Anubis RaaS-Malware: Die zweischneidige Bedrohung in der Unterwelt der Cyberkriminalität

Eine andere Art digitaler Bedrohung

Eine Ransomware-Variante namens Anubis sorgt in der Cybersicherheitslandschaft aufgrund ihrer seltenen und gefährlichen Kombination aus Verschlüsselungs- und Dateivernichtungsfunktionen für Aufsehen. Im Gegensatz zu herkömmlicher Ransomware, die typischerweise Daten verschlüsselt und für deren Freigabe ein Lösegeld verlangt, verfügt Anubis außerdem über einen Modus, der Daten unwiderruflich löscht und keine Wiederherstellung ermöglicht – selbst wenn die Opfer zahlen.

Anubis wurde erstmals im Dezember 2024 entdeckt und hat bereits Opfer in so unterschiedlichen Branchen wie dem Gesundheitswesen, dem Gastgewerbe und dem Baugewerbe gefordert. Ziele wurden unter anderem in den USA, Kanada, Australien und Peru gemeldet. Dieses breite Opferspektrum unterstreicht den opportunistischen Charakter und die globale Reichweite der Malware.

Was Anubis auszeichnet

Anubis arbeitet nach einem Ransomware-as-a-Service-Modell (RaaS). Verschiedene Akteure, sogenannte „Partner“, können die Schadsoftware gegen einen Gewinnanteil nutzen. Besonders bemerkenswert an diesem Ansatz ist seine Flexibilität. Den Partnern werden anpassbare Optionen zur Umsatzbeteiligung angeboten: 80 % für Lösegeldzahlungen, 60 % für Datenerpressung und eine 50:50-Aufteilung für den Verkauf des Zugriffs auf kompromittierte Systeme.

Die doppelte Bedrohungslage der Malware beruht auf einem speziellen Befehlszeilenparameter – WIPEMODE –, der es Angreifern ermöglicht, Dateien dauerhaft zu löschen. Dieser Vorgang macht Dateien unbrauchbar, indem er sie auf 0 Kilobyte reduziert, während die ursprünglichen Namen und Erweiterungen erhalten bleiben und so die Illusion intakter Dateien entsteht. Diese Taktik erhöht den Druck auf die Opfer und erhöht die Wahrscheinlichkeit, dass sie Lösegeldforderungen schnell nachkommen, in der Hoffnung, bereits verlorene Daten zu retten.

Raffinesse ohne Verbindungen

Obwohl diese Anubis-Variante denselben Namen wie frühere Malware-Varianten und -Tools trägt – darunter ein Android-Banking-Trojaner und eine Python -basierte Backdoor der berüchtigten FIN7-Gruppe –, scheint sie mit diesen Bedrohungen nichts zu tun zu haben. Vielmehr handelt es sich um eine eigenständige, wahrscheinlich unabhängig entwickelte Operation, deren Fokus auf der Maximierung der Wirkung durch Tarnung und Hartnäckigkeit liegt.

Erste Untersuchungen deuten darauf hin, dass die Schadsoftware in frühen Testphasen ursprünglich Sphinx hieß und später für den öffentlichen Einsatz in Anubis umbenannt wurde. Die Entwickler scheinen sich bewusst von früherer Schadsoftware gleichen Namens zu distanzieren, möglicherweise um Verwirrung oder eine Zuordnung zu vermeiden.

Bereitstellungsmethoden und Angriffskette

Anubis infiltriert Systeme typischerweise über Phishing-E-Mails, ein häufiger Einstiegspunkt bei vielen modernen Cyberangriffen. Sobald sie in einem Netzwerk sind, reagieren die Malware-Betreiber schnell: Sie erweitern Benutzerrechte, überwachen das System und löschen Volumeschattenkopien – den in Windows integrierten Dateisicherungsmechanismus –, bevor sie Daten verschlüsseln oder löschen.

Diese koordinierten Schritte veranschaulichen einen kalkulierten Ansatz, der nicht nur darauf abzielt, Daten zu stehlen oder zu sperren, sondern auch darauf, Sicherheitsnetze zu beseitigen, wodurch die Wiederherstellung erschwert und der Verhandlungsdruck auf die Opfer weiter erhöht wird.

Weitergehende Auswirkungen für Unternehmen und Einzelpersonen

Das Aufkommen von Ransomware-Varianten wie Anubis signalisiert eine beunruhigende Entwicklung der Cyberkriminalität. Die Kombination aus Datenverschlüsselung und irreversibler Datenvernichtung bedeutet, dass Unternehmen nicht mehr davon ausgehen können, dass die Zahlung eines Lösegelds die Wiederherstellung ihrer Daten garantiert. Dies unterstreicht auch die Notwendigkeit besserer Backup-Strategien, mehrschichtiger Cybersicherheitsmaßnahmen und besserer Phishing-Schulungen für Mitarbeiter.

Durch die Nutzung von RaaS-Plattformen wird die Lage noch komplizierter, da sie es sogar Akteuren mit geringen Kenntnissen ermöglicht, an komplexen Angriffen teilzunehmen, wodurch sich das Spektrum potenzieller Bedrohungen erheblich erweitert.

Ein dringender Aufruf zur Vorbereitung

Obwohl Anubis derzeit auf bestimmte Branchen und geografische Regionen beschränkt zu sein scheint, deuten seine Eigenschaften darauf hin, dass es sich weiter ausbreiten könnte, wenn es nicht eingedämmt wird. Das RaaS-Modell mit seiner großzügigen Umsatzbeteiligung und den anpassbaren Bereitstellungsoptionen macht es zu einem attraktiven Werkzeug für potenzielle Angreifer weltweit.

Diese Entwicklung ist für Unternehmen eine dringende Mahnung, ihre Cybersicherheitsrichtlinien zu überprüfen, in Erkennungstools zu investieren und – was am wichtigsten ist – sichere Offline-Backups kritischer Daten zu erstellen. In einem Umfeld, in dem sich digitale Bedrohungen ständig weiterentwickeln, ist Vorsorge nicht nur eine bewährte Methode, sondern eine Notwendigkeit.

Abschließende Gedanken

Anubis markiert einen Wandel in der Ransomware-Strategie: Erpressung ist nicht mehr das einzige Ziel – Zerstörung spielt nun eine zentrale Rolle. Mit der Weiterentwicklung der Taktiken von Cyberkriminellen müssen sich auch unsere Abwehrmaßnahmen weiterentwickeln. Informiert, wachsam und proaktiv zu bleiben, ist entscheidend, um dieses neue Kapitel der sich ständig verändernden Cybersicherheitslandschaft zu meistern.