O Ransomware Anubis Destrói Arquivos Mesmo Após o Pagamento

Um novo grupo de ransomware chamado Anubis está chamando a atenção por seus perigosos ataques de dupla ameaça.

O grupo de ransomware Anubis difere do ransomware padrão por incluir um recurso de eliminação de arquivos, o que torna a recuperação impossível, mesmo quando as vítimas pagam o resgate.

“Anubis é uma operação emergente de Ransomware-as-a-Service (RaaS) que combina criptografia de arquivos com destruição de arquivos – uma capacidade de dupla ameaça rara”, relataram os pesquisadores da Trend Micro.

Foi detectado pela primeira vez em dezembro de 2024, quando operava sob o nome de Sphinx. Os desenvolvedores realizaram um ataque completo em toda a indústria dos setores de saúde, construção e engenharia nos Estados Unidos, Canadá, Peru e Austrália.

O programa de afiliados Anubis opera em fóruns em língua russa, fornecendo múltiplas fontes de renda para criminosos cibernéticos através de extorsão de dados, vendas de acesso e ataques de ransomware tradicionais. Como observaram os pesquisadores, “Todas as suas estruturas de compartilhamento de receita propostas estão abertas à negociação para uma cooperação de longo prazo.”

O sistema de malware entra nas redes através de e-mails de phishing, enquanto verifica as permissões de administrador antes de prosseguir. O malware usa criptografia ECIES para bloquear arquivos e também possui um recurso opcional para apagar o conteúdo dos arquivos, o que resulta em arquivos vazios que não podem ser recuperados.

A nota de resgate, intitulada RESTORE FILES.html, alerta as vítimas sobre a divulgação de dados a menos que façam um pagamento. O logotipo da Anubis aparece nos papéis de parede do sistema durante os ataques, mas a modificação falhou durante os testes.

Os especialistas dizem que a função de apagar arquivos é especialmente perigosa. “Essa tendência destrutiva aumenta a pressão sobre as vítimas e eleva as apostas de um ataque já prejudicial”, escreveram eles.

Para se defender contra o Anubis, especialistas recomendam fazer backup dos dados offline, atualizar o software regularmente, limitar o acesso de administrador e treinar a equipe para reconhecer phishing. As organizações devem implementar múltiplas camadas de segurança, que incluem ferramentas que identificam comportamentos suspeitos do sistema em um estágio inicial.