What is Anubis ransomware?

Anubis is a ransomware-as-a-service (RaaS) operation active since December 2024, originally tested under the name “Sphinx” before rebranding.

How does Anubis recruit attackers?

Its developers recruit affiliates through Russian-language cybercrime forums to carry out attacks, rather than using a single hacking team.

What makes Anubis’s business model different from other ransomware groups?

It offers negotiable revenue splits and multiple monetization tracks, including a dedicated data extortion program that lets affiliates profit even without encryption.

Why are ransomware groups shifting toward data extortion instead of just encrypting files?

Victims with backups can restore encrypted files without paying, but the threat of leaking stolen sensitive data removes that escape and pressures victims to pay.

How do Anubis affiliates typically gain initial access to a network?

They exploit known, unpatched vulnerabilities in remote access tools like VPN gateways and secure access appliances to compromise a single device or credential and reach the corporate network.

Anubis Ransomwares RaaS-modell siden desember 2024

Hva Anubis Ransomware er og hvordan partner-modellen fungerer

Anubis er en ransomware-as-a-service (RaaS)-operasjon som har vært aktiv siden desember 2024, da den først dukket opp under testnavnet «Sphinx» før den skiftet til sin nåværende identitet. Akkurat som andre RaaS-grupper baserer ikke Anubis seg på et enkelt hackerteam for å bryte seg inn hos hvert mål. I stedet bygger og vedlikeholder utviklerne skadevaren, og rekrutterer så partnere gjennom russiskspråklige cyberkriminalitetsfora for å faktisk utføre angrepene.

Det som skiller Anubis fra andre er fleksibiliteten i forretningsmodellen. Gruppen tilbyr forhandlingsbare inntektsfordelinger til partnere, og opererer dessuten med flere inntektsstrømmer utover en standard kryptering-for-løsepenger-ordning. En av disse strømmene er spesifikt rettet mot datautpressing, slik at partnere kan tjene på stjålet informasjon selv i tilfeller der kryptering ikke er hovedmålet. Denne strukturen senker terskelen for kriminelle og skaper flere måter å presse ofre til å betale.

Hvorfor datautpressing erstatter enkle krypteringsangrep

I årevis betydde ransomware én ting: filer ble låst, og ofrene betalte for en dekrypteringsnøkkel. Den modellen er på vei ut. Anubis gjenspeiler et bredere skifte i ransomware-økonomien mot å stjele data først og true med å lekke dem, ofte sammen med eller i stedet for å kryptere filer direkte.

Dette er viktig fordi kryptering alene har en innebygd svakhet for angriperne: et offer med solide sikkerhetskopier kan ganske enkelt gjenopprette systemene sine og nekte å betale. Datatyveri fjerner den fluktruten. Selv om et selskap gjenoppretter filene sine fra sikkerhetskopi, henger trusselen om at sensitive kundedata, økonomisk informasjon eller intern kommunikasjon blir publisert eller solgt fortsatt over dem. Anubis sitt dedikerte datautpressingsprogram formaliserer denne innflytelsen, og gir partnere en måte å tjene penger på uavhengig av om ransomware-lasten noen gang blir utplassert.

Denne trenden speiler det som har skjedd i andre nylige hendelser der stjålne data i seg selv blir produktet, slik man har sett når trusselaktører som ShinyHunters har blitt observert hevder å ha stjålet brukerdata for salg i stedet for å basere seg på løsepengeforhandlinger i det hele tatt. Enten det er gjennom en ransomware-gruppes lekkeside eller et direktesalg på en kriminell markedsplass, er den røde tråden den samme: dine data er verdien, ikke bare et forhandlingskort.

Hvordan ransomware-grupper får innledende nettverkstilgang

Partnerdrevne ransomware-operasjoner som Anubis trenger ikke å utvikle sofistikerte inntrengningsteknikker fra bunnen av. I stedet utnytter de kjente, upatchede sårbarheter i programvare organisasjoner allerede bruker for å koble seg eksternt til nettverkene sine. Verktøy for ekstern tilgang, inkludert VPN-gatewayer og sikkerhetstilgangsapparater, forblir noen av de mest attraktive inngangspunktene fordi én kompromittert enhet eller påloggingsinformasjon kan åpne døren til hele bedriftsnettverket.

Dette er ingen hypotetisk bekymring. Aktiv utnyttelse har nylig blitt dokumentert i mye brukte produkter for ekstern tilgang, inkludert en autentiseringsomgåelse-sårbarhet i Palo Alto Networks’ GlobalProtect VPN og zero-day-sårbarheter i SonicWalls SMA1000-sikkerhetstilgangsapparater. Slike upatchede, internett-eksponerte systemer er nøyaktig den typen lavinnsats-, høybelønnings-tilgangspunkter som RaaS-partnere ser etter når de velger mål, enten de utplasserer Anubis eller en helt annen ransomware-familie.

Praktiske tiltak for SMB-er og enkeltpersoner for å redusere eksponering

Små og mellomstore bedrifter er ofte mest utsatt for grupper som Anubis, siden de ofte mangler dedikert sikkerhetspersonell, men fortsatt bruker infrastruktur for ekstern tilgang daglig. Noen konkrete grep utgjør en meningsfull forskjell:

Installer sikkerhetsoppdateringer på VPN-er, brannmurer og apparater for ekstern tilgang så snart de slippes. Forsinket oppdatering på internett-eksponerte systemer er en av de vanligste måtene ransomware-partnere får sitt første fotfeste.
Håndhev flerfaktorautentisering på alle kontoer for ekstern tilgang, ikke bare for administratorer.
Oppretthold frakoblede eller uforanderlige sikkerhetskopier, og test gjenoppretting jevnlig. Dette avverger krypteringssiden ved dobbel-utpressingsangrep, selv om det ikke stopper datatyveri.
Segmenter nettverk slik at en enkelt kompromittert enhet eller konto ikke gir en vei til hele organisasjonen.
Overvåk for uvanlige utgående dataoverføringer, noe som kan være et tidlig varselsignal om dataeksfiltrering før et løsepengekrav i det hele tatt kommer.

Hva dette betyr for deg

Enten du driver en liten bedrift eller bare administrerer ditt eget hjemmenettverk, er Anubis-saken en påminnelse om at forsvar mot ransomware ikke lenger bare kan fokusere på sikkerhetskopiering og gjenoppretting. Datautpressing betyr at angripere tjener på å bare ha informasjonen din, uavhengig av om de noen gang krypterer en eneste fil. Det øker innsatsen for å forhindre innledende tilgang i utgangspunktet, spesielt gjennom verktøy for ekstern tilgang som ofte angripes fordi de er internett-eksponerte og, altfor ofte, upatchede.

Hovedpunkter

Anubis ransomware sin fleksible partnermodell og dedikerte datautpressingsspor illustrerer hvordan ransomware-as-a-service-grupper stadig utvikler sine inntjeningsstrategier. For både enkeltpersoner og organisasjoner er den praktiske responsen den samme: oppdater programvare for ekstern tilgang umiddelbart, bruk sterk autentisering og forutsett at alle data på nettverket ditt kan bli et pressmiddel hvis angripere slipper inn. Å holde seg oppdatert om sårbarheter som påvirker VPN-er og apparater for ekstern tilgang er ikke lenger valgfritt vedlikehold; det er et førstelinjeforsvar mot den typen inntrengning grupper som Anubis er avhengige av.