What is Anubis ransomware?

Anubis is a ransomware-as-a-service (RaaS) operation active since December 2024, originally tested under the name “Sphinx” before rebranding.

How does Anubis recruit attackers?

Its developers recruit affiliates through Russian-language cybercrime forums to carry out attacks, rather than using a single hacking team.

What makes Anubis’s business model different from other ransomware groups?

It offers negotiable revenue splits and multiple monetization tracks, including a dedicated data extortion program that lets affiliates profit even without encryption.

Why are ransomware groups shifting toward data extortion instead of just encrypting files?

Victims with backups can restore encrypted files without paying, but the threat of leaking stolen sensitive data removes that escape and pressures victims to pay.

How do Anubis affiliates typically gain initial access to a network?

They exploit known, unpatched vulnerabilities in remote access tools like VPN gateways and secure access appliances to compromise a single device or credential and reach the corporate network.

Anubis Ransomware's RaaS-model sinds december 2024

Wat Anubis ransomware is en hoe het affiliate-model werkt

Anubis is een ransomware-as-a-service (RaaS)-operatie die actief is sinds december 2024, toen het voor het eerst opdook onder de testnaam "Sphinx" voordat het zich hernoemde naar zijn huidige identiteit. Net als andere RaaS-groepen vertrouwt Anubis niet op één team hackers om elk doelwit te kraken. In plaats daarvan bouwen en onderhouden de ontwikkelaars de malware, en rekruteren ze vervolgens affiliates via Russischtalige cybercrimeforums om de aanvallen daadwerkelijk uit te voeren.

Wat Anubis onderscheidt, is de flexibiliteit van zijn bedrijfsmodel. De groep biedt onderhandelbare winstdelingen aan affiliates en hanteert meerdere verdienmodellen naast de standaard versleuteling-voor-losgeld-methode. Eén van die sporen is specifiek gericht op data-afpersing, waardoor affiliates kunnen profiteren van gestolen informatie, zelfs in gevallen waarin versleuteling niet het primaire doel is. Deze structuur verlaagt de drempel voor criminelen en diversifieert de manier waarop slachtoffers onder druk worden gezet om te betalen.

Waarom data-afpersing de eenvoudige versleutelingsaanvallen vervangt

Jarenlang betekende ransomware één ding: bestanden werden vergrendeld en slachtoffers betaalden voor een decryptiesleutel. Dat model is aan het verdwijnen. Anubis weerspiegelt een bredere verschuiving in de ransomware-economie naar het eerst stelen van data en dreigen die te lekken, vaak naast of in plaats van het ronduit versleutelen van bestanden.

Dit is belangrijk omdat versleuteling alleen een ingebouwde zwakte heeft voor aanvallers: een slachtoffer met goede back-ups kan simpelweg de systemen herstellen en weigeren te betalen. Data-diefstal elimineert die ontsnappingsroute. Zelfs als een bedrijf zijn bestanden terugzet vanuit een back-up, blijft de dreiging hangen dat gevoelige klantgegevens, financiële data of interne communicatie openbaar worden gemaakt of verkocht. Anubis' speciale data-afpersingsprogramma formaliseert deze pressiemiddelen, waardoor affiliates kunnen verdienen, ongeacht of de ransomware-payload ooit wordt ingezet.

Deze trend weerspiegelt wat er is gebeurd in andere recente incidenten waarbij gestolen data zelf het product werd, zoals te zien was toen dreigingsactoren zoals ShinyHunters werden waargenomen die claimden gestolen gebruikersdata te koop aan te bieden in plaats van überhaupt op losgeldonderhandelingen te vertrouwen. Of het nu via de leksite van een ransomwaregroep of via een directe verkoop op een criminele marktplaats gaat, de rode draad is hetzelfde: jouw data is het bezit, niet slechts een ruilmiddel.

Hoe ransomwaregroepen initiële netwerktoegang verkrijgen

Affiliate-gedreven ransomware-operaties zoals Anubis hoeven geen geavanceerde infiltratietechnieken vanaf nul te ontwikkelen. In plaats daarvan maken ze gebruik van bekende, ongepatchte kwetsbaarheden in de software die organisaties al gebruiken om op afstand verbinding te maken met hun netwerken. Hulpmiddelen voor externe toegang, waaronder VPN-gateways en secure-access-appliances, blijven enkele van de meest aantrekkelijke toegangspunten, omdat één gecompromitteerd apparaat of inloggegeven de deur kan openen naar een heel bedrijfsnetwerk.

Dit is geen hypothetische zorg. Actieve exploitatie is onlangs gedocumenteerd in breed gebruikte producten voor externe toegang, waaronder een authenticatiebypass-kwetsbaarheid in Palo Alto Networks' GlobalProtect VPN en zero-day-lekken in SonicWalls SMA1000 secure-access-appliances. Dit soort ongepatchte, op internet gerichte systemen zijn precies het soort toegangspunten met lage inspanning en hoge opbrengst waar RaaS-affiliates naar zoeken bij het selecteren van doelwitten, of ze nu Anubis inzetten of een heel andere ransomwarefamilie.

Praktische stappen voor KMO's en individuen om blootstelling te beperken

Kleine en middelgrote ondernemingen zijn vaak het meest blootgesteld aan groepen zoals Anubis, omdat ze vaak geen toegewijde beveiligingsteams hebben maar wel dagelijks afhankelijk zijn van infrastructuur voor externe toegang. Een paar concrete stappen maken een betekenisvol verschil:

Installeer beveiligingspatches voor VPN's, firewalls en apparaten voor externe toegang zodra ze beschikbaar zijn. Vertraagd patchen van op internet gerichte systemen is een van de meest voorkomende manieren waarop ransomware-affiliates hun eerste voet aan de grond krijgen.
Dwing multi-factorauthenticatie af op alle accounts voor externe toegang, niet alleen voor beheerders.
Bewaar offline of onveranderlijke back-ups en test het herstel regelmatig. Dit stompt de versleutelingskant van dubbele-afpersingsaanvallen af, hoewel het data-diefstal niet tegenhoudt.
Segmenteer netwerken zodat één gecompromitteerd apparaat of account geen pad biedt naar de hele organisatie.
Monitor op ongebruikelijke uitgaande data-overdrachten, wat een vroeg waarschuwingssignaal kan zijn van data-exfiltratie voordat er ooit een losgeldeis komt.

Wat dit voor jou betekent

Of je nu een klein bedrijf runt of gewoon je eigen thuisnetwerk beheert, de zaak-Anubis herinnert eraan dat ransomwareverdediging zich niet langer alleen kan richten op back-ups en herstel. Data-afpersing betekent dat aanvallers al profiteren van het simpelweg hebben van jouw informatie, los van of ze ooit één bestand versleutelen. Dat verhoogt de noodzaak om initiële toegang überhaupt te voorkomen, vooral via hulpmiddelen voor externe toegang die vaak doelwit zijn omdat ze op internet gericht zijn en, te vaak, ongepatcht.

Kernpunten

Het flexibele affiliate-model en het speciale data-afpersingsspoor van Anubis ransomware illustreren hoe ransomware-as-a-service-groepen hun verdienstrategieën blijven ontwikkelen. Voor individuen en organisaties is de praktische reactie hetzelfde: patch software voor externe toegang onmiddellijk, gebruik sterke authenticatie en ga ervan uit dat elke data op je netwerk als pressiemiddel kan dienen als aanvallers binnenkomen. Op de hoogte blijven van kwetsbaarheden in VPN's en apparaten voor externe toegang is niet langer optioneel onderhoud; het is een frontlinieverdediging tegen het soort infiltratie waar groepen zoals Anubis van afhankelijk zijn.