Anubis RaaS-malware

Een nieuw ontdekte ransomware-variant heeft geleid tot grote bezorgdheid binnen de cybersecuritygemeenschap vanwege de ongekende dubbele mogelijkheid: bestanden versleutelen en ze permanent wissen. Deze malware, door experts omschreven als een 'zeldzame dubbele bedreiging', beschikt over een 'wismodus' die gegevensherstel onmogelijk maakt, zelfs als er losgeld wordt betaald.

Maak kennis met Anubis: een meedogenloze Ransomware-as-a-Service-operatie

De ransomware-operatie, bekend als Anubis, begon in december 2024 en heeft al slachtoffers gemaakt in de gezondheidszorg, horeca en bouwsector in Australië, Canada, Peru en de Verenigde Staten. Uit eerste tests bleek dat de malware oorspronkelijk de naam Sphinx droeg, maar dat de ontwikkelaars de malware later onder de huidige naam hebben hernoemd.

Belangrijk is dat de Anubis-operatie niets te maken heeft met de Android-bankingtrojan of de op Python gebaseerde backdoor die ook Anubis heet. Laatstgenoemde wordt namelijk in verband gebracht met de financieel gemotiveerde FIN7-groep (ook bekend als GrayAlpha).

Flexibel affiliateprogramma met hoge uitbetalingen

Anubis werkt volgens een Ransomware-as-a-Service (RaaS)-model en biedt affiliates lucratieve incentives. Het programma omvat:

• 80-20 verdeling voor traditionele losgeldbetalingen (affiliates behouden 80%)
• 60-40 verdeling voor data-afpersingsschema's
• 50-50 verdeling voor toegang tot geld (het verkopen van ongeautoriseerde toegang tot systemen)

Deze flexibele, winstdelende regelingen zijn bedoeld om een breed scala aan dreigingsactoren aan te trekken.

Geavanceerde aanvalsketen: van phishing tot het wissen van bestanden

Anubis-aanvallen beginnen meestal met phishingmails als eerste toegangspunt. Zodra een systeem is gecompromitteerd, doen aanvallers het volgende:

• Verhogen van privileges
• Verkenning uitvoeren
• Volumeschaduwkopieën verwijderen om herstel te voorkomen
• Bestanden versleutelen
• Optioneel gegevens wissen indien geconfigureerd om dit te doen

Deze volgorde is bedoeld om zoveel mogelijk schade en psychologische druk bij de slachtoffers te creëren.

WIPEMODE: Slachtoffers onder druk zetten

Een opvallende functie van Anubis is de parameter /WIPEMODE, waarmee de inhoud van bestanden permanent kan worden verwijderd. Interessant is dat de malware bestandsnamen en -extensies behoudt, maar de bestandsgrootte terugbrengt tot 0 KB, waardoor herstelpogingen zinloos zijn. Deze functionaliteit verhoogt de druk op slachtoffers om te betalen aanzienlijk, wat overeenkomt met de tactieken die agressieve en goed georganiseerde ransomwaregroepen gebruiken.

Conclusie: de inzet is nog nooit zo hoog geweest

Met de combinatie van bestandsversleuteling en onomkeerbare gegevensverwijdering schept Anubis een gevaarlijk nieuw precedent in de ontwikkeling van ransomware. De operationele verfijning, mogelijkheden om geld te verdienen en destructieve mogelijkheden maken het een formidabele bedreiging die organisaties zich niet kunnen veroorloven te negeren. Waakzaamheid, gebruikersbewustzijn en robuuste verdedigingsstrategieën zijn belangrijker dan ooit.