Logiciel malveillant Anubis RaaS : la menace à double tranchant dans le monde de la cybercriminalité

Une menace numérique d'un autre genre

Une souche de rançongiciel appelée Anubis fait sensation dans le monde de la cybersécurité grâce à sa combinaison rare et dangereuse de fonctionnalités de chiffrement et de destruction de fichiers. Contrairement aux rançongiciels classiques qui chiffrent généralement les données et exigent une rançon pour leur libération, Anubis introduit également un mode qui efface irréversiblement les données, ne laissant aucune chance de récupération, même si les victimes décident de payer.

Détecté pour la première fois en décembre 2024, Anubis a déjà fait des victimes dans des secteurs aussi variés que la santé, l'hôtellerie et la construction. Des cibles ont été signalées dans des pays comme les États-Unis, le Canada, l'Australie et le Pérou. Ce large éventail de victimes souligne le caractère opportuniste et la portée mondiale du malware.

Ce qui distingue Anubis

Anubis fonctionne selon un modèle de rançongiciel en tant que service (RaaS), permettant à différents acteurs, ou « affiliés », d'utiliser le logiciel malveillant en échange d'une part des bénéfices. Ce système se distingue par sa flexibilité. Les affiliés bénéficient d'options de partage des revenus personnalisables : 80 % pour le paiement des rançons, 60 % pour les opérations d'extorsion de données et un partage à parts égales pour la vente de l'accès aux systèmes compromis.

La double menace du malware repose sur un paramètre de ligne de commande spécifique, WIPEMODE , qui permet aux attaquants d'effacer définitivement les fichiers. Ce processus rend les fichiers inutilisables en les réduisant à 0 kilo-octet tout en préservant leurs noms et extensions d'origine, créant ainsi l'illusion de fichiers intacts. Cette tactique accroît la pression sur les victimes, les incitant à accepter rapidement les demandes de rançon dans l'espoir de récupérer des données déjà perdues.

Sophistication sans connexions

Bien que son nom soit similaire à celui de précédentes souches et outils de malwares, notamment un cheval de Troie bancaire Android et une porte dérobée Python associée au célèbre groupe FIN7 , cette variante d'Anubis semble totalement indépendante de ces menaces. Il s'agit plutôt d'une opération autonome, probablement développée indépendamment, visant à maximiser son impact grâce à la furtivité et à la persistance.

Les premières investigations suggèrent que le malware s'appelait initialement Sphinx lors des premières phases de test, puis Anubis pour le déploiement public. Les développeurs semblent vouloir délibérément se distancier des malwares antérieurs portant le même nom, peut-être pour éviter toute confusion ou attribution.

Méthodes de livraison et chaîne d'attaque

Anubis infiltre généralement les systèmes via des e-mails d'hameçonnage, une porte d'entrée courante dans de nombreuses cyberattaques modernes. Une fois à l'intérieur d'un réseau, les opérateurs de malwares agissent rapidement : ils augmentent les privilèges des utilisateurs, inspectent le système et suppriment les clichés instantanés des volumes (le mécanisme de sauvegarde des fichiers intégré à Windows) avant de procéder au chiffrement ou à l'effacement des données.

Ces mesures coordonnées illustrent une approche calculée conçue non seulement pour voler ou verrouiller des données, mais aussi pour éliminer les filets de sécurité, rendant la réparation difficile et renforçant encore la pression sur les victimes pour qu’elles négocient.

Implications plus larges pour les entreprises et les particuliers

L'émergence de rançongiciels comme Anubis témoigne d'une évolution inquiétante de la cybercriminalité. L'association du chiffrement des données et de leur destruction irréversible signifie que les entreprises ne peuvent plus s'attendre à ce que le paiement d'une rançon garantisse la récupération de leurs données. Elle souligne également la nécessité de stratégies de sauvegarde plus solides, de défenses de cybersécurité multicouches et d'une meilleure sensibilisation des employés au phishing.

L’utilisation de plateformes RaaS complique encore davantage le paysage, car elle permet même à des acteurs peu qualifiés de participer à des attaques sophistiquées, élargissant considérablement l’éventail des menaces potentielles.

Un appel urgent à la préparation

Bien qu'Anubis semble actuellement limité à des secteurs et des zones géographiques spécifiques, ses caractéristiques suggèrent qu'il pourrait se propager davantage s'il n'est pas maîtrisé. Le modèle RaaS, avec son généreux partage des revenus et ses options de déploiement personnalisables, en fait un outil attractif pour les attaquants potentiels du monde entier.

Cette évolution est un rappel opportun pour les organisations de revoir leurs politiques de cybersécurité, d'investir dans des outils de détection et, surtout, de maintenir des sauvegardes hors ligne sécurisées de leurs données critiques. Dans un environnement où les menaces numériques ne cessent d'évoluer, la préparation n'est pas seulement une bonne pratique, c'est une nécessité.

Réflexions finales

Anubis marque un tournant dans la stratégie des rançongiciels : l'extorsion n'est plus le seul objectif : la destruction joue désormais un rôle central. À mesure que les tactiques des cybercriminels évoluent, nos défenses doivent évoluer. Rester informé, vigilant et proactif sera essentiel pour aborder ce nouveau chapitre d'un paysage de la cybersécurité en constante évolution.