Malware Anubis RaaS

Una cepa de ransomware recién descubierta ha generado gran preocupación en la comunidad de ciberseguridad debido a su capacidad dual sin precedentes: cifrar archivos y borrarlos permanentemente. Descrito por los expertos como una "doble amenaza poco común", este malware incluye un "modo de borrado" que imposibilita la recuperación de datos, incluso si se paga un rescate.

Conozca Anubis: una operación despiadada de ransomware como servicio

La operación de ransomware, conocida como Anubis, surgió en diciembre de 2024 y ya ha causado víctimas en los sectores de la salud, la hostelería y la construcción en Australia, Canadá, Perú y Estados Unidos. Las muestras iniciales revelaron que el malware se denominaba originalmente Sphinx, pero sus desarrolladores posteriormente lo renombraron con su nombre actual.

Es importante destacar que esta operación de Anubis no está conectada con el troyano bancario de Android ni con el backdoor basado en Python también llamado Anubis, este último vinculado al grupo FIN7 (también conocido como GrayAlpha) con motivaciones financieras.

Programa de afiliados flexible con altos pagos

Anubis opera bajo un modelo de ransomware como servicio (RaaS), que ofrece a sus afiliados incentivos lucrativos. El programa incluye:

• División 80-20 para pagos de rescate tradicionales (los afiliados retienen el 80%)
• División 60-40 para esquemas de extorsión de datos
• División 50-50 para la monetización del acceso (venta de acceso no autorizado a los sistemas)

Estos acuerdos flexibles de participación en las ganancias están diseñados para atraer a una amplia gama de actores amenazantes.

Cadena de ataque sofisticada: desde el phishing hasta el borrado de archivos

Los ataques de Anubis suelen comenzar con correos electrónicos de phishing como punto de entrada. Una vez comprometido un sistema, los atacantes:

• Escalar privilegios
• Realizar reconocimiento
• Eliminar copias de sombra de volumen para evitar la recuperación
• Cifrar archivos
• Borrar datos opcionalmente si está configurado para hacerlo

Esta secuencia está diseñada para garantizar el máximo daño y presión psicológica a las víctimas.

WIPEMODE: Aumentando la presión sobre las víctimas

Una característica destacada de Anubis es el parámetro /WIPEMODE, que permite la eliminación permanente del contenido de los archivos. Curiosamente, el malware conserva los nombres y las extensiones de los archivos, pero reduce su tamaño a 0 KB, lo que hace inútiles los esfuerzos de recuperación. Esta funcionalidad aumenta considerablemente la presión sobre las víctimas para que paguen, en consonancia con las tácticas empleadas por grupos de ransomware agresivos y bien organizados.

Conclusión: Nunca ha habido tanto en juego

Con su combinación de cifrado de archivos y borrado irreversible de datos, Anubis sienta un precedente peligroso en la evolución del ransomware. Su sofisticación operativa, opciones de monetización y capacidades destructivas lo convierten en una amenaza formidable que las organizaciones no pueden permitirse ignorar. La vigilancia, la concienciación del usuario y unas estrategias de defensa robustas son más cruciales que nunca.