Anubis RaaS-malware: een dubbelzinnige bedreiging in de onderwereld van cybercriminaliteit

Een ander soort digitale dreiging

Een ransomwarevariant genaamd Anubis veroorzaakt ophef in de cybersecuritywereld vanwege de zeldzame en gevaarlijke combinatie van encryptie en bestandsvernietiging. In tegenstelling tot conventionele ransomware, die doorgaans gegevens versleutelt en losgeld eist voor vrijgave, introduceert Anubis ook een modus die gegevens onomkeerbaar wist, waardoor er geen kans op herstel is – zelfs niet als slachtoffers besluiten te betalen.

Anubis werd voor het eerst ontdekt in december 2024 en heeft al slachtoffers gemaakt in uiteenlopende sectoren zoals de gezondheidszorg, horeca en bouw. Er zijn doelwitten gemeld in landen zoals de Verenigde Staten, Canada, Australië en Peru. Dit brede spectrum aan slachtoffers onderstreept het opportunistische karakter en de wereldwijde reikwijdte van de malware.

Wat Anubis onderscheidt

Anubis werkt volgens een ransomware-as-a-service (RaaS)-model, waarbij verschillende actoren, of "affiliates", de malware kunnen gebruiken in ruil voor een deel van de winst. Opvallend aan deze operatie is de flexibiliteit. Affiliates krijgen aanpasbare opties voor het delen van de inkomsten: 80% voor losgeldbetalingen, 60% voor data-afpersing en een 50-50-verdeling voor het verkopen van toegang tot gecompromitteerde systemen.

De dual-threat-functionaliteit van de malware komt tot stand via een specifieke opdrachtregelparameter – WIPEMODE – waarmee aanvallers bestanden permanent kunnen wissen. Dit proces maakt bestanden onbruikbaar door ze te verkleinen tot 0 kilobytes, terwijl de oorspronkelijke namen en extensies behouden blijven. Dit creëert de illusie van intacte bestanden. Deze tactiek verhoogt de druk op slachtoffers, waardoor ze sneller geneigd zijn om losgeld te eisen in de hoop verloren gegane gegevens te redden.

Verfijning zonder verbindingen

Ondanks dat het dezelfde naam heeft als eerdere malwarevarianten en -tools – waaronder een Android-bankingtrojan en een op Python gebaseerde backdoor die geassocieerd wordt met de beruchte FIN7-groep – lijkt deze Anubis-variant volledig los te staan van die dreigingen. Het is een op zichzelf staande operatie, waarschijnlijk onafhankelijk ontwikkeld, met een focus op het maximaliseren van de impact door middel van stealth en persistentie.

Uit eerste onderzoek blijkt dat de malware oorspronkelijk Sphinx heette tijdens de eerste testfases, en later werd omgedoopt tot Anubis voor publieke implementatie. De ontwikkelaars lijken zich bewust te distantiëren van eerdere malware met dezelfde naam, mogelijk om verwarring of toeschrijving te voorkomen.

Leveringsmethoden en aanvalsketen

Anubis infiltreert systemen doorgaans via phishingmails, een veelgebruikt toegangspunt voor veel moderne cyberaanvallen. Eenmaal binnen een netwerk gaan de malware-operators snel te werk: ze verhogen gebruikersrechten, inspecteren het systeem en verwijderen volumeschaduwkopieën – het ingebouwde back-upmechanisme van Windows – voordat ze overgaan tot het versleutelen of wissen van gegevens.

Deze gecoördineerde stappen illustreren een berekende aanpak die niet alleen bedoeld is om gegevens te stelen of te blokkeren, maar ook om vangnetten te elimineren. Dit maakt het moeilijker om herstel te bewerkstelligen en vergroot de druk op slachtoffers om te onderhandelen.

Bredere implicaties voor bedrijven en individuen

De opkomst van ransomwarevarianten zoals Anubis wijst op een verontrustende evolutie in cybercriminaliteit. De combinatie van dataversleuteling en onomkeerbare vernietiging betekent dat organisaties er niet langer vanuit kunnen gaan dat het betalen van losgeld dataherstel garandeert. Het onderstreept ook de noodzaak van krachtigere back-upstrategieën, meerlaagse cyberbeveiliging en betere training in phishingbewustzijn voor medewerkers.

Het gebruik van RaaS-platformen maakt het landschap nog ingewikkelder, omdat het zelfs laaggeschoolde actoren in staat stelt deel te nemen aan geavanceerde aanvallen. Hierdoor wordt het scala aan potentiële bedreigingen aanzienlijk groter.

Een dringende oproep tot paraatheid

Hoewel Anubis momenteel beperkt lijkt te zijn tot specifieke industrieën en geografische regio's, suggereren de kenmerken ervan dat het zich breder zou kunnen verspreiden als het niet wordt gecontroleerd. Het RaaS-model, met zijn royale inkomstendeling en aanpasbare implementatieopties, maakt het een aantrekkelijk instrument voor potentiële aanvallers wereldwijd.

Deze ontwikkeling is een actuele herinnering voor organisaties om hun cybersecuritybeleid te herzien, te investeren in detectietools en – het allerbelangrijkst – veilige, offline back-ups van kritieke gegevens te onderhouden. In een omgeving waarin digitale dreigingen zich blijven ontwikkelen, is paraatheid niet alleen een best practice, maar een noodzaak.

Laatste gedachten

Anubis vertegenwoordigt een verschuiving in ransomwarestrategieën, waarbij afpersing niet langer het enige doel is – vernietiging speelt nu een centrale rol. Naarmate cybercriminele tactieken evolueren, moeten onze verdedigingsmechanismen dat ook doen. Geïnformeerd, alert en proactief blijven is essentieel om door dit nieuwe hoofdstuk in het continu veranderende cybersecuritylandschap te navigeren.