Anubis RaaS-skadevare: Den tveeggede trusselen i nettkriminalitetens underverden

En annen type digital trussel

En ransomware-stamme kjent som Anubis skaper bølger i nettsikkerhetslandskapet for sin sjeldne og farlige kombinasjon av kryptering og fildestruksjonsfunksjoner. I motsetning til konvensjonelt ransomware som vanligvis krypterer data og krever løsepenger for utgivelsen, introduserer Anubis også en modus som irreversibelt sletter data, og gir ingen sjanse for gjenoppretting – selv om ofrene bestemmer seg for å betale.

Anubis ble først oppdaget i desember 2024 og har allerede krevd ofre i så varierte sektorer som helsevesen, hotell- og restaurantbransjen og bygg- og anleggsvirksomhet. Mål har blitt rapportert i land som USA, Canada, Australia og Peru. Dette brede spekteret av ofre fremhever skadevarens opportunistiske natur og globale omfang.

Hva som skiller Anubis fra andre

Anubis opererer under en ransomware-as-a-service (RaaS)-modell, som lar ulike aktører, eller «tilknyttede selskaper», bruke skadevaren i bytte mot en andel av fortjenesten. Det som er spesielt bemerkelsesverdig med denne operasjonen er fleksibiliteten. Tilknyttede selskaper tilbys tilpassbare inntektsdelingsalternativer: 80 % for løsepenger, 60 % for datautpressing og en 50-50-fordeling for salg av tilgang til kompromitterte systemer.

Skadevarens doble trusselfunksjon kommer via en spesifikk kommandolinjeparameter – WIPEMODE – som lar angripere slette filer permanent. Denne prosessen gjør filer ubrukelige ved å redusere dem til 0 kilobyte samtidig som de opprinnelige navnene og filtypene bevares, noe som skaper en illusjon av intakte filer. Denne taktikken øker presset på ofrene, noe som gjør dem mer sannsynlig til å raskt etterkomme løsepengekrav i håp om å redde data som allerede er tapt.

Sofistikasjon uten forbindelser

Til tross for at den deler navn med tidligere malware-stammer og -verktøy – inkludert en Android-banktrojaner og en Python -basert bakdør tilknyttet den beryktede FIN7-gruppen – ser det ut til at denne Anubis-varianten er helt urelatert til disse truslene. I stedet representerer den en frittstående operasjon, sannsynligvis utviklet uavhengig, med fokus på å maksimere effekten gjennom sniking og utholdenhet.

Innledende undersøkelser tyder på at skadevaren opprinnelig het Sphinx i tidlige testfaser, og senere ble den omdøpt til Anubis for offentlig distribusjon. Utviklerne ser ut til å bevisst distansere seg fra tidligere skadevaren med samme navn, muligens for å unngå forvirring eller kreditering.

Leveringsmetoder og angrepskjede

Anubis infiltrerer vanligvis systemer via phishing-e-poster, et vanlig inngangspunkt i mange moderne cyberangrep. Når de er inne i et nettverk, handler skadevareoperatørene raskt: de eskalerer brukerrettigheter, undersøker systemet og sletter volumskyggekopier – Windows' innebygde sikkerhetskopieringsmekanisme – før de fortsetter med å kryptere eller slette data.

Disse koordinerte trinnene illustrerer en kalkulert tilnærming som ikke bare er utformet for å stjele eller låse data, men også for å eliminere sikkerhetsnett, noe som gjør utbedring vanskelig og ytterligere skjerper presset på ofrene til å forhandle.

Bredere implikasjoner for bedrifter og enkeltpersoner

Fremveksten av løsepengevirustyper som Anubis signaliserer en urovekkende utvikling innen nettkriminalitet. Blandingen av datakryptering og irreversibel ødeleggelse betyr at organisasjoner ikke lenger kan anta at det å betale løsepenger garanterer datagjenoppretting. Det understreker også behovet for sterkere sikkerhetskopieringsstrategier, flerlags cybersikkerhetsforsvar og bedre opplæring i phishing-bevissthet blant ansatte.

Bruken av RaaS-plattformer kompliserer landskapet ytterligere, ettersom det gjør det mulig for selv lavt kvalifiserte aktører å delta i sofistikerte angrep, noe som utvider omfanget av potensielle trusler betydelig.

Et presserende krav om beredskap

Selv om Anubis for øyeblikket ser ut til å være begrenset til bestemte bransjer og geografiske regioner, tyder funksjonene på at den kan spre seg mer hvis den ikke kontrolleres. RaaS-modellen, med sin generøse inntektsdeling og tilpassbare distribusjonsalternativer, gjør den til et attraktivt verktøy for potensielle angripere over hele verden.

Denne utviklingen er en betimelig påminnelse for organisasjoner om å gjennomgå sine retningslinjer for cybersikkerhet, investere i deteksjonsverktøy og – aller viktigst – opprettholde sikre, offline sikkerhetskopier av kritiske data. I et miljø der digitale trusler fortsetter å utvikle seg, er beredskap ikke bare beste praksis – det er en nødvendighet.

Avsluttende tanker

Anubis representerer et skifte i ransomware-strategien, der utpressing ikke lenger er det eneste målet – ødeleggelse spiller nå en sentral rolle. Etter hvert som nettkriminelles taktikker utvikler seg, må også forsvaret vårt gjøre det. Å holde seg informert, årvåken og proaktiv vil være avgjørende for å navigere i dette nye kapittelet i det stadig skiftende nettsikkerhetslandskapet.