Предупреждение об атаке: rhysida нацелен на United Keetoowah Band of Cherokee Indians in Oklahoma - US

Introduction

12 декабря 2025 года группа вымогателей Rhysida взяла на себя ответственность за кибератаку на Объединенное племя чероки Китува в Оклахоме, американское племенное правительство, управляющее конфиденциальными данными коренных американцев. Эта атака, классифицированная как уровень SIGNAL согласно методологии XC-Classify, затронула правительственную организацию, основанную в 1950 году, с численностью сотрудников от 100 до 250 человек, которая отвечает за критически важные услуги, включая здравоохранение, социальные услуги и финансы племен. Инцидент, подтвержденный в блокчейне Polygon с помощью протокола XC-Audit, демонстрирует растущую уязвимость племенных правительств перед киберугрозами, направленными на кражу личных данных и медицинской информации.

Эта атака произошла в то время, когда американские племенные правительства становятся основными целями для киберпреступников из-за ограниченных ресурсов в области кибербезопасности и огромного объема хранимых ими персональных данных. Федерально признанное объединенное племя Китува, базирующееся в Оклахоме, управляет жизненно важными программами для своего сообщества, поэтому любые перебои в предоставлении услуг особенно критичны для коренного населения, зависящего от этой инфраструктуры.

Analyse détaillée

Появление этого заявления на сайте утечки информации в Рисиде в декабре 2025 года подтверждает обычный способ действий группы: первоначальный взлом, утечка конфиденциальных данных, а затем публикация на их платформе двойного вымогательства. Целевые данные, вероятно, включают медицинские записи, статистику рождаемости и смертности, финансовые данные и административные документы племени, что создает серьезный риск кражи личных данных для пострадавших граждан.

Эта кибератака на инфраструктуру племенного правительства поднимает важные вопросы о защите коренного населения от цифровых угроз. Племенные правительства, часто недофинансируемые по сравнению с федеральными или государственными администрациями, представляют собой уязвимые цели для злоумышленников, стремящихся максимизировать свою прибыль, минимизируя при этом риск обнаружения.

Rhysida: Методы работы, история и жертвы группы вымогателей

С момента своего появления в мае 2023 года группа Rhysida зарекомендовала себя как крупный игрок на рынке программ-вымогателей. Эта киберпреступная группировка использует особенно агрессивную модель двойного вымогательства: шифрование компьютерных систем в сочетании с утечкой и последующей постепенной публикацией украденных данных для максимального давления на жертв. Группа отличается скоростью действий и способностью скомпрометировать критически важную инфраструктуру всего за несколько часов.

Метод работы Rhysida основан на использовании уязвимостей в системах удаленного доступа, в частности, через плохо защищенные протоколы удаленного рабочего стола (RDP) и устаревшие VPN. После получения первоначального доступа злоумышленники используют инструменты разведки для составления карты сети, повышают свои привилегии, используя известные уязвимости, а затем похищают данные, прежде чем запустить общее шифрование. Эта систематическая методология позволяет им с поразительной эффективностью компрометировать организации любого размера.

Среди известных жертв Rhysida — американские медицинские учреждения, европейские образовательные институты и несколько местных органов власти. В августе 2023 года группа взломала Prospect Medical Holdings, раскрыв данные сотен тысяч пациентов. Их излюбленной целью остаются организации государственного и полугосударственного секторов, которые считаются более технически уязвимыми и обладают бюджетами для выплаты крупных выкупов.

Группа использует сайт утечек, доступный через сеть Tor, где они постепенно публикуют похищенные данные, создавая временное давление на жертв. Каждая публикация сопровождается обратным отсчетом и аукционной ценой за данные, превращая вымогательство в настоящую незаконную торговлю. Такой подход «аукциона данных» отличает Rhysida от других групп, использующих программы-вымогатели, и привлекает внимание потенциальных злоумышленников, многократно увеличивая риски для жертв.

Хотя некоторые признаки указывают на связь с экосистемой Vice Society, Rhysida действует независимо и постоянно совершенствует свою тактику. Группа, по всей видимости, не следует традиционной модели «программа-вымогатель как услуга» (RaaS), предпочитая сохранять прямой контроль над своими операциями. Такая централизованная структура обеспечивает операционную согласованность, но также ограничивает масштабируемость по сравнению с крупными франшизами программ-вымогателей.

Объединенная группа индейцев чероки Китува в Оклахоме: Профиль организации племенного управления

Объединенная группа индейцев чероки Китува в Оклахоме (UKB) — одно из трех федерально признанных племен чероки в Соединенных Штатах. Официально созданное в 1950 году после федерального признания, это племенное объединение предоставляет своим гражданам комплексные государственные услуги, включая здравоохранение, образование, жилье, социальные услуги и финансовое управление. Имея штат от 100 до 250 сотрудников, UKB функционирует как по-настоящему автономная государственная администрация в рамках федеральной системы США.

Организация, базирующаяся в Оклахоме, управляет важнейшими программами, частично финансируемыми федеральным правительством США, а частично за счет собственных доходов племен. Эти программы включают в себя общественные медицинские клиники, социальные услуги, образовательные и культурные программы, а также управление племенными землями. Конфиденциальный характер этой деятельности связан со сбором и хранением значительных объемов персональных данных: электронных медицинских карт, информации о регистрации в племенах, финансовых данных получателей социальных программ и конфиденциальных административных документов.

→ Понимание специфических рисков государственного сектора помогает понять особую уязвимость племенных администраций перед лицом современных киберугроз.

Уникальное положение UKB в административной системе США создает специфические проблемы кибербезопасности. В отличие от федеральных агентств, которые располагают значительными ИТ-бюджетами и специализированными группами по кибербезопасности, племенные правительства часто работают с ограниченными ресурсами, выполняя при этом сопоставимые обязанности. Эта бюджетная асимметрия приводит к устаревшей технологической инфраструктуре, неадекватным системам резервного копирования и ограниченной подготовке персонала по передовым методам кибербезопасности.

Важность UKB для своего сообщества значительно усиливает потенциальные последствия этой компрометации. Граждане племен напрямую зависят от этих услуг в вопросах своего здоровья, средств к существованию и благополучия семей. Любое длительное нарушение работы компьютерных систем может заблокировать доступ к медицинской помощи, задержать выплаты пособий и нарушить работу основных служб. Эта критическая зависимость делает племенные правительства особенно привлекательными целями для киберпреступников, занимающихся вымогательством, зная, что давление с целью быстрого восстановления услуг будет огромным.

Компрометация UKB является частью тревожной тенденции, направленной именно против американских племенных наций. Эти организации сочетают в себе несколько факторов уязвимости: ограниченные ресурсы кибербезопасности, крайне конфиденциальные данные, критическая зависимость от сообщества и достаточные финансовые возможности для выплаты выкупа. Это сочетание факторов объясняет, почему злоумышленники усиливают свои атаки против этого конкретного сегмента государственного сектора.

Технический анализ: Уровень уязвимости и связанные с ним риски

Классификация SIGNAL, присвоенная методологией XC-Classify, указывает на подтвержденную утечку конфиденциальных данных без точных сведений об объеме или характере скомпрометированной информации. Этот уровень указывает на то, что Rhysida действительно похитила данные из инфраструктуры UKB и опубликовала их на своей платформе для утечек, но без немедленной массовой публикации всего набора данных. Такой поэтапный подход является частью их стратегии вымогательства: публикация достаточной информации для доказательства взлома, при этом большая часть данных сохраняется в качестве рычага давления.

Conclusion

Согласно нашему анализу данных, проверенных в блокчейне Polygon, инцидент был обнаружен и заявлен 12 декабря 2025 года. Точные сроки первоначального взлома остаются неустановленными, но типичный способ действий Rhysida предполагает период вторжения от нескольких дней до нескольких недель до публичного заявления. Этот период позволяет злоумышленникам закрепиться в сети, идентифицировать критически важные системы, постепенно похищать конфиденциальные данные и подготовить развертывание программы-вымогателя.