Μια επικίνδυνη αναβάθμιση εντοπίζεται στη λειτουργία του Anubis, μιας νέας υπηρεσίας ransomware-as-a-service (RaaS), καθώς προστέθηκε ένα καταστροφικό εργαλείο wiper. Με τη νέα αυτή δυνατότητα, η επίθεση δεν περιορίζεται στην απλή κρυπτογράφηση των αρχείων, αλλά τα καταστρέφει ολοκληρωτικά, ακυρώνοντας κάθε πιθανότητα ανάκτησης — ακόμη και σε περίπτωση καταβολής λύτρων.
Το Anubis, που δεν σχετίζεται με το ομώνυμο Android malware, έκανε την εμφάνισή του τον Δεκέμβριο του 2024 και από τις αρχές του 2025 παρουσιάζει αυξημένη δραστηριότητα. Η επίσημη είσοδός του στο cybercrime οικοσύστημα έγινε στις 23 Φεβρουαρίου, όταν οι δημιουργοί του ανακοίνωσαν ένα πρόγραμμα συνεργατών (affiliate program) στο γνωστό φόρουμ RAMP.
Σύμφωνα με ανάλυση της KELA, το μοντέλο συνεργασίας του Anubis ransomware είναι ιδιαίτερα δελεαστικό για τους κυβερνοεγκληματίες: οι συνεργάτες ransomware λαμβάνουν το 80% των εσόδων των κακόβουλων επιχειρήσεων, οι εκβιαστές 60% και οι initial access brokers 50%.
Δείτε επίσης: Η επίθεση Fog ransomware χρησιμοποιεί ανοιχτού κώδικα εργαλεία
Παρότι η επίσημη σελίδα εκβιασμού στο dark web αναφέρει προς το παρόν μόνο οκτώ θύματα, οι ειδικοί εκτιμούν ότι ο αριθμός αυτός μπορεί να αυξηθεί ταχύτατα καθώς η τεχνολογική αξιοπιστία της πλατφόρμας ενισχύεται.
Σε σχετική έκθεση της Trend Micro που δημοσιεύθηκε πρόσφατα, αποκαλύπτεται ότι οι προγραμματιστές του Anubis εξελίσσουν συνεχώς τις δυνατότητες του κακόβουλου λογισμικού, με το wiper module να ξεχωρίζει ως η πλέον ανησυχητική καινοτομία. Οι αναλυτές θεωρούν ότι πρόκειται για μια στρατηγική πίεσης, που αποσκοπεί στο να επιταχύνει την πληρωμή των λύτρων, αποτρέποντας κάθε απόπειρα καθυστέρησης ή διαπραγμάτευσης.
«Η προσέγγιση αυτή εντείνει την ψυχολογική πίεση στα θύματα και αυξάνει σημαντικά τους κινδύνους μιας ήδη σοβαρής κυβερνοεπίθεσης», αναφέρει χαρακτηριστικά η έκθεση.
Η λειτουργία wiper ενεργοποιείται με την παράμετρο /WIPEMODE στη γραμμή εντολών και απαιτεί αυθεντικοποίηση μέσω κλειδιού για να τεθεί σε εφαρμογή. Όταν εκτελείται, διαγράφει το περιεχόμενο των αρχείων μειώνοντας το μέγεθός τους σε 0 KB, ενώ ταυτόχρονα διατηρεί ακέραια τη δομή και τα ονόματα των αρχείων. Το αποτέλεσμα είναι ιδιαίτερα παραπλανητικό: το θύμα βλέπει τα αρχεία στη θέση τους, αλλά το περιεχόμενό τους έχει χαθεί οριστικά, χωρίς δυνατότητα ανάκτησης.
Δείτε επίσης: Sensata Technologies: Ransomware επίθεση οδήγησε σε παραβίαση δεδομένων
Επιπλέον, το Anubis ransomware υποστηρίζει ένα ευρύ φάσμα εντολών κατά την εκκίνηση, συμπεριλαμβανομένων λειτουργιών για την κλιμάκωση προνομίων, τον αποκλεισμό συγκεκριμένων φακέλων από την επίθεση και τον ορισμό στόχων για κρυπτογράφηση.
