Anubis RaaS-Malware

Eine neu entdeckte Ransomware-Variante hat in der Cybersicherheits-Community aufgrund ihrer beispiellosen Doppelfunktion erhebliche Bedenken ausgelöst: Sie verschlüsselt und löscht Dateien dauerhaft. Experten bezeichnen diese Schadsoftware als „seltene Doppelbedrohung“ und verfügen über einen „Löschmodus“, der eine Datenwiederherstellung selbst nach Zahlung eines Lösegelds unmöglich macht.

Lernen Sie Anubis kennen: Eine skrupellose Ransomware-as-a-Service-Operation

Die Ransomware-Attacke mit dem Namen Anubis tauchte im Dezember 2024 auf und forderte bereits Opfer im Gesundheitswesen, Gastgewerbe und Baugewerbe in Australien, Kanada, Peru und den USA. Erste Samples zeigten, dass die Schadsoftware ursprünglich unter dem Namen Sphinx firmierte, die Entwickler sie jedoch später unter dem aktuellen Namen umbenannten.

Wichtig ist, dass diese Anubis-Operation nicht mit dem Android-Banking-Trojaner oder der Python-basierten Backdoor, die ebenfalls Anubis heißt, in Verbindung steht. Letztere wird mit der finanziell motivierten Gruppe FIN7 (alias GrayAlpha) in Verbindung gebracht.

Flexibles Partnerprogramm mit hohen Auszahlungen

Anubis arbeitet mit einem Ransomware-as-a-Service (RaaS)-Modell und bietet seinen Partnern lukrative Anreize. Das Programm umfasst:

• 80:20-Aufteilung für traditionelle Lösegeldzahlungen (Partner behalten 80 %)
• 60:40-Aufteilung bei Datenerpressungssystemen
• 50:50-Aufteilung für die Monetarisierung des Zugriffs (Verkauf nicht autorisierter Zugriffe auf Systeme)

Diese flexiblen Gewinnbeteiligungsvereinbarungen sollen ein breites Spektrum an Bedrohungsakteuren anziehen.

Ausgefeilte Angriffskette: Vom Phishing bis zum Löschen von Dateien

Anubis-Angriffe beginnen typischerweise mit Phishing-E-Mails als erstem Einstiegspunkt. Sobald ein System kompromittiert ist, führen Angreifer Folgendes aus:

• Rechte erweitern
• Aufklärung durchführen
• Löschen Sie Volumeschattenkopien, um eine Wiederherstellung zu verhindern
• Dateien verschlüsseln
• Optionales Löschen von Daten, falls entsprechend konfiguriert

Diese Abfolge soll den Opfern maximalen Schaden und psychischen Druck zufügen.

WIPEMODE: Den Druck auf die Opfer erhöhen

Ein herausragendes Merkmal von Anubis ist der Parameter /WIPEMODE, der das dauerhafte Löschen von Dateiinhalten ermöglicht. Interessanterweise behält die Malware Dateinamen und -erweiterungen bei, reduziert die Dateigröße jedoch auf 0 KB, wodurch Wiederherstellungsversuche erfolglos bleiben. Diese Funktion erhöht den Zahlungsdruck auf die Opfer erheblich und entspricht den Taktiken aggressiver und gut organisierter Ransomware-Gruppen.

Fazit: Nie stand mehr auf dem Spiel

Mit seiner Kombination aus Dateiverschlüsselung und unwiderruflicher Datenlöschung setzt Anubis einen gefährlichen neuen Präzedenzfall in der Entwicklung von Ransomware. Seine operative Raffinesse, seine Monetarisierungsmöglichkeiten und seine zerstörerischen Fähigkeiten machen ihn zu einer gewaltigen Bedrohung, die Unternehmen nicht ignorieren dürfen. Wachsamkeit, Benutzerbewusstsein und robuste Verteidigungsstrategien sind wichtiger denn je.