Le modèle RaaS du ransomware Anubis depuis décembre 2024

Qu’est-ce que le ransomware Anubis et comment fonctionne le modèle d’affiliation

Anubis est une opération de ransomware-as-a-service (RaaS) active depuis décembre 2024, date à laquelle elle est apparue pour la première fois sous le nom de test « Sphinx » avant de prendre son identité actuelle. Comme d’autres groupes RaaS, Anubis ne s’appuie pas sur une seule équipe de pirates pour compromettre chaque cible. Au lieu de cela, ses développeurs construisent et maintiennent le malware, puis recrutent des affiliés via des forums de cybercriminalité russophones pour mener les attaques.

Ce qui distingue Anubis, c’est la flexibilité de son modèle économique. Le groupe propose des partages de revenus négociables à ses affiliés et, fait notable, exploite plusieurs pistes de monétisation au-delà du schéma classique de chiffrement contre rançon. L’une de ces pistes est spécifiquement dédiée à l’extorsion de données, permettant aux affiliés de tirer profit des informations volées même lorsque le chiffrement n’est pas l’objectif principal. Cette structure réduit les barrières à l’entrée pour les criminels et diversifie les moyens de pression pour inciter les victimes à payer.

Pourquoi l’extorsion de données remplace les simples attaques par chiffrement

Pendant des années, le ransomware signifiait une chose : les fichiers étaient verrouillés et les victimes payaient pour une clé de déchiffrement. Ce modèle est en déclin. Anubis reflète un basculement plus large de l’économie du ransomware vers le vol de données en premier lieu, suivi de menaces de divulgation, souvent en parallèle ou à la place du chiffrement pur et simple des fichiers.

Cela a son importance car le chiffrement seul présente une faiblesse intrinsèque pour les attaquants : une victime disposant de sauvegardes solides peut simplement restaurer ses systèmes et refuser de payer. Le vol de données supprime cette échappatoire. Même si une entreprise récupère ses fichiers à partir de sauvegardes, la menace de voir des dossiers clients sensibles, des données financières ou des communications internes publiés ou vendus plane toujours au-dessus d’elle. Le programme d’extorsion de données dédié d’Anubis formalise ce levier, offrant aux affiliés un moyen de tirer profit, que la charge utile du ransomware soit déployée ou non.

Cette tendance fait écho à ce qui s’est produit lors d’autres incidents récents où les données volées deviennent elles-mêmes le produit, comme on a pu l’observer lorsque des acteurs malveillants tels que ShinyHunters ont revendiqué des données d’utilisateurs volées à vendre purement et simplement, sans même recourir à des négociations de rançon. Qu’il s’agisse du site de fuite d’un groupe de ransomware ou d’une vente directe sur une place de marché criminelle, le fil conducteur est le même : vos données sont l’actif, pas seulement une monnaie d’échange.

Comment les groupes de ransomware obtiennent un accès initial au réseau

Les opérations de ransomware pilotées par des affiliés, comme Anubis, n’ont pas besoin de développer des techniques d’intrusion sophistiquées de zéro. Elles capitalisent plutôt sur des vulnérabilités connues et non corrigées dans les logiciels que les organisations utilisent déjà pour se connecter à distance à leurs réseaux. Les outils d’accès à distance, y compris les passerelles VPN et les appliances d’accès sécurisé, restent parmi les points d’entrée les plus attractifs, car un seul appareil ou identifiant compromis peut ouvrir la porte à tout le réseau d’entreprise.

Il ne s’agit pas d’une préoccupation théorique. Une exploitation active a récemment été documentée dans des produits d’accès à distance largement utilisés, notamment une vulnérabilité de contournement d’authentification dans le VPN GlobalProtect de Palo Alto Networks et des failles zero-day dans les appliances d’accès sécurisé SMA1000 de SonicWall. Ces types de systèmes non corrigés exposés sur Internet sont précisément le genre de points d’accès nécessitant peu d’effort et offrant un gain élevé que les affiliés RaaS recherchent lorsqu’ils sélectionnent leurs cibles, qu’ils déploient Anubis ou une toute autre famille de ransomware.

Mesures concrètes pour les PME et les particuliers afin de réduire l’exposition

Les petites et moyennes entreprises sont souvent les plus exposées à des groupes comme Anubis, car elles manquent fréquemment d’équipes de sécurité dédiées tout en dépendant quotidiennement d’une infrastructure d’accès à distance. Quelques mesures concrètes font une différence significative :

• Appliquez les correctifs de sécurité aux VPN, pare-feux et appliances d’accès à distance dès leur publication. Le retard dans l’application des correctifs sur les systèmes exposés à Internet est l’un des moyens les plus courants pour les affiliés de ransomware de prendre pied.
• Imposez l’authentification multifactorielle sur tous les comptes d’accès à distance, pas seulement pour les administrateurs.
• Conservez des sauvegardes hors ligne ou immuables et testez régulièrement la restauration. Cela atténue l’aspect chiffrement des attaques à double extorsion, sans toutefois empêcher le vol de données.
• Segmentez les réseaux de sorte qu’un seul appareil ou compte compromis ne donne pas accès à l’ensemble de l’organisation.
• Surveillez les transferts de données sortants inhabituels, qui peuvent être un signe précoce d’exfiltration de données avant même qu’une demande de rançon n’arrive.

Ce que cela signifie pour vous

Que vous dirigiez une petite entreprise ou gériez simplement votre propre réseau domestique, l’affaire Anubis nous rappelle que la défense contre les ransomwares ne peut plus se concentrer uniquement sur les sauvegardes et la récupération. L’extorsion de données signifie que les attaquants tirent profit du simple fait de posséder vos informations, qu’ils chiffrent ou non ne serait-ce qu’un seul fichier. Cela accroît l’importance d’empêcher l’accès initial en premier lieu, en particulier via les outils d’accès à distance qui sont fréquemment ciblés parce qu’ils sont exposés à Internet et, trop souvent, non corrigés.

Points clés à retenir

Le modèle d’affiliation flexible du ransomware Anubis et son volet d’extorsion de données dédié illustrent comment les groupes de ransomware-as-a-service continuent de faire évoluer leurs stratégies de monétisation. Pour les particuliers comme pour les organisations, la réponse pratique est la même : appliquez rapidement les correctifs aux logiciels d’accès à distance, utilisez une authentification forte et partez du principe que toute donnée présente sur votre réseau peut devenir un levier si les attaquants parviennent à entrer. Se tenir informé des vulnérabilités affectant les VPN et les appliances d’accès à distance n’est plus une maintenance optionnelle ; c’est une défense de première ligne contre le type d’intrusion dont dépendent des groupes comme Anubis.