Programari maliciós Anubis RaaS

Una soca de ransomware recentment descoberta ha generat importants preocupacions dins de la comunitat de ciberseguretat per la seva doble capacitat sense precedents: xifrar fitxers i esborrar-los permanentment. Descrit pels experts com una "doble amenaça rara", aquest programari maliciós inclou un "mode d'esborrat" que fa que la recuperació de dades sigui impossible, fins i tot si es paga un rescat.

Coneix Anubis: una operació de ransomware com a servei implacable

L'operació de ransomware, coneguda com Anubis, va sorgir el desembre de 2024 i ja ha causat víctimes en els sectors de la salut, l'hostaleria i la construcció a Austràlia, Canadà, Perú i els Estats Units. Les mostres inicials van revelar que el programari maliciós originalment es deia Sphinx, però els desenvolupadors posteriorment el van canviar de nom amb el nom actual.

És important destacar que aquesta operació Anubis no està connectada al troià bancari d'Android ni a la porta del darrere basada en Python també anomenada Anubis, ja que aquesta última està vinculada al grup FIN7 (també conegut com GrayAlpha), amb motivacions financeres.

Programa d’afiliació flexible amb pagaments elevats

Anubis opera sota un model de ransomware com a servei (RaaS), oferint als afiliats incentius lucratius. El programa inclou:

• Repartiment 80-20 per als pagaments de rescat tradicionals (els afiliats retenen el 80%)
• Divisió 60-40 per a esquemes d'extorsió de dades
• Repartiment 50-50 per a la monetització d'accés (venda d'accés no autoritzat a sistemes)

Aquests acords flexibles de repartiment de beneficis estan dissenyats per atraure una àmplia gamma d'actors amenaçadors.

Cadena d’atacs sofisticada: des del phishing fins a l’esborrat de fitxers

Els atacs d'Anubis solen començar amb correus electrònics de phishing com a punt d'entrada inicial. Un cop un sistema està compromès, els atacants:

• Escalar privilegis
• Realitzar reconeixements
• Suprimeix les còpies d'ombra de volum per evitar la recuperació
• Xifrar fitxers
• Opcionalment, esborra les dades si està configurat per fer-ho

Aquesta seqüència està dissenyada per garantir el màxim dany i pressió psicològica a les víctimes.

WIPEMODE: Pujant la pressió sobre les víctimes

Una característica destacada d'Anubis és el paràmetre /WIPEMODE, que permet l'eliminació permanent del contingut dels fitxers. Curiosament, el programari maliciós conserva els noms i les extensions dels fitxers, però redueix la mida dels fitxers a 0 KB, cosa que fa que els esforços de recuperació siguin inútils. Aquesta funcionalitat augmenta considerablement la pressió sobre les víctimes perquè paguin, cosa que s'alinea amb les tàctiques utilitzades per grups de ransomware agressius i ben organitzats.

Conclusió: Mai hi ha hagut tanta aposta

Amb la seva combinació de xifratge d'arxius i esborrat irreversible de dades, Anubis estableix un nou precedent perillós en l'evolució del ransomware. La seva sofisticació operativa, les opcions de monetització i les capacitats destructives el converteixen en una amenaça formidable que les organitzacions no es poden permetre ignorar. La vigilància, la consciència dels usuaris i les estratègies de defensa robustes són més crítiques que mai.