Czym jest ransomware Anubis i jak działa model partnerski

Anubis to operacja typu ransomware-as-a-service (RaaS), która działa od grudnia 2024 roku, kiedy po raz pierwszy pojawiła się pod testową nazwą „Sphinx”, a następnie przeszła rebranding do obecnej tożsamości. Podobnie jak inne grupy RaaS, Anubis nie polega na jednym zespole hakerów do przeprowadzania każdego ataku. Zamiast tego jej twórcy tworzą i utrzymują złośliwe oprogramowanie, a następnie rekrutują partnerów za pośrednictwem rosyjskojęzycznych forów cyberprzestępczych, aby faktycznie przeprowadzali ataki.

Tym, co wyróżnia Anubis, jest elastyczność jej modelu biznesowego. Grupa oferuje negocjowany podział przychodów z partnerami i, co istotne, prowadzi wiele ścieżek monetyzacji wykraczających poza standardowy schemat szyfrowania w celu okupu. Jedna z tych ścieżek jest przeznaczona wyłącznie do wymuszania okupu za dane, umożliwiając partnerom czerpanie zysków ze skradzionych informacji nawet w przypadkach, gdy szyfrowanie nie jest głównym celem. Taka struktura obniża barierę wejścia dla przestępców i różnicuje sposoby, w jakie ofiary mogą być zmuszane do zapłaty.

Dlaczego wymuszanie okupu za dane zastępuje proste ataki szyfrujące

Przez lata ransomware oznaczało jedno: pliki były blokowane, a ofiary płaciły za klucz deszyfrujący. Ten model zanika. Anubis odzwierciedla szerszą zmianę w ekonomii ransomware w kierunku kradzieży danych w pierwszej kolejności i grożenia ich wyciekiem, często równolegle z szyfrowaniem plików lub zamiast niego.

Ma to znaczenie, ponieważ samo szyfrowanie ma wbudowaną słabość dla atakujących: ofiara z solidnymi kopiami zapasowymi może po prostu przywrócić swoje systemy i odmówić zapłaty. Kradzież danych usuwa tę furtkę. Nawet jeśli firma odzyska swoje pliki z kopii zapasowych, groźba opublikowania lub sprzedaży wrażliwych danych klientów, danych finansowych lub wewnętrznej komunikacji wciąż nad nią wisi. Dedykowany program wymuszania okupu za dane Anubis formalizuje tę dźwignię, dając partnerom sposób na zysk niezależnie od tego, czy ładunek ransomware zostanie kiedykolwiek wdrożony.

Ten trend odzwierciedla to, co wydarzyło się w innych niedawnych incydentach, gdzie skradzione dane same stają się produktem, co można było zaobserwować, gdy aktorzy zagrożeń, tacy jak ShinyHunters, byli przyłapani na twierdzeniu o posiadaniu skradzionych danych użytkowników na sprzedaż zamiast polegać na negocjacjach okupu. Czy to za pośrednictwem strony wyciekowej grupy ransomware, czy bezpośredniej sprzedaży na przestępczym rynku, wspólny wątek jest ten sam: twoje dane są aktywem, a nie tylko kartą przetargową.

Jak grupy ransomware uzyskują początkowy dostęp do sieci

Oparte na partnerach operacje ransomware, takie jak Anubis, nie muszą opracowywać od podstaw zaawansowanych technik intruzji. Zamiast tego wykorzystują znane, niezałatane luki w oprogramowaniu, z którego organizacje już korzystają do zdalnego łączenia się ze swoimi sieciami. Narzędzia dostępu zdalnego, w tym bramy VPN i urządzenia bezpiecznego dostępu, pozostają jednymi z najbardziej atrakcyjnych punktów wejścia, ponieważ pojedyncze skompromitowane urządzenie lub poświadczenie może otworzyć drzwi do całej sieci firmowej.

Nie jest to hipotetyczne zagrożenie. Aktywne wykorzystywanie zostało niedawno udokumentowane w szeroko stosowanych produktach dostępu zdalnego, w tym luka umożliwiająca ominięcie uwierzytelniania w GlobalProtect VPN Palo Alto Networks oraz luki zero-day w urządzeniach bezpiecznego dostępu SonicWall SMA1000. Tego rodzaju niezałatane, dostępne z Internetu systemy są dokładnie tym rodzajem niskonakładowych, wysoko opłacalnych punktów dostępu, których szukają partnerzy RaaS przy wyborze celów, niezależnie od tego, czy wdrażają Anubis, czy zupełnie inną rodzinę ransomware.

Praktyczne kroki dla MŚP i osób indywidualnych w celu zmniejszenia ekspozycji

Małe i średnie firmy są często najbardziej narażone na grupy takie jak Anubis, ponieważ często nie mają dedykowanych zespołów bezpieczeństwa, ale codziennie polegają na infrastrukturze dostępu zdalnego. Kilka konkretnych kroków robi znaczącą różnicę:

  • Stosuj poprawki bezpieczeństwa do VPN-ów, zapór sieciowych i urządzeń dostępu zdalnego, jak tylko zostaną wydane. Opóźnione łatanie systemów dostępnych z Internetu jest jednym z najczęstszych sposobów, w jaki partnerzy ransomware zdobywają pierwszy przyczółek.
  • Wymuszaj uwierzytelnianie wieloskładnikowe na wszystkich kontach dostępu zdalnego, nie tylko dla administratorów.
  • Utrzymuj kopie zapasowe offline lub niezmienne i regularnie testuj przywracanie. To osłabia część ataku związaną z szyfrowaniem w podwójnym wymuszeniu, choć nie powstrzyma kradzieży danych.
  • Segmentuj sieci, aby pojedyncze skompromitowane urządzenie lub konto nie dawało ścieżki do całej organizacji.
  • Monitoruj nietypowe wychodzące transfery danych, które mogą być wczesnym sygnałem ostrzegawczym eksfiltracji danych, zanim w ogóle pojawi się żądanie okupu.

Co to oznacza dla Ciebie

Niezależnie od tego, czy prowadzisz małą firmę, czy po prostu zarządzasz własną siecią domową, przypadek Anubis przypomina, że obrona przed ransomware nie może już skupiać się wyłącznie na kopiach zapasowych i odzyskiwaniu. Wymuszanie okupu za dane oznacza, że atakujący czerpią zyski z samego posiadania twoich informacji, niezależnie od tego, czy kiedykolwiek zaszyfrują choćby jeden plik. To podnosi stawkę w zapobieganiu początkowemu dostępowi, szczególnie przez narzędzia dostępu zdalnego, które są często atakowane, ponieważ są dostępne z Internetu i zbyt często niezałatane.

Kluczowe wnioski

Elastyczny model partnerski ransomware Anubis i dedykowana ścieżka wymuszania okupu za dane ilustrują, w jaki sposób grupy działające w modelu ransomware-as-a-service nieustannie rozwijają swoje strategie monetyzacji. Dla osób fizycznych i organizacji praktyczna odpowiedź jest taka sama: natychmiastowo łataj oprogramowanie dostępu zdalnego, stosuj silne uwierzytelnianie i zakładaj, że wszelkie dane w twojej sieci mogą stać się dźwignią, jeśli atakujący dostaną się do środka. Bycie na bieżąco z lukami dotyczącymi VPN-ów i urządzeń dostępu zdalnego nie jest już opcjonalną konserwacją; to pierwsza linia obrony przed rodzajem intruzji, od której zależą grupy takie jak Anubis.