Un análisis más técnico sobre este ransomware se puede encontrar en el artículo Scratching the Surface of Rhysida Ransomware de Secplicity.

Las muestras analizadas del ransomware Rhysida indican que el grupo se encuentra en las primeras fases del ciclo de desarrollo. Sus cargas útiles carecen de muchas funciones básicas que son sinónimo de ransomware del actual (por ejemplo, eliminación de VSS). Sus funciones de sustitución de imágenes de fondo también parecen funcionar mal.

Las víctimas deben ponerse en contacto con los atacantes a través de su portal basado en TOR, utilizando el identificador único de Rhysida (proporcionado en las notas del rescate). Rhysida sólo acepta pagos en BTC (Bitcoin), proporcionando también información sobre la compra y uso de BTC en el portal de la víctima. Una vez que las víctimas introducen su identificador único en el portal de pago, el grupo les proporciona un formulario adicional para introducir la autenticación, los datos de contacto y otra información.