O que é o Ransomware Anubis e como funciona o modelo de afiliados

Anubis é uma operação de ransomware como serviço (RaaS) que está ativa desde dezembro de 2024, quando surgiu pela primeira vez sob o nome de teste “Sphinx” antes de mudar para sua identidade atual. Como outros grupos RaaS, o Anubis não depende de uma única equipa de hackers para violar cada alvo. Em vez disso, os seus programadores constroem e mantêm o malware, recrutando depois afiliados através de fóruns de cibercrime em russo para executar os ataques.

O que distingue o Anubis é a flexibilidade do seu modelo de negócio. O grupo oferece divisões de receitas negociáveis aos afiliados e, de forma notável, opera múltiplas vias de monetização além do esquema padrão de encriptação por resgate. Uma dessas vias é dedicada especificamente à extorsão de dados, permitindo que os afiliados lucrem com informações roubadas mesmo quando a encriptação não é o objetivo principal. Esta estrutura reduz a barreira de entrada para criminosos e diversifica as formas de pressionar as vítimas a pagar.

Porque é que a extorsão de dados está a substituir os ataques de simples encriptação

Durante anos, ransomware significava uma coisa: ficheiros bloqueados e as vítimas pagavam por uma chave de desencriptação. Esse modelo está a desaparecer. O Anubis reflete uma mudança mais ampla na economia do ransomware no sentido de roubar dados primeiro e ameaçar divulgá-los, muitas vezes em conjunto com ou em vez de encriptar diretamente os ficheiros.

Isto é relevante porque a encriptação por si só tem uma fraqueza inerente para os atacantes: uma vítima com backups sólidos pode simplesmente restaurar os seus sistemas e recusar-se a pagar. O roubo de dados elimina essa escapatória. Mesmo que uma empresa recupere os seus ficheiros dos backups, a ameaça de que registos sensíveis de clientes, dados financeiros ou comunicações internas sejam publicados ou vendidos continua a pairar sobre ela. O programa dedicado de extorsão de dados do Anubis formaliza esta alavancagem, dando aos afiliados uma forma de lucrar independentemente de a carga útil de ransomware chegar a ser implementada.

Esta tendência ecoa o que aconteceu noutros incidentes recentes em que os dados roubados se tornam o próprio produto, como se viu quando atores de ameaças como os ShinyHunters foram observados a reivindicar a venda de dados de utilizadores roubados diretamente, em vez de dependerem de negociações de resgate. Quer seja através do site de fugas de um grupo de ransomware ou de uma venda direta num mercado criminoso, o fio condutor é o mesmo: os seus dados são o ativo, não apenas uma moeda de troca.

Como os grupos de ransomware obtêm acesso inicial à rede

Operações de ransomware baseadas em afiliados como o Anubis não precisam de desenvolver técnicas sofisticadas de intrusão de raiz. Em vez disso, capitalizam vulnerabilidades conhecidas e não corrigidas no software que as organizações já utilizam para se ligarem remotamente às suas redes. Ferramentas de acesso remoto, incluindo gateways VPN e appliances de acesso seguro, continuam a ser alguns dos pontos de entrada mais atrativos porque um único dispositivo ou credencial comprometido pode abrir a porta a toda uma rede corporativa.

Esta não é uma preocupação hipotética. A exploração ativa foi recentemente documentada em produtos de acesso remoto amplamente utilizados, incluindo uma vulnerabilidade de bypass de autenticação na VPN GlobalProtect da Palo Alto Networks e falhas de dia zero nos appliances de acesso seguro SMA1000 da SonicWall. Estes tipos de sistemas expostos à Internet e não corrigidos são precisamente o tipo de pontos de acesso de baixo esforço e elevada recompensa que os afiliados RaaS procuram ao selecionar alvos, quer estejam a implementar o Anubis ou outra família de ransomware.

Medidas práticas para PMEs e indivíduos reduzirem a exposição

As pequenas e médias empresas são frequentemente as mais expostas a grupos como o Anubis, uma vez que muitas vezes não têm equipas de segurança dedicadas, mas dependem diariamente de infraestruturas de acesso remoto. Alguns passos concretos fazem uma diferença significativa:

  • Aplicar correções de segurança em VPNs, firewalls e appliances de acesso remoto assim que são lançadas. O atraso na aplicação de patches em sistemas expostos à Internet é uma das formas mais comuns de os afiliados de ransomware obterem o seu primeiro ponto de apoio.
  • Impor autenticação multifator em todas as contas de acesso remoto, não apenas para administradores.
  • Manter backups offline ou imutáveis e testar regularmente a restauração. Isto mitiga o lado da encriptação nos ataques de dupla extorsão, embora não impeça o roubo de dados.
  • Segmentar as redes para que um único dispositivo ou conta comprometido não forneça um caminho para toda a organização.
  • Monitorizar transferências de dados de saída incomuns, que podem ser um sinal de alerta precoce de exfiltração de dados antes de qualquer pedido de resgate chegar.

O que isto significa para si

Quer administre uma pequena empresa ou simplesmente a sua própria rede doméstica, o caso Anubis é um lembrete de que a defesa contra ransomware já não se pode focar apenas em backups e recuperação. A extorsão de dados significa que os atacantes lucram simplesmente por terem a sua informação, independentemente de alguma vez encriptarem um único ficheiro. Isto aumenta a importância de prevenir o acesso inicial em primeiro lugar, particularmente através de ferramentas de acesso remoto que são frequentemente visadas por estarem expostas à Internet e, demasiadas vezes, não corrigidas.

Pontos-chave

O modelo flexível de afiliados do ransomware Anubis e a sua via dedicada de extorsão de dados ilustram como os grupos de ransomware como serviço continuam a evoluir as suas estratégias de monetização. Para indivíduos e organizações, a resposta prática é a mesma: corrija prontamente o software de acesso remoto, utilize autenticação forte e assuma que qualquer dado na sua rede pode tornar-se uma alavanca se os atacantes entrarem. Manter-se atualizado sobre vulnerabilidades que afetam VPNs e appliances de acesso remoto já não é manutenção opcional; é uma defesa de linha da frente contra o tipo de intrusão de que grupos como o Anubis dependem.