Rhysida — новий вид програм-вимагачів, що самознищується

У травні минулого року з’явився новий різновид програм-вимагачів під назвою Rhysida, що швидко розвивається та супроводжується новим шкідливим програмним забезпеченням для викрадення інформації Lumar. Цей потужний дует використовується для націлювання на користувачів популярної бразильської платіжної системи PIX, про що інформує darkreading.com.

Дослідники повідомляють, що Rhysida працює за методом «програма-вимагач як послуга» (ransomware-as-a-service, RaaS), демонструючи дивовижну здатність до швидкої адаптації.

Унікальність Rhysida полягає в її механізмі самознищення та сумісності з версіями Microsoft, що передують Windows 10. Rhysida написана на C++, скомпільована за допомогою MinGW та спільних бібліотек і характеризується високим рівнем досконалості дизайну, як зазначено у висновках про групу. Дослідники зауважили, що хоча Rhysida є відносно новою програмою, вона зазнала труднощів із початковою конфігурацією свого цибулевого сервера, що свідчить про швидку криву навчання й адаптивність зловмисників.

Кампанія, спрямована на PIX, триває з грудня 2022 року, коли Rhysida та пов’язаний із нею викрадач даних Lumar, що функціонує за методом «шкідливе програмне забезпечення як послуга» (malware-as-a-service, MaaS), були розгорнуті для атаки користувачів цієї платіжної системи.

Згідно зі звітом, викрадач Lumar вперше з’явився в липні 2023 року. Це шкідливе програмне забезпечення здатне викрадати інформацію із сесій Telegram, паролі, файли cookie, дані автозаповнення, файли на робочому столі та навіть криптографічні гаманці.

Lumar вирізняється своєю ефективністю й компактним дизайном, який не впливає на функціональність. Це шкідливе програмне забезпечення використовує три окремі потоки для ефективного збирання даних. Крім того, командно-контрольний сервер (C2), розміщений на хостингу автором як MaaS, пропонує зручні для зловмисників функції, як-от статистика та журнали даних. Вони можуть легко завантажити останню версію Lumar і отримувати сповіщення про вхідні дані в Telegram.