group-telegram.com/true_secator/6787
Last Update:
Исследователи Kela сообщают о новой банде вымогателей Anubis, работающей в формате RaaS, но с более широким портфелем услуг для операторов.
Банда образовалась в конце 2024 года и включает опытных в теме ransomware участников.
Как и большинство других современных групп, Anubis практикует двойное вымогательство, но в более современных форматах партнерских программ, анонсированных на RAMP.
Среди них - Anubis Ransomware, Anubis Data Ransom и Access Monetization.
Первый вариант - классическое вымогательство, предлагающее оператору до 80% от полученного выкупа. Вредоносное ПО написано на ChaCha+ECIES, нацелено на среды Windows, Linux, NAS и ESXi x64/x32 и может управляться через веб-портал.
Второй вариант, Data Ransom предоставляет оператору возможность реализовать монетизацию уже украденных данных, которые должны отвечать требованиям эксклюзивности и быть украденными в течение последних шести месяцев.
Anubis предлагает услуги по переговорам для получения выкупа, оказание давления на жертв, включая информирование контрагентов компаний и клиентов, а также публикации в X. В такой схеме доход оператора составляет 60%.
По Access Monetization брокерам доступа выплачивается до 50% от последующего дохода. Доступ относится к целям в США, Европе, Канаде или Австралии, при этом жертва не должна быть атакована другими бандами вымогателей в течение предшествующего года.
Для всех вариантов сотрудничества Anubis установлен запрет работать по странам СНГ.
Anubis также админит свой собственный DLS, на котором к настоящему времени размещаются только три жертвы из США, Австралии и Перу.
Четвертая анонсирована и пока не раскрыта, была добавлена 25 февраля 2025 года. Причем две из трех упомянутых относятся к сфере здравоохранения.
Первой из них является австралийская медицинская фирма Pound Road Medical Centre (PRMC), которая 13 ноября 2024 года официально подтвердила киберинцидент, связанный с кражей данных пациентов.
Однако использование ransomware не упоминается.
По всей видимости, текущие кампании Anubis могут быть сосредоточены на вымогательстве данных, а не на традиционных программах-вымогателях с шифрованием файлов.
Как отмечают в Kela, появление на рынке ransomware нового игрока с новыми условиями RaaS говорит о том, что вымогательство, основанное исключительно на эксфильтрации данных, становится все более распространенной практикой, а Anubis успевает занять нишу.
Тем не менее, отходить от традиционной модели с шифрованием Anubis не планирует, предлагая целый список возможностей шифрования вируса-вымогателя.
В свою очередь, аналитики F6 считают, что Anubis – это усовершенствованная версия партнёрской RaaS-программы InvaderX.
Используется одна и та же схема шифрования – ECIES (алгоритм шифрования на основе эллиптических кривых), которая встречается редко.
Другое совпадение – запрет для партнёров атаковать страны БРИКС, это тоже редкость.
Кроме того, InvaderX перестал обновлять информацию о партнерском сервисе с ноября 2024 года и не активен на форумах как минимум с января 2025-го.
Причем представитель Anubis с псевдонимом superSonic зарегистрирован на форуме полгода назад, а сообщение по Anubis стало для него первым.
Как полагают исследователи, еще следует понаблюдать за новой группой, но замеченная всего за пару месяцев активность указывает на то, что Anubis и создаваемая сеть операторов могут стать серьезной угрозой в течение 2025 года.
В общем, будем посмотреть.
BY SecAtor
Share with your friend now:
group-telegram.com/true_secator/6787