攻击警报：rhysida 瞄准 United Keetoowah Band of Cherokee Indians in Oklahoma - US

Introduction

2025年12月12日，Rhysida勒索软件组织声称对俄克拉荷马州切罗基印第安人联合基图瓦部落（United Keetoowah Band of Cherokee Indians）的网络攻击负责。该部落是美国的一个部落政府机构，负责管理属于美国原住民公民的敏感数据。根据XC-Classify方法论，此次攻击被评为“信号级”（SIGNAL），暴露了一个拥有100至250名员工、成立于1950年的政府机构，该机构负责包括医疗、社会服务和部落财政在内的关键服务。此次事件已通过XC-Audit协议在Polygon区块链上得到认证，凸显了部落政府在身份和医疗信息网络威胁面前日益脆弱的现状。

此次攻击发生之际，由于网络安全资源有限且掌握大量个人数据，美国部落政府正成为网络犯罪分子的主要目标。位于俄克拉荷马州的联邦认可的基图瓦联合部落（United Keetoowah Band）负责管理其社区的重要项目，因此任何服务中断对依赖这些基础设施的原住民群体而言都至关重要。

Analyse détaillée

2025年12月，Rhysida泄露网站上出现这一声明，证实了该组织惯用的作案手法：首先入侵系统，窃取敏感数据，然后将其发布到其双重勒索平台上。被攻击的数据可能包括医疗记录、人口统计数据、财务数据和部落行政文件，这将给受影响的公民带来严重的身份盗窃风险。

此次针对部落政府基础设施的网络攻击引发了关于如何保护原住民免受数字威胁的关键问题。与联邦或州政府相比，部落政府的资金往往不足，因此更容易成为恶意行为者的目标，这些行为者试图在最大限度提高利润的同时，尽可能降低被发现的风险。

Rhysida：作案手法、历史及受害者

自 2023 年 5 月出现以来，Rhysida 已成为勒索软件领域的重要角色。这个网络犯罪团伙采用一种极具侵略性的双重勒索模式：先对计算机系统进行加密，然后窃取并逐步释放被盗数据，从而最大限度地向受害者施压。该团伙的显著特点是行动迅速，能够在短短几小时内攻破关键基础设施。

Rhysida 的作案手法依赖于利用远程访问系统中的漏洞，特别是安全性低下的远程桌面协议 (RDP) 和过时的 VPN。一旦获得初始访问权限，攻击者就会部署侦察工具来绘制网络拓扑图，利用已知的漏洞提升权限，然后在触发全面加密之前窃取数据。这种系统化的方法使他们能够以惊人的效率攻破各种规模的组织。

Rhysida 的受害者包括美国医疗机构、欧洲教育机构和多个地方政府。2023 年 8 月，该组织入侵了 Prospect Medical Holdings 公司，导致数十万患者的数据泄露。他们仍然优先攻击公共和准公共部门机构，因为这些机构被认为技术上更容易受到攻击，同时又拥有足够的预算支付巨额赎金。

该组织使用一个可通过 Tor 网络访问的泄露网站，逐步发布窃取的数据，给受害者施加时间压力。每次发布都会附带倒计时和数据拍卖价格，将勒索行为转化为真正的非法交易。这种“数据拍卖”模式使 Rhysida 与其他勒索软件组织区别开来，并吸引了潜在恶意买家的注意，从而加剧了受害者的风险。

尽管一些线索表明 Rhysida 与 Vice Society 生态系统存在关联，但它独立运作，并不断改进其攻击策略。该组织似乎并未采用传统的勒索软件即服务 (RaaS) 模式，而是倾向于直接控制其运营。这种集中式结构虽然保证了运营的一致性，但也限制了其与大型勒索软件公司相比的可扩展性。

俄克拉荷马州切罗基印第安人联合基图瓦部落：部落政府组织概况

俄克拉荷马州切罗基印第安人联合基图瓦部落 (UKB) 是美国三个获得联邦政府认可的切罗基部落之一。该部落于 1950 年获得联邦政府认可后正式成立，为其成员提供全面的政府服务，包括公共卫生、教育、住房、社会服务和财务管理。UKB 拥有 100 至 250 名员工，在美国联邦体系内作为一个真正独立的公共行政机构运作。

该组织总部位于俄克拉荷马州，负责管理一些关键项目，这些项目的资金一部分来自美国联邦政府，一部分来自其自身的部落收入。这些项目包括社区卫生诊所、社会福利服务、教育和文化项目以及部落土地管理。这些活动的敏感性在于需要收集和存储大量个人数据，例如电子病历、部落登记信息、社会项目受益人的财务数据以及机密行政文件。

→ 了解政府部门的特殊风险有助于理解部落行政部门在应对当代网络威胁时所面临的特殊脆弱性。

UKB 在美国行政体系中的独特地位带来了特殊的网络安全挑战。与拥有充足 IT 预算和专门网络安全团队的联邦机构不同，部落政府往往在资源有限的情况下承担着类似的责任。这种预算上的不对称导致其技术基础设施有时陈旧、备份系统不足，以及员工在网络安全最佳实践方面的培训有限。

UKB 对其社区的重要性显著放大了这种安全漏洞的潜在影响。部落居民的健康、生计和家庭福祉直接依赖于这些服务。任何计算机系统的长期中断都可能导致医疗服务中断、福利金发放延迟以及基本公共服务的瘫痪。这种关键的依赖性使得部落政府成为网络犯罪分子勒索的目标，因为他们深知部落政府面临着巨大的恢复服务的压力。

UKB 系统遭到入侵是针对美国部落国家的一种令人不安的趋势的一部分。这些组织具备多种脆弱性因素：网络安全资源有限、数据高度敏感、社区对这些服务的依赖性极强，以及支付赎金的财力。正是这些因素的汇聚解释了为什么恶意行为者正在加大对政府部门这一特定领域的攻击力度。

技术分析：风险等级及相关风险

根据 XC-Classify 方法论，SIGNAL 分类表明已确认敏感数据遭到泄露，但无法提供关于泄露信息的数量或具体性质的精确信息。这一层级表明，Rhysida 确实从 UKB 基础设施中窃取了数据，并将其发布在其泄露平台上，但并未立即大规模发布整个数据集。这种分阶段的方式是其勒索策略的一部分：发布足够的信息来证明入侵成功，同时保留大部分数据作为筹码。

Conclusion

根据我们对 Polygon 区块链上验证数据的分析，该事件于 2025 年 12 月 12 日被发现并公开。初始入侵的确切时间线尚无法确定，但 Rhysida 的典型作案手法表明，入侵窗口期可能在公开声明前几天到几周内。这段时间允许攻击者在网络上建立持久性，识别关键系统，逐步窃取敏感数据，并准备部署勒索软件。