Σε μια ένδειξη τεχνικής ωριμότητας, οι δημιουργοί του Anubis έχουν προβλέψει την εξαίρεση κρίσιμων καταλόγων του συστήματος και βασικών εφαρμογών, ώστε να διασφαλίζεται η συνέχιση της λειτουργίας του συστήματος μετά την επίθεση – μια τακτική που επιτρέπει την εμφάνιση του μηνύματος λύτρων χωρίς πλήρη κατάρρευση του περιβάλλοντος.
Το κακόβουλο λογισμικό διαγράφει επίσης τα Volume Shadow Copies και τερματίζει διεργασίες και υπηρεσίες που ενδέχεται να παρεμποδίζουν την κρυπτογράφηση.
Όσον αφορά στη διαδικασία κρυπτογράφησης, το Anubis ransomware χρησιμοποιεί το πρωτόκολλο ECIES (Elliptic Curve Integrated Encryption Scheme). Τα κρυπτογραφημένα αρχεία αποκτούν την επέκταση .anubis, ενώ ένα HTML αρχείο με σημείωμα λύτρων τοποθετείται στους σχετικούς φακέλους. Επιπλέον, το κακόβουλο λογισμικό προσπαθεί να αλλάξει την ταπετσαρία της επιφάνειας εργασίας, αν και η λειτουργία αυτή φαίνεται να αποτυγχάνει.
Δείτε επίσης: FBI: Το Play ransomware έχει παραβιάσει 900 οργανισμούς
☁️ Κρατήστε ασφαλή αντίγραφα με Proton Drive
Κρυπτογραφημένος cloud αποθηκευτικός χώρος από την Proton — προστατέψτε τα αρχεία σας από ransomware, βλάβες και απώλεια δεδομένων, με end-to-end κρυπτογράφηση.
- ✔ End-to-end κρυπτογραφημένα αρχεία & αντίγραφα
- ✔ Ιστορικό εκδόσεων — ανάκτηση αρχείων μετά από ransomware
- ✔ Δωρεάν χώρος — συγχρονισμός σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η αρχική διείσδυση του Anubis γίνεται κυρίως μέσω phishing emails που περιέχουν κακόβουλους συνδέσμους ή συνημμένα αρχεία. Η Trend Micro έχει δημοσιεύσει αναλυτικά τους δείκτες παραβίασης (IoCs) για όσους επιθυμούν να εντοπίσουν ή να αποτρέψουν πιθανή μόλυνση.
Προστασία από ransomware
- Μείνετε ενημερωμένοι για τις τελευταίες τάσεις και τακτικές ransomware που χρησιμοποιούν οι εισβολείς
- Εφαρμόστε έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) για όλους τους λογαριασμούς χρηστών
- Ενεργοποιήστε firewall σε όλες τις συσκευές που είναι συνδεδεμένες στο δίκτυό σας
- Διατηρήστε τα ευαίσθητα δεδομένα κρυπτογραφημένα
- Ενημερώστε όλες τις συσκευές και τα συστήματά σας με τις πιο πρόσφατες ενημερώσεις ασφαλείας
- Διεξάγετε τακτικούς ελέγχους ασφαλείας και penetration testing
- Χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς πρόσβασης και αλλάξτε τους τακτικά
- Περιορίστε την πρόσβαση των χρηστών μόνο σε απαραίτητα συστήματα και πληροφορίες
- Εξετάστε το ενδεχόμενο χρήσης λύσεων ασφαλείας email για πρόσθετη προστασία από επιθέσεις phishing
- Έχετε ένα σχέδιο ανάκαμψης για γρήγορη αποκατάσταση των συστημάτων σε περίπτωση επίθεσης
- Ενεργοποιήστε την εμφάνιση των επεκτάσεων αρχείων
- Επενδύστε σε λύσεις προηγμένης προστασίας
- Χρησιμοποιήστε sandbox για τα συνημμένα email
- Διατηρείτε αντίγραφα ασφαλείας των δεδομένων σας
Πηγή: www.bleepingcomputer.com
