Apa Itu Anubis Ransomware dan Bagaimana Model Afiliasi Bekerja

Anubis adalah operasi ransomware-as-a-service (RaaS) yang telah aktif sejak Desember 2024, saat pertama kali muncul dengan nama uji coba "Sphinx" sebelum berganti nama menjadi identitasnya saat ini. Seperti kelompok RaaS lainnya, Anubis tidak mengandalkan satu tim peretas untuk membobol setiap target. Sebaliknya, pengembangnya membangun dan memelihara malware, lalu merekrut afiliasi melalui forum kejahatan dunia maya berbahasa Rusia untuk benar-benar melakukan serangan.

Yang membedakan Anubis adalah fleksibilitas model bisnisnya. Kelompok ini menawarkan pembagian pendapatan yang bisa dinegosiasikan kepada afiliasi dan, yang mencolok, menjalankan beberapa jalur monetisasi di luar skema enkripsi-untuk-tebusan standar. Salah satu jalur ini didedikasikan khusus untuk pemerasan data, yang memungkinkan afiliasi mendapat untung dari informasi yang dicuri bahkan ketika enkripsi bukanlah tujuan utama. Struktur ini menurunkan hambatan masuk bagi para pelaku kriminal dan mendiversifikasi cara korban dapat ditekan untuk membayar.

Mengapa Pemerasan Data Menggantikan Serangan Enkripsi Sederhana

Selama bertahun-tahun, ransomware berarti satu hal: file dikunci, dan korban membayar untuk kunci dekripsi. Model itu semakin pudar. Anubis mencerminkan pergeseran yang lebih luas dalam ekonomi ransomware menuju pencurian data terlebih dahulu dan ancaman untuk membocorkannya, sering kali bersamaan dengan atau sebagai pengganti enkripsi file secara langsung.

Ini penting karena enkripsi saja memiliki kelemahan bawaan bagi penyerang: korban dengan cadangan yang solid dapat dengan mudah memulihkan sistem mereka dan menolak membayar. Pencurian data menghilangkan jalan keluar itu. Bahkan jika sebuah perusahaan memulihkan file-nya dari cadangan, ancaman bahwa catatan pelanggan sensitif, data keuangan, atau komunikasi internal akan dipublikasikan atau dijual masih menggantung di atas mereka. Program pemerasan data khusus Anubis memformalkan daya ungkit ini, memberi afiliasi cara untuk mendapat untung baik muatan ransomware benar-benar digunakan atau tidak.

Tren ini menggemakan apa yang terjadi pada insiden-insiden terbaru lainnya di mana data yang dicuri itu sendiri menjadi produknya, seperti yang terlihat ketika aktor ancaman seperti ShinyHunters teramati mengklaim data pengguna yang dicuri untuk dijual secara langsung alih-alih mengandalkan negosiasi tebusan sama sekali. Baik melalui situs bocoran kelompok ransomware atau penjualan langsung di pasar kriminal, benang merahnya sama: data Anda adalah aset, bukan sekadar alat tawar-menawar.

Bagaimana Kelompok Ransomware Mendapatkan Akses Awal Jaringan

Operasi ransomware yang digerakkan oleh afiliasi seperti Anubis tidak perlu mengembangkan teknik intrusi yang canggih dari awal. Sebaliknya, mereka memanfaatkan kerentanan yang diketahui dan belum ditambal di perangkat lunak yang sudah digunakan organisasi untuk terhubung dari jarak jauh ke jaringan mereka. Alat akses jarak jauh, termasuk gateway VPN dan peralatan akses aman, tetap menjadi beberapa titik masuk paling menarik karena satu perangkat atau kredensial yang dikompromikan dapat membuka pintu ke seluruh jaringan perusahaan.

Ini bukan kekhawatiran hipotetis. Eksploitasi aktif baru-baru ini didokumentasikan pada produk akses jarak jauh yang banyak digunakan, termasuk kerentanan bypass autentikasi di GlobalProtect VPN Palo Alto Networks dan kelemahan zero-day pada peralatan akses aman SonicWall SMA1000. Sistem yang belum ditambal dan menghadap internet seperti ini adalah jenis titik akses upaya rendah, imbalan tinggi yang dicari afiliasi RaaS saat memilih target, baik mereka menyebarkan Anubis atau keluarga ransomware lainnya.

Langkah Praktis bagi UKM dan Individu untuk Mengurangi Paparan

Bisnis kecil dan menengah sering kali paling terpapar pada kelompok seperti Anubis, karena mereka sering kali tidak memiliki tim keamanan khusus tetapi masih mengandalkan infrastruktur akses jarak jauh setiap hari. Beberapa langkah konkret membuat perbedaan yang berarti:

  • Terapkan patch keamanan pada VPN, firewall, dan peralatan akses jarak jauh segera setelah dirilis. Penundaan penambalan pada sistem yang menghadap internet adalah salah satu cara paling umum afiliasi ransomware mendapatkan pijakan pertama mereka.
  • Terapkan autentikasi multi-faktor pada semua akun akses jarak jauh, bukan hanya untuk administrator.
  • Pertahankan cadangan offline atau tidak dapat diubah, dan uji pemulihan secara teratur. Ini menumpulkan sisi enkripsi dari serangan pemerasan ganda, meskipun tidak akan menghentikan pencurian data.
  • Segmentasikan jaringan sehingga satu perangkat atau akun yang dikompromikan tidak memberikan jalur ke seluruh organisasi.
  • Pantau transfer data keluar yang tidak biasa, yang bisa menjadi tanda peringatan dini eksfiltrasi data sebelum permintaan tebusan tiba.

Apa Artinya Ini Bagi Anda

Baik Anda menjalankan bisnis kecil atau sekadar mengelola jaringan rumah sendiri, kasus Anubis adalah pengingat bahwa pertahanan ransomware tidak bisa lagi hanya berfokus pada cadangan dan pemulihan. Pemerasan data berarti penyerang mendapat untung hanya dengan memiliki informasi Anda, terlepas dari apakah mereka pernah mengenkripsi satu file pun. Itu meningkatkan taruhan pada pencegahan akses awal sejak awal, terutama melalui alat akses jarak jauh yang sering menjadi sasaran karena menghadap internet dan, terlalu sering, tidak ditambal.

Poin Penting

Model afiliasi fleksibel Anubis ransomware dan jalur pemerasan data khususnya menggambarkan bagaimana kelompok ransomware-as-a-service terus mengembangkan strategi monetisasi mereka. Bagi individu dan organisasi, respons praktisnya sama: segera tambal perangkat lunak akses jarak jauh, gunakan autentikasi yang kuat, dan anggap bahwa data apa pun di jaringan Anda bisa menjadi daya ungkit jika penyerang masuk. Tetap mengikuti perkembangan kerentanan yang memengaruhi VPN dan peralatan akses jarak jauh bukan lagi perawatan opsional; ini adalah pertahanan garis depan terhadap jenis intrusi yang menjadi andalan kelompok seperti Anubis.