Mi az az Anubis zsarolóvírus, és hogyan működik a partneri modell

Az Anubis egy zsarolóvírus-szolgáltatásként (RaaS) működő csoport, amely 2024 decembere óta aktív; először „Sphinx” tesztnéven bukkant fel, mielőtt felvette jelenlegi nevét. Más RaaS csoportokhoz hasonlóan az Anubis sem egyetlen hackercsapatra támaszkodik az áldozatok feltöréséhez. Helyette a fejlesztői készítik és karbantartják a kártevőt, majd orosz nyelvű kiberbűnözői fórumokon toboroznak partnereket a támadások végrehajtására.

Ami kiemeli az Anubist, az üzleti modelljének rugalmassága. A csoport egyeztethető bevételmegosztást kínál a partnereknek, és ami figyelemre méltó, több bevételi sávot működtet a szokásos titkosításért váltságdíj sémán túl. Ezen sávok egyike kifejezetten az adatzsarolásra összpontosít, lehetővé téve a partnerek számára, hogy akkor is profitáljanak a lopott információkból, amikor a titkosítás nem elsődleges cél. Ez a struktúra csökkenti a belépési küszöböt a bűnözők számára, és sokrétűbbé teszi a nyomásgyakorlást az áldozatokra a fizetés érdekében.

Miért váltja fel az adatzsarolás az egyszerű titkosításos támadásokat

Évekig a zsarolóvírus egy dolgot jelentett: a fájlokat zárolták, és az áldozat fizetett a visszafejtő kulcsért. Ez a modell hanyatlik. Az Anubis a zsarolóvírus-gazdaság szélesebb körű eltolódását tükrözi: először adatot lopni, majd azzal fenyegetőzni, hogy kiszivárogtatják, gyakran a fájlok egyszerű titkosítása mellett vagy helyett.

Ennek azért van jelentősége, mert a titkosítás önmagában beépített gyengeséget hordoz a támadók számára: egy megbízható biztonsági mentésekkel rendelkező áldozat egyszerűen visszaállíthatja a rendszereit, és megtagadhatja a fizetést. Az adatlopás eltünteti ezt a menekülési útvonalat. Még ha egy cég vissza is nyeri a fájljait a mentésből, a fenyegetés, hogy érzékeny ügyféladatok, pénzügyi információk vagy belső kommunikáció kerül nyilvánosságra vagy eladásra, továbbra is ott lebeg felettük. Az Anubis dedikált adatzsarolási programja formálissá teszi ezt a nyomást, lehetőséget adva a partnereknek, hogy akkor is profitáljanak, ha a zsarolóvírust soha nem vetik be.

Ez a tendencia összecseng azokkal a közelmúltbeli esetekkel, ahol maga a lopott adat válik a termékké, amint láthattuk, amikor olyan fenyegető szereplők, mint a ShinyHunters, egyszerűen lopott felhasználói adatok eladását állították, ahelyett hogy váltságdíj-tárgyalásokra hagyatkoztak volna. Legyen szó akár egy zsarolóvírus-csoport kiszivárogtató oldaláról, akár közvetlen eladásról egy bűnözői piactéren, a közös szál ugyanaz: az Ön adata az eszköz, nem csupán alkualap.

Hogyan szereznek a zsarolóvírus-csoportok kezdeti hálózati hozzáférést

Az olyan partnervezérelt zsarolóvírus-műveleteknek, mint az Anubis, nem kell a semmiből kifinomult behatolási technikákat kifejleszteniük. Ehelyett kihasználják azokat az ismert, javítatlan sebezhetőségeket, amelyek a szervezetek által a hálózataik távoli elérésére használt szoftverekben találhatók. A távoli hozzáférési eszközök, beleértve a VPN átjárókat és a biztonságos hozzáférési berendezéseket, továbbra is a legvonzóbb belépési pontok közé tartoznak, mert egyetlen kompromittált eszköz vagy hitelesítő adat megnyithatja az utat a teljes vállalati hálózat felé.

Ez nem elméleti aggály. A közelmúltban dokumentálták széles körben használt távoli hozzáférési termékek aktív kihasználását, beleértve egy hitelesítés megkerülésére alkalmas sebezhetőséget a Palo Alto Networks GlobalProtect VPN-jében és nulladik napi hibákat a SonicWall SMA1000 biztonságos hozzáférési berendezéseiben. Az ilyen típusú, internet felé nyitott, javítatlan rendszerek pontosan azok az alacsony erőfeszítésű, magas megtérülésű belépési pontok, amelyeket a RaaS partnerek keresnek a célpontok kiválasztásakor, akár az Anubist, akár egy másik zsarolóvírus-családot vetnek be.

Gyakorlati lépések a KKV-k és magánszemélyek számára a kitettség csökkentésére

A kis- és középvállalkozások gyakran a leginkább kitettek az olyan csoportoknak, mint az Anubis, mivel sokszor nem rendelkeznek dedikált biztonsági csapattal, mégis nap mint nap támaszkodnak távoli hozzáférési infrastruktúrára. Néhány konkrét lépés számottevő különbséget jelenthet:

  • A VPN-ekhez, tűzfalakhoz és távoli hozzáférési eszközökhöz a biztonsági javításokat azonnal telepíteni kell a kiadásuk után. A késlekedő javítás az internetre néző rendszereken az egyik leggyakoribb módja annak, hogy a zsarolóvírus-partnerek megvessék a lábukat.
  • Kötelezővé kell tenni a többtényezős hitelesítést minden távoli hozzáférési fiók esetében, nem csak a rendszergazdáknál.
  • Offline vagy megváltoztathatatlan biztonsági mentéseket kell fenntartani, és rendszeresen tesztelni a visszaállítást. Ez tompítja a kettős zsarolásos támadások titkosítási oldalát, bár az adatlopást nem akadályozza meg.
  • A hálózatokat szegmentálni kell, hogy egyetlen kompromittált eszköz vagy fiók ne biztosítson utat az egész szervezethez.
  • Figyelni kell a szokatlan kimenő adatforgalmat, ami az adatkiszivárgás korai figyelmeztető jele lehet, még mielőtt a váltságdíj-követelés megérkezne.

Mit jelent ez Önnek

Akár egy kisvállalkozást vezet, akár egyszerűen csak a saját otthoni hálózatát kezeli, az Anubis esete emlékeztet arra, hogy a zsarolóvírusok elleni védekezés többé nem összpontosíthat kizárólag a biztonsági mentésekre és a helyreállításra. Az adatzsarolás azt jelenti, hogy a támadók egyszerűen attól profitálnak, hogy birtokolják az Ön adatait, függetlenül attól, hogy valaha is titkosítanak-e egyetlen fájlt. Ez növeli a tétet a kezdeti hozzáférés megakadályozásában, különösen a távoli hozzáférési eszközökön keresztül, amelyeket gyakran céloznak, mert az internetre néznek és túl gyakran javítatlanok.

Főbb tanulságok

Az Anubis zsarolóvírus rugalmas partneri modellje és dedikált adatzsarolási sávja jól szemlélteti, hogy a zsarolóvírus-szolgáltatásként működő csoportok hogyan fejlesztik tovább a bevételszerzési stratégiáikat. Magánszemélyek és szervezetek számára egyaránt ugyanaz a gyakorlati válasz: azonnal telepíteni kell a távoli hozzáférési szoftverek javításait, erős hitelesítést kell használni, és abból kell kiindulni, hogy a hálózaton lévő bármely adat nyomásgyakorlási eszközzé válhat, ha a támadók bejutnak. A VPN-eket és távoli hozzáférési berendezéseket érintő sebezhetőségek naprakész követése többé nem választható karbantartás; ez az első vonalbeli védekezés az olyan csoportok által kihasznált behatolások ellen, mint az Anubis.