Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Rhysida

Rhysida traf Kliniken, Schulen und Behörden – und rückte damit ins Visier von CISA und FBI.

Vorfall melden
Kurz erklärt

Rhysida ist eine seit 2023 aktive Ransomware-Gruppe, die überproportional Gesundheitswesen, Bildung und öffentliche Verwaltung angreift – mit personellen und taktischen Überschneidungen zur früheren Vice-Society-Gruppe. Einstieg meist über Phishing und gültige Zugangsdaten, gefolgt von Double Extortion.

Aktuelle Einordnung: Seit dem 18. Juni 2026 sind keine neuen Opfer auf der Leak-Site erschienen – rund sechs Wochen ohne Veröffentlichungen. Eine Strafverfolgungsmaßnahme oder Auflösung ist nicht bekannt; das CISA/FBI-Advisory bleibt gültig. Rhysida wird deshalb derzeit als geschwächt geführt. Gerade Kliniken, Schulen und Kommunen sollten die Schutzmaßnahmen unverändert aufrechterhalten.

Geschwächt

Modell

RaaS

Auch bekannt als

Rhysida Ransomware Group

Gegründet

Mai 2023

Entstanden aus

Möglicherweise Nachfolger von Vice Society

Herkunft

Unbekannt (Osteuropa vermutet), mögliche Verbindung zu Vice Society

Zielsektoren

Gesundheitswesen, Bildung, Behörden, Verteidigung

Zielregionen

USA, UK, DACH, Chile, Spanien

Typisches Lösegeld

100.000 – 3,5 Mio. USD; Auktion der Opferdaten

Opferzahl

273 gelistete Opfer seit Mai 2023, CISA/FBI-Advisory; letztes gelistetes Opfer am 18. Juni 2026 (Stand: 3. August 2026)

File Extensions

.rhysida

Ransom Note

CriticalBreachDetected.pdf

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Lurie Children's Hospital Chicago (Jan. 2024, 600.000 Patientenakten)
  • British Library (Okt. 2023, monatelanger Ausfall)
  • Chilenische Armee (2023)

Angriffstechniken (TTPs)

  • Initial Access: Phishing mit Anhängen; kompromittierte VPN-Zugänge (Credential-Stuffing/Dark-Web) als häufigster Einstieg; Brute Force gegen RDP/VPN.
    • SEO-Poisoning/Typosquatting (Fake Angry IP Scanner, PuTTY, Teams) liefert CleanUpLoader/SharpRhino; seit Apr. 2025 auch Gootloader
    • MITRE: T1566, T1078, T1110
  • Vorgehen: Double Extortion mit öffentlicher Daten-Auktion.

Technologie & Malware

Verschlüsselung: früh ChaCha20 (LibTomCrypt), aktuell AES-256-CTR + RSA-4096. Ein PRNG-Fehler erlaubte Anfang 2024 kurzzeitig einen kostenlosen Entschlüssler (KISA/Kookmin) – von Rhysida schnell gepatcht.

Endung: .rhysida.

Indicators of Compromise (IOCs)

  • File Extension: .rhysida
  • Ransom Note: CriticalBreachDetected.pdf
  • Loader/Tools: CleanUpLoader, SharpRhino, Gootloader, Cobalt Strike
  • Vorgänger: Vice Society (mutmaßlich)

Was Unternehmen jetzt prüfen sollten

  • Phishing-resistente MFA – auch für Fernzugriff und Verwaltungsportale
  • Monitoring auf verdächtige Admin-Tool-Nutzung
  • Segmentierung sensibler Daten (Patienten-/Schülerdaten)
  • Krisen- und Meldeprozesse (DSGVO 72h) vorbereitet

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center, Vulnerability Management und im Ernstfall forensische Aufarbeitung samt Behördenmeldungen.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →