Was ist Anubis Ransomware?

Anubis ist ein Ransomware-as-a-Service (RaaS)-Betrieb, der seit Dezember 2024 aktiv ist und ursprünglich unter dem Namen „Sphinx“ getestet wurde, bevor er umbenannt wurde.

Wie rekrutiert Anubis Angreifer?

Seine Entwickler rekrutieren Affiliates über russischsprachige Cybercrime-Foren, um Angriffe durchzuführen, anstatt ein einzelnes Hackerteam einzusetzen.

Was unterscheidet das Geschäftsmodell von Anubis von anderen Ransomware-Gruppen?

Es bietet verhandelbare Umsatzbeteiligungen und mehrere Monetarisierungswege, darunter ein dediziertes Datenerpressungsprogramm, mit dem Affiliates auch ohne Verschlüsselung profitieren können.

Warum verlagern sich Ransomware-Gruppen auf Datenerpressung, anstatt nur Dateien zu verschlüsseln?

Opfer mit Backups können verschlüsselte Dateien ohne Zahlung wiederherstellen, aber die Androhung, gestohlene sensible Daten zu veröffentlichen, nimmt ihnen diesen Ausweg und setzt sie unter Druck zu zahlen.

Wie verschaffen sich Anubis-Affiliates in der Regel den anfänglichen Netzwerkzugang?

Sie nutzen bekannte, ungepatchte Schwachstellen in Fernzugriffstools wie VPN-Gateways und sicheren Zugangsgeräten, um ein einzelnes Gerät oder Anmeldeinformationen zu kompromittieren und so Zugang zum Unternehmensnetzwerk zu erhalten.

Anubis Ransomware: Das RaaS-Modell seit Dezember 2024

Was Anubis Ransomware ist und wie das Affiliate-Modell funktioniert

Anubis ist ein Ransomware-as-a-Service (RaaS)-Betrieb, der seit Dezember 2024 aktiv ist, als er erstmals unter dem Testnamen „Sphinx“ auftauchte, bevor er zu seiner aktuellen Identität umbenannt wurde. Wie andere RaaS-Gruppen verlässt sich Anubis nicht auf ein einzelnes Hackerteam, um jedes Ziel zu kompromittieren. Stattdessen entwickeln und warten seine Entwickler die Malware und rekrutieren dann Affiliates über russischsprachige Cybercrime-Foren, um die eigentlichen Angriffe durchzuführen.

Was Anubis auszeichnet, ist die Flexibilität seines Geschäftsmodells. Die Gruppe bietet verhandelbare Umsatzbeteiligungen für Affiliates und betreibt darüber hinaus mehrere Monetarisierungswege, die über das übliche Schema „Verschlüsselung gegen Lösegeld“ hinausgehen. Einer dieser Wege ist speziell der Datenerpressung gewidmet und ermöglicht es Affiliates, auch dann von gestohlenen Informationen zu profitieren, wenn die Verschlüsselung nicht das Hauptziel ist. Diese Struktur senkt die Einstiegshürde für Kriminelle und erweitert die Möglichkeiten, Opfer zur Zahlung zu drängen.

Warum Datenerpressung einfache Verschlüsselungsangriffe ablöst

Jahrelang bedeutete Ransomware eines: Dateien wurden gesperrt, und Opfer zahlten für einen Entschlüsselungsschlüssel. Dieses Modell verblasst. Anubis spiegelt einen breiteren Wandel in der Ransomware-Ökonomie wider, hin zum Stehlen von Daten und der Androhung ihrer Veröffentlichung, häufig parallel zur oder anstelle der Verschlüsselung von Dateien.

Das ist bedeutsam, weil die reine Verschlüsselung eine inhärente Schwäche für die Angreifer hat: Ein Opfer mit soliden Backups kann seine Systeme einfach wiederherstellen und die Zahlung verweigern. Datendiebstahl beseitigt diese Hintertür. Selbst wenn ein Unternehmen seine Dateien aus dem Backup wiederherstellt, droht weiterhin die Gefahr, dass vertrauliche Kundendaten, Finanzdaten oder interne Kommunikation veröffentlicht oder verkauft werden. Das dedizierte Datenerpressungsprogramm von Anubis formalisiert diesen Hebel und gibt Affiliates die Möglichkeit, zu profitieren, unabhängig davon, ob die Ransomware-Nutzlast jemals eingesetzt wird.

Dieser Trend spiegelt wider, was in anderen jüngsten Vorfällen passiert ist, bei denen gestohlene Daten selbst zum Produkt werden, etwa als Bedrohungsakteure wie ShinyHunters dabei beobachtet wurden, wie sie gestohlene Nutzerdaten zum Verkauf anbieten, anstatt sich überhaupt auf Lösegeldverhandlungen zu verlassen. Ob über die Leak-Site einer Ransomware-Gruppe oder einen Direktverkauf auf einem kriminellen Marktplatz – der gemeinsame Nenner ist derselbe: Ihre Daten sind der Vermögenswert, nicht nur ein Druckmittel.

Wie Ransomware-Gruppen anfänglichen Netzwerkzugang erhalten

Affiliate-gesteuerte Ransomware-Operationen wie Anubis müssen keine hochentwickelten Eindringtechniken von Grund auf entwickeln. Stattdessen nutzen sie bekannte, ungepatchte Schwachstellen in Software, die Unternehmen bereits verwenden, um sich aus der Ferne mit ihren Netzwerken zu verbinden. Fernzugriffstools wie VPN-Gateways und sichere Zugangsgeräte bleiben einige der attraktivsten Einstiegspunkte, denn ein einziges kompromittiertes Gerät oder kompromittierte Anmeldeinformationen können die Tür zum gesamten Unternehmensnetzwerk öffnen.

Das ist keine hypothetische Sorge. Kürzlich wurde die aktive Ausnutzung von weit verbreiteten Fernzugriffsprodukten dokumentiert, darunter eine Schwachstelle zur Authentifizierungsumgehung in Palo Alto Networks' GlobalProtect VPN und Zero-Day-Lücken in SonicWalls SMA1000 Secure-Access-Appliances. Diese Art von ungepatchten, aus dem Internet erreichbaren Systemen sind genau die Art von Zugangspunkten mit geringem Aufwand und hohem Ertrag, nach denen RaaS-Affiliates bei der Auswahl ihrer Ziele suchen – egal ob sie Anubis oder eine ganz andere Ransomware-Familie einsetzen.

Praktische Schritte für KMU und Einzelpersonen zur Reduzierung des Risikos

Kleine und mittlere Unternehmen sind oft am stärksten Gruppen wie Anubis ausgesetzt, da sie häufig keine dedizierten Sicherheitsteams haben, aber dennoch täglich auf Fernzugriffsinfrastrukturen angewiesen sind. Einige konkrete Schritte machen einen bedeutenden Unterschied:

Sicherheitsupdates für VPNs, Firewalls und Fernzugriffsgeräte sofort nach ihrer Veröffentlichung einspielen. Verzögertes Patchen von aus dem Internet erreichbaren Systemen ist eine der häufigsten Methoden, mit denen Ransomware-Affiliates ihren ersten Standfuß erhalten.
Mehrfaktor-Authentifizierung für alle Fernzugriffskonten erzwingen, nicht nur für Administratoren.
Offline- oder unveränderbare Backups vorhalten und die Wiederherstellung regelmäßig testen. Dies entschärft den Verschlüsselungsaspekt von doppelten Erpressungsangriffen, stoppt aber nicht den Datendiebstahl.
Netzwerke segmentieren, damit ein einzelnes kompromittiertes Gerät oder Konto keinen Pfad zum gesamten Unternehmen bietet.
Auf ungewöhnliche ausgehende Datenübertragungen achten, die ein Frühwarnzeichen für Datenexfiltration sein können, noch bevor eine Lösegeldforderung eintrifft.

Was das für Sie bedeutet

Egal ob Sie ein kleines Unternehmen führen oder einfach nur Ihr eigenes Heimnetzwerk verwalten – der Fall Anubis ist eine Erinnerung daran, dass sich die Ransomware-Abwehr nicht mehr allein auf Backups und Wiederherstellung konzentrieren kann. Datenerpressung bedeutet, dass Angreifer allein durch den Besitz Ihrer Informationen profitieren, unabhängig davon, ob sie jemals eine einzige Datei verschlüsseln. Das erhöht den Einsatz, von vornherein den anfänglichen Zugang zu verhindern, insbesondere über Fernzugriffstools, die häufig angegriffen werden, weil sie aus dem Internet erreichbar und viel zu oft ungepatcht sind.

Wichtige Erkenntnisse

Das flexible Affiliate-Modell und der dedizierte Datenerpressungszweig der Anubis-Ransomware zeigen, wie Ransomware-as-a-Service-Gruppen ihre Monetarisierungsstrategien weiterentwickeln. Für Einzelpersonen und Organisationen gleichermaßen ist die praktische Antwort dieselbe: Fernzugriffssoftware umgehend patchen, starke Authentifizierung verwenden und davon ausgehen, dass alle Daten in Ihrem Netzwerk zu Druckmitteln werden können, wenn Angreifer eindringen. Sich über Schwachstellen in VPNs und Fernzugriffsgeräten auf dem Laufenden zu halten, ist keine optionale Wartung mehr; es ist eine vorderste Verteidigung gegen die Art von Eindringen, auf die Gruppen wie Anubis angewiesen sind.