Malware Anubis RaaS

Un ceppo di ransomware scoperto di recente ha sollevato notevoli preoccupazioni nella comunità della sicurezza informatica per la sua doppia capacità senza precedenti: crittografare i file e cancellarli definitivamente. Descritto dagli esperti come una "rara doppia minaccia", questo malware include una "modalità di cancellazione" che rende impossibile il recupero dei dati, anche pagando un riscatto.

Scopri Anubis: un’operazione spietata di Ransomware-as-a-Service

L'operazione ransomware, nota come Anubis, è emersa nel dicembre 2024 e ha già mietuto vittime nei settori sanitario, alberghiero ed edile in Australia, Canada, Perù e Stati Uniti. I campioni iniziali hanno rivelato che il malware era originariamente denominato Sphinx, ma gli sviluppatori lo hanno successivamente rinominato con il nome attuale.

È importante sottolineare che questa operazione Anubis non è collegata al trojan bancario Android né alla backdoor basata su Python, anch'essa denominata Anubis; quest'ultima è collegata al gruppo FIN7 (noto anche come GrayAlpha), mosso da interessi finanziari.

Programma di affiliazione flessibile con pagamenti elevati

Anubis opera secondo un modello Ransomware-as-a-Service (RaaS), offrendo incentivi redditizi agli affiliati. Il programma include:

• Ripartizione 80-20 per i pagamenti di riscatto tradizionali (gli affiliati trattengono l'80%)
• Divisione 60-40 per schemi di estorsione dei dati
• Ripartizione 50-50 per la monetizzazione dell'accesso (vendita di accessi non autorizzati ai sistemi)

Questi accordi flessibili di condivisione degli utili sono concepiti per attrarre un'ampia gamma di attori minacciosi.

Catena di attacco sofisticata: dal phishing alla cancellazione dei file

Gli attacchi Anubis in genere iniziano con email di phishing come primo punto di ingresso. Una volta compromesso un sistema, gli aggressori:

• Aumentare i privilegi
• Condurre una ricognizione
• Eliminare le copie shadow del volume per impedire il ripristino
• Crittografare i file
• Facoltativamente, cancella i dati se configurato per farlo

Questa sequenza è studiata per infliggere il massimo danno e la massima pressione psicologica alle vittime.

WIPEMODE: Aumentare la pressione sulle vittime

Una caratteristica distintiva di Anubis è il parametro /WIPEMODE, che consente l'eliminazione permanente del contenuto dei file. È interessante notare che il malware conserva nomi ed estensioni dei file, ma ne riduce le dimensioni a 0 KB, rendendo vani gli sforzi di recupero. Questa funzionalità aumenta notevolmente la pressione sulle vittime affinché paghino, allineandosi alle tattiche utilizzate da gruppi ransomware aggressivi e ben organizzati.

Conclusione: la posta in gioco non è mai stata così alta

Con la sua combinazione di crittografia dei file e cancellazione irreversibile dei dati, Anubis stabilisce un nuovo pericoloso precedente nell'evoluzione del ransomware. La sua sofisticatezza operativa, le opzioni di monetizzazione e le capacità distruttive lo rendono una minaccia formidabile che le organizzazioni non possono permettersi di ignorare. Vigilanza, consapevolezza degli utenti e solide strategie di difesa sono più cruciali che mai.