Logiciel malveillant Anubis RaaS

Une nouvelle souche de rançongiciel a suscité de vives inquiétudes au sein de la communauté de la cybersécurité en raison de sa double capacité inédite : chiffrer les fichiers et les effacer définitivement. Décrit par les experts comme une « double menace rare », ce logiciel malveillant inclut un « mode d'effacement » qui rend la récupération des données impossible, même en cas de paiement d'une rançon.

Découvrez Anubis : une opération impitoyable de ransomware en tant que service

L'opération de rançongiciel, connue sous le nom d'Anubis, a émergé en décembre 2024 et a déjà fait des victimes dans les secteurs de la santé, de l'hôtellerie et de la construction en Australie, au Canada, au Pérou et aux États-Unis. Les premiers échantillons ont révélé que le malware était initialement baptisé Sphinx, mais que ses développeurs l'avaient ensuite rebaptisé sous son nom actuel.

Il est important de noter que cette opération Anubis n'est pas liée au cheval de Troie bancaire Android ou à la porte dérobée basée sur Python également nommée Anubis, cette dernière étant liée au groupe FIN7 (alias GrayAlpha) motivé par des raisons financières.

Programme d’affiliation flexible avec des gains élevés

Anubis fonctionne selon un modèle de rançongiciel en tant que service (RaaS), offrant à ses affiliés des avantages lucratifs. Le programme comprend :

• Répartition 80-20 pour les paiements de rançon traditionnels (les affiliés conservent 80 %)
• Répartition 60-40 pour les schémas d'extorsion de données
• Partage 50-50 pour la monétisation de l'accès (vente d'accès non autorisés aux systèmes)

Ces accords flexibles de partage des bénéfices sont conçus pour attirer un large éventail d’acteurs de la menace.

Chaîne d’attaque sophistiquée : du phishing à l’effacement de fichiers

Les attaques Anubis commencent généralement par des e-mails d'hameçonnage. Une fois le système compromis, les attaquants :

• Augmenter les privilèges
• Effectuer une reconnaissance
• Supprimer les clichés instantanés de volume pour empêcher la récupération
• Crypter les fichiers
• Effacer éventuellement les données si configuré pour le faire

Cette séquence est conçue pour garantir un maximum de dommages et de pression psychologique sur les victimes.

WIPEMODE : Faire monter la pression sur les victimes

L'une des fonctionnalités phares d'Anubis est le paramètre /WIPEMODE, qui permet la suppression définitive du contenu des fichiers. Il est intéressant de noter que le malware préserve les noms et extensions des fichiers, mais réduit leur taille à 0 Ko, rendant toute tentative de récupération vaine. Cette fonctionnalité accroît considérablement la pression sur les victimes pour qu'elles paient, ce qui correspond aux tactiques employées par des groupes de rançongiciels agressifs et bien organisés.

Conclusion : les enjeux n’ont jamais été aussi élevés

Avec sa combinaison de chiffrement de fichiers et d'effacement irréversible des données, Anubis crée un précédent dangereux dans l'évolution des ransomwares. Sa sophistication opérationnelle, ses options de monétisation et ses capacités destructrices en font une menace redoutable que les entreprises ne peuvent se permettre d'ignorer. La vigilance, la sensibilisation des utilisateurs et des stratégies de défense robustes sont plus cruciales que jamais.