Oprogramowanie złośliwe Anubis RaaS
Nowo odkryty szczep ransomware wzbudził poważne obawy w społeczności cyberbezpieczeństwa ze względu na swoją bezprecedensową podwójną zdolność: szyfrowanie plików i trwałe ich usuwanie. Opisany przez ekspertów jako „rzadkie podwójne zagrożenie”, ten malware obejmuje „tryb czyszczenia”, który uniemożliwia odzyskanie danych, nawet jeśli zostanie zapłacony okup.
Spis treści
Poznaj Anubisa: Bezwzględną operację typu ransomware-as-a-service
Operacja ransomware, znana jako Anubis, pojawiła się w grudniu 2024 r. i już pochłonęła ofiary w sektorach opieki zdrowotnej, hotelarstwa i budownictwa w Australii, Kanadzie, Peru i Stanach Zjednoczonych. Wstępne próbki ujawniły, że złośliwe oprogramowanie pierwotnie nosiło nazwę Sphinx, ale później twórcy zmienili jej nazwę na obecną.
Co ważne, operacja Anubis nie jest powiązana z bankowym trojanem na Androida ani opartym na Pythonie tylnym wejściem, również o nazwie Anubis. Ten ostatni jest powiązany z motywowaną finansowo grupą FIN7 (znaną również jako GrayAlpha).
Elastyczny program partnerski z wysokimi wypłatami
Anubis działa w ramach modelu Ransomware-as-a-Service (RaaS), oferując partnerom lukratywne zachęty. Program obejmuje:
- 80-20 podziału w przypadku tradycyjnych płatności okupu (partnerzy zachowują 80%)
- 60-40 podziałów na schematy wyłudzania danych
- Podział 50-50 za monetyzację dostępu (sprzedaż nieautoryzowanego dostępu do systemów)
Tego typu elastyczne rozwiązania oparte na podziale zysków mają na celu przyciągnięcie szerokiego grona podmiotów stanowiących zagrożenie.
Zaawansowany łańcuch ataków: od phishingu do czyszczenia plików
Ataki Anubis zazwyczaj zaczynają się od wiadomości phishingowych jako początkowego punktu wejścia. Gdy system zostanie naruszony, atakujący:
- Zwiększ uprawnienia
- Przeprowadzić rozpoznanie
- Usuń kopie woluminów w tle, aby zapobiec odzyskiwaniu
- Szyfruj pliki
- Opcjonalnie wyczyść dane, jeśli skonfigurowano taką opcję
Sekwencja ta ma na celu zapewnienie maksymalnych obrażeń i wywarcie presji psychologicznej na ofiarach.
WIPEMODE: Podkręcanie napięcia wobec ofiar
Cechą wyróżniającą Anubisa jest parametr /WIPEMODE, który umożliwia trwałe usunięcie zawartości pliku. Co ciekawe, malware zachowuje nazwy plików i rozszerzenia, ale zmniejsza rozmiar plików do 0 KB, co czyni próby odzyskania danych daremnymi. Ta funkcjonalność znacznie zwiększa presję na ofiary, aby płaciły, co jest zgodne z taktyką stosowaną przez agresywne i dobrze zorganizowane grupy ransomware.
Wnioski: Stawki nigdy nie były wyższe
Dzięki połączeniu szyfrowania plików i nieodwracalnego usuwania danych Anubis ustanawia niebezpieczny nowy precedens w ewolucji ransomware. Jego wyrafinowanie operacyjne, opcje monetyzacji i destrukcyjne możliwości sprawiają, że jest to potężne zagrożenie, którego organizacje nie mogą sobie pozwolić zignorować. Czujność, świadomość użytkownika i solidne strategie obronne są ważniejsze niż kiedykolwiek.
