Anubis RaaS-malware

En nyligt opdaget ransomware-stamme har givet anledning til betydelig bekymring i cybersikkerhedsmiljøet på grund af dens hidtil usete dobbelte funktion: kryptering af filer og permanent sletning af dem. Denne malware, der af eksperter beskrives som en 'sjælden dobbelttrussel', inkluderer en 'sletningstilstand', der gør datagendannelse umulig, selvom der betales en løsesum.

Mød Anubis: En hensynsløs ransomware-as-a-Service-operation

Ransomware-operationen, kendt som Anubis, opstod i december 2024 og har allerede kostet ofre på tværs af sundheds-, hotel- og restaurationsbranchen og byggebranchen i Australien, Canada, Peru og USA. De første stikprøver viste, at malwaren oprindeligt hed Sphinx, men udviklerne omdøbte den senere til det nuværende navn.

Det er vigtigt at bemærke, at denne Anubis-operation ikke er forbundet med Android-banktrojanen eller den Python-baserede bagdør, også kaldet Anubis, da sidstnævnte er knyttet til den økonomisk motiverede FIN7-gruppe (også kendt som GrayAlpha).

Fleksibelt affiliateprogram med høje udbetalinger

Anubis opererer under en Ransomware-as-a-Service (RaaS)-model, der tilbyder affilierede lukrative incitamenter. Programmet inkluderer:

• 80-20 fordeling for traditionelle løsepengebetalinger (tilknyttede selskaber beholder 80%)
• 60-40 fordeling for dataafpresningsordninger
• 50-50 fordeling for adgangsmonetisering (salg af uautoriseret adgang til systemer)

Disse fleksible overskudsdelingsordninger er designet til at tiltrække en bred vifte af trusselsaktører.

Sofistikeret angrebskæde: Fra phishing til filsletning

Anubis-angreb starter typisk med phishing-e-mails som det første indgangspunkt. Når et system er kompromitteret, gør angriberne følgende:

• Eskaler privilegier
• Udfør rekognoscering
• Slet skyggekopier af volumen for at forhindre gendannelse
• Krypter filer
• Slet eventuelt data, hvis det er konfigureret til det

Denne sekvens er designet til at sikre maksimal skade og psykologisk pres på ofrene.

WIPEMODE: Skruer op for varmen på ofrene

En fremtrædende funktion ved Anubis er parameteren /WIPEMODE, som muliggør permanent sletning af filindhold. Interessant nok bevarer malwaren filnavne og filtypenavne, men reducerer filstørrelserne til 0 KB, hvilket gør gendannelsesindsatsen nytteløs. Denne funktion øger presset på ofrene for at betale betydeligt, hvilket stemmer overens med taktikker, der anvendes af aggressive og velorganiserede ransomware-grupper.

Konklusion: Indsatsen har aldrig været højere

Med sin kombination af filkryptering og uoprettelig datasletning sætter Anubis en farlig ny præcedens inden for ransomware-udviklingen. Dens operationelle sofistikering, muligheder for monetisering og destruktive egenskaber gør den til en formidabel trussel, som organisationer ikke har råd til at ignorere. Årvågenhed, brugerbevidsthed og robuste forsvarsstrategier er vigtigere end nogensinde.