Anubis Ransomware to rosnące zagrożenie, którego organizacje nie mogą ignorować

Nowo powstająca grupa ransomware, Anubis , wywołuje poruszenie w cyberprzestępczym półświatku. Według firmy zajmującej się wywiadem zagrożeń Kela, Anubis działa jako Ransomware-as-a-Service (RaaS), oferując podmiotom stowarzyszonym wiele opcji monetyzacji, w tym tradycyjne ataki ransomware, wymuszenia danych i sprzedaż dostępu.

Pomimo bycia nowym graczem, Anubis wykazuje oznaki doświadczonych cyberprzestępców, co czyni go poważnym i rosnącym zagrożeniem dla firm na całym świecie. Oto, co organizacje muszą wiedzieć o tym rozwijającym się cyberzagrożeniu.

Anubis Ransomware: Co wiemy do tej pory

Anubis pojawił się po raz pierwszy pod koniec 2024 r., a jego obecność była śledzona głównie poprzez aktywność w dark webie, a nie bezpośrednią analizę kodu. Utrudnia to ocenę technicznych możliwości złośliwego oprogramowania, ale wstępne raporty sugerują, że jest to wysoce wyrafinowana operacja.

Badacze z Kela powiązali Anubisa z dwoma cyberprzestępcami, z których jeden — „superSonic” — aktywnie rekrutował towarzyszy za pośrednictwem podziemnych forów, takich jak RAMP.

Model biznesowy oprogramowania Anubis Ransomware

Anubis to nie tylko kolejna odmiana ransomware — to usługa wymuszająca okup, oferująca swoim partnerom wiele opcji ataku.

1. Klasyczne ataki ransomware
   • Wykorzystuje szyfrowanie ChaCha+ECIES.
   • Działa w systemach Windows, Linux, NAS i ESXi x64/x32.
   • Zarządzane poprzez internetowy panel sterowania.
   • Podział przychodów: 80% dla spółki afiliacyjnej, 20% dla Anubisa.
2. Okup za dane (wymuszenie bez szyfrowania)
   • Podmioty stowarzyszone sprzedają skradzione dane, nie szyfrując systemów ofiar.
   • Dane muszą należeć wyłącznie do Anubisa, zostać skradzione w ciągu ostatnich sześciu miesięcy i być na tyle cenne, by można je było ujawnić opinii publicznej.

Ta wielotorowa strategia wymuszeń wpisuje się w rosnący trend ataków typu ransomware mających na celu kradzież danych. Tego typu ataki stanowią zagrożenie dla organizacji, ponieważ ujawniają poufne dane zamiast je szyfrować.

Pierwsze ofiary Anubisa: służba zdrowia na celowniku?

Pomimo że Anubis istnieje zaledwie kilka miesięcy, na swojej stronie internetowej z przeciekami wymienił już trzy potwierdzone ofiary, a czwarty, nieujawniony cel oznaczono jako „Ściśle tajne” od 25 lutego 2025 r.

Jednym z najwcześniejszych potwierdzonych celów było Pound Road Medical Centre (PRMC), australijski dostawca usług opieki zdrowotnej. PRMC zgłosił naruszenie danych 13 listopada 2024 r., ale nie wspomniał o oprogramowaniu ransomware — co sugeruje, że Anubis mógł skupić się na wyłudzaniu danych, a nie na szyfrowaniu w tym przypadku.

Niepokojący jest fakt, że dwie z trzech znanych ofiar Anubisa działają w służbie zdrowia. Organizacje medyczne od dawna są głównymi celami ransomware ze względu na ich zależność od danych pacjentów i zwiększone prawdopodobieństwo płacenia okupów w celu ochrony poufnych informacji.

Dlaczego Anubis Ransomware jest poważnym zagrożeniem

Mimo że jest to wciąż nowość, Anubis już wykazuje oznaki bycia poważnym zagrożeniem dla cyberbezpieczeństwa. Oto dlaczego:

• Doświadczeni operatorzy – Ustrukturyzowany model RaaS w połączeniu z twierdzeniami technicznymi sugeruje, że Anubisem zarządzają doświadczeni cyberprzestępcy, prawdopodobnie byli członkowie zlikwidowanych gangów ransomware.
• Wielopoziomowe wymuszanie okupu – w przeciwieństwie do tradycyjnego oprogramowania ransomware, Anubis wykorzystuje wymuszenia danych jako główne źródło dochodu, umożliwiając atakującym czerpanie zysków bez konieczności stosowania szyfrowania.
• Celowanie w sektory krytyczne – Jeśli wczesne ataki są jakimkolwiek wskaźnikiem, kluczowymi celami mogą być opieka zdrowotna i inne branże wysokiego ryzyka.

Jak organizacje mogą się chronić

Wraz ze wzrostem aktywności Anubisa firmy muszą podejmować proaktywne środki bezpieczeństwa cybernetycznego, aby bronić się zarówno przed atakami szyfrującymi przy użyciu oprogramowania ransomware, jak i wyłudzeniami danych.

• Wzmocnij bezpieczeństwo sieci – stosuj uwierzytelnianie wieloskładnikowe (MFA) i zasady dostępu oparte na zerowym zaufaniu, aby ograniczyć ryzyko nieautoryzowanego dostępu.
• Wykrywaj i zapobiegaj kradzieży danych – Wdrażaj narzędzia zapobiegające utracie danych (DLP) w celu monitorowania i blokowania podejrzanych prób ich wycieku.
• Regularnie twórz kopie zapasowe ważnych danych – utrzymuj niezmienne kopie zapasowe w trybie offline, aby odzyskać dane po atakach opartych na szyfrowaniu.
• Monitoruj wzmianki w Dark Web – Zespoły ds. cyberbezpieczeństwa powinny śledzić źródła informacji o zagrożeniach pod kątem wzmianek o swojej organizacji na stronach z wyciekami oprogramowania ransomware.
• Szkolenie pracowników – przeszkolenie personelu w zakresie phishingu, kradzieży danych uwierzytelniających i taktyk socjotechnicznych powszechnie stosowanych w celu uzyskania wstępnego dostępu.
• Planowanie reagowania na incydenty – miej jasną strategię postępowania w przypadku zagrożeń związanych z oprogramowaniem ransomware lub wyłudzeniem danych, obejmującą reakcje prawne i public relations.

Rosnące zagrożenie cybernetyczne w 2025 r.

Anubis może być nowy, ale już teraz okazuje się poważnym zagrożeniem dla firm na całym świecie. Jego podwójne podejście do szyfrowania ransomware i czystego wymuszenia danych jest zgodne z nowoczesnymi trendami cyberprzestępczości, a jego koncentracja na sektorach krytycznych, takich jak opieka zdrowotna, wywołuje dodatkowe alarmy.

W miarę jak zbliża się rok 2025, organizacje muszą zachować czujność, inwestować w obronę cyberbezpieczeństwa i przygotować się na zmieniający się krajobraz ataków ransomware — ponieważ Anubis dopiero się rozkręca.

Czy Twoja firma jest gotowa do obrony przed kolejnym atakiem ransomware? Teraz jest czas na działanie.