Neue Forschungsergebnisse aus fast sechs Monaten Incident-Response-Untersuchungen zeigen die von der Anubis-Ransomware genutzte Angriffstaktik. Somit haben Verteidiger zusätzliche Möglichkeiten, Angriffe frühzeitig zu erkennen und zu stoppen – noch bevor die Ransomware zum Einsatz kommt.
Im Mittelpunkt der Analyse steht nicht die Ransomware selbst, sondern das Vorgehen der Angreifer – wie sie sich initialen Zugriff verschaffen, mithilfe legitimer Administrationswerkzeuge unauffällig in kompromittierten Umgebungen agieren und sich schrittweise bis zur Verschlüsselung vorarbeiten.
So gehen die Angreifer der Anubis-Ransomware vor
Zentrale Erkenntnis: Anubis-Affiliates benötigen keine neuartige Malware, um erheblichen Schaden anzