式的 CriticalBreachDetected.pdf，内容为英文，自称「Rhysida 网络安全团队」，声称已「发现并利用」受害者网络漏洞，并给出一个受害者专属 code 与 Tor 门户地址。勒索信不提供邮箱，只能通过暗网门户登录谈判。

其他迹象：

• 桌面壁纸一般不改写，但部分样本会打印勒索信；
• 域内通常能看到通过 PsExec / GPO 批量投放加密器的痕迹；
• 加密前后可见 Cobalt Strike、SystemBC、PortStarter 等工具落地；
• 泄露站上出现公司名与「样本数据包」，说明数据已外传。

判定要点：.rhysida后缀 + CriticalBreachDetected.pdf 基本可确认家族；但公开解密器是否可用取决于具体构建版本，必须取实际样本分析，不能只凭后缀下结论。

Rhysida 的入侵路径以「合法凭据 + 边界设备」为主，技术门槛不高但命中率高：

• 未启用 MFA 的 VPN 账号：CISA 通告与 Sophos 分析均将其列为首要入口，凭据多来自撞库、信息窃取木马与暗网采购；
• 边界设备与公网应用漏洞：对 VPN 网关、远程访问与文件传输类设备的已知漏洞进行利用；
• 钓鱼邮件：投递加载器后接入 Cobalt Strike；
• 恶意广告与搜索引擎投毒（2025 年 10 月起）：伪造 Microsoft Teams 下载站（teams-install[.]top、teams-download[.]buzz 等），诱导下载带有效签名的 MSTeamsSetup.exe，先落地 Oyster / Broomstick 后门，再由此投放 Rhysida；微软已吊销 200 余张相关签名证书。此外 CISA 2025 年 4 月更新的通告补充了 Gootloader 作为初始访问手段、以及利用 AZCopy 与 Storage Explorer 向云存储外传数据；
• 横向移动：使用 Cobalt Strike、PsExec、远程桌面与域管理员凭据在域内扩散，常先拿下域控再统一投放；
• 权限提升与防御削弱：通过 ntdsutil / 凭据转储获取域账号哈希，关闭或卸载终端防护；
• 数据外传：在加密前用压缩与云同步/传输工具窃取文件，为双重勒索铺路。

值得注意的是，Rhysida 往往在入侵后停留数天至数周，先摸清备份系统与虚拟化平台，再在业务低谷期（周末、节假日夜间）集中投放，因此「周一早上大面积无法开机」是国内企业最常见的报案场景。

算法：加密器采用 ChaCha20 做文件内容加密，用 4096 位 RSA 公钥封装每个文件的对称密钥，密钥材料不落地明文，因此在密钥未泄露的情况下无法逆推。

间歇加密：Rhysida 只对每个文件的部分区块做加密（部分加密 / 间歇加密），以换取速度。这一点对大文件意义重大——数据库文件、虚拟磁盘、邮件库中仍可能保留大量未被覆盖的原始区块，为结构化修复留出空间；但可修复程度完全取决于具体加密步长与被破坏的关键结构位置，需实测判断。

破坏恢复能力：投放前后通常会删除卷影副本、清理事件日志、停止数据库与备份代理服务，并尝试破坏可直连的备份存储。

虚拟化：存在 Linux/ESXi 加密器，直接在 /vmfs/volumes 下加密 vmdk、vmx 等虚拟机文件；一台宿主被打穿即等于其上全部虚拟机停摆，这也是国内 ESXi 集群受害后损失被放大的主因。

双重勒索：先外传后加密，未付款则在暗网泄露站分批公开数据，并向受害者的客户、监管方施压。