Il modello RaaS del ransomware Anubis da dicembre 2024

Cos'è il ransomware Anubis e come funziona il modello di affiliazione

Anubis è un'operazione di ransomware-as-a-service (RaaS) attiva da dicembre 2024, quando è emersa per la prima volta con il nome di test "Sphinx" prima di passare all'identità attuale. Come altri gruppi RaaS, Anubis non si affida a un'unica squadra di hacker per violare ogni obiettivo. Invece, i suoi sviluppatori creano e mantengono il malware, quindi reclutano affiliati tramite forum di criminalità informatica in lingua russa per condurre materialmente gli attacchi.

Ciò che distingue Anubis è la flessibilità del suo modello di business. Il gruppo offre percentuali di guadagno negoziabili agli affiliati e, in particolare, gestisce molteplici flussi di monetizzazione oltre al classico schema di cifratura a scopo di riscatto. Uno di questi flussi è dedicato specificamente all'estorsione di dati, consentendo agli affiliati di trarre profitto dalle informazioni rubate anche quando la cifratura non è l'obiettivo primario. Questa struttura abbassa la barriera d'ingresso per i criminali e diversifica i modi in cui le vittime possono essere spinte a pagare.

Perché l'estorsione di dati sta sostituendo i semplici attacchi di cifratura

Per anni, ransomware ha significato una cosa: i file venivano bloccati e le vittime pagavano per una chiave di decrittazione. Quel modello sta scomparendo. Anubis riflette un cambiamento più ampio nell'economia del ransomware verso il furto di dati come prima mossa, con la minaccia di divulgarli, spesso insieme o al posto della cifratura vera e propria.

Questo è rilevante perché la sola cifratura presenta un punto debole intrinseco per gli aggressori: una vittima con backup solidi può semplicemente ripristinare i propri sistemi e rifiutarsi di pagare. Il furto di dati elimina questa via di fuga. Anche se un'azienda recupera i propri file dai backup, la minaccia che dati sensibili dei clienti, dati finanziari o comunicazioni interne vengano pubblicati o venduti incombe comunque su di essa. Il programma di estorsione dati dedicato di Anubis formalizza questa leva, offrendo agli affiliati un modo per guadagnare indipendentemente dal fatto che il payload di ransomware venga mai distribuito.

Questa tendenza riecheggia quanto accaduto in altri incidenti recenti in cui i dati rubati diventano essi stessi il prodotto, come si è osservato quando attori di minacce come ShinyHunters hanno rivendicato la vendita di dati utente rubati direttamente anziché fare affidamento sulle negoziazioni per il riscatto. Che avvenga attraverso il sito di leak di un gruppo ransomware o una vendita diretta su un marketplace criminale, il filo conduttore è lo stesso: i tuoi dati sono la risorsa, non solo una merce di scambio.

Come i gruppi ransomware ottengono l'accesso iniziale alla rete

Le operazioni ransomware basate su affiliati come Anubis non hanno bisogno di sviluppare da zero sofisticate tecniche di intrusione. Sfruttano invece vulnerabilità note e non corrette nei software che le organizzazioni già utilizzano per connettersi da remoto alle proprie reti. Gli strumenti di accesso remoto, inclusi gateway VPN e appliance di accesso sicuro, rimangono alcuni dei punti di ingresso più interessanti perché un singolo dispositivo o credenziale compromessa può aprire la porta all'intera rete aziendale.

Non si tratta di una preoccupazione ipotetica. Di recente è stato documentato lo sfruttamento attivo in prodotti di accesso remoto ampiamente utilizzati, tra cui una vulnerabilità di bypass dell'autenticazione in GlobalProtect VPN di Palo Alto Networks e zero-day negli appliance di accesso sicuro SMA1000 di SonicWall. Questi tipi di sistemi esposti su Internet e non corretti sono esattamente il tipo di punti di accesso a basso sforzo e alto rendimento che gli affiliati RaaS cercano quando selezionano gli obiettivi, che stiano distribuendo Anubis o un'altra famiglia di ransomware.

Misure pratiche per PMI e privati per ridurre l'esposizione

Le piccole e medie imprese sono spesso le più esposte a gruppi come Anubis, poiché spesso non dispongono di team di sicurezza dedicati ma utilizzano quotidianamente infrastrutture di accesso remoto. Alcune misure concrete fanno una differenza significativa:

• Applicare le patch di sicurezza a VPN, firewall e appliance di accesso remoto non appena vengono rilasciate. Il ritardo nell'applicazione di patch sui sistemi esposti a Internet è uno dei modi più comuni con cui gli affiliati ransomware ottengono il primo punto d'appoggio.
• Applicare l'autenticazione a più fattori su tutti gli account di accesso remoto, non solo per gli amministratori.
• Mantenere backup offline o immutabili e testare regolarmente il ripristino. Questo attenua il lato della cifratura negli attacchi a doppia estorsione, anche se non ferma il furto di dati.
• Segmentare le reti in modo che un singolo dispositivo o account compromesso non fornisca un percorso verso l'intera organizzazione.
• Monitorare i trasferimenti insoliti di dati in uscita, che possono essere un segnale precoce di esfiltrazione dati prima ancora che arrivi una richiesta di riscatto.

Cosa significa questo per te

Che tu gestisca una piccola azienda o semplicemente la tua rete domestica, il caso Anubis ricorda che la difesa contro il ransomware non può più concentrarsi solo su backup e ripristino. L'estorsione di dati significa che gli aggressori traggono profitto semplicemente dall'avere le tue informazioni, indipendentemente dal fatto che cifrino o meno un singolo file. Questo alza la posta in gioco nel prevenire l'accesso iniziale in primo luogo, in particolare attraverso strumenti di accesso remoto che vengono spesso presi di mira perché esposti su Internet e, troppo spesso, non corretti.

Punti chiave

Il modello flessibile di affiliazione e il programma dedicato all'estorsione di dati del ransomware Anubis illustrano come i gruppi ransomware-as-a-service continuino a far evolvere le loro strategie di monetizzazione. Per privati e organizzazioni, la risposta pratica è la stessa: applicare tempestivamente le patch al software di accesso remoto, utilizzare un'autenticazione robusta e presumere che qualsiasi dato sulla propria rete possa diventare una leva se gli aggressori riescono ad accedervi. Rimanere aggiornati sulle vulnerabilità che colpiscono VPN e appliance di accesso remoto non è più una manutenzione opzionale; è una difesa di prima linea contro il tipo di intrusione da cui dipendono gruppi come Anubis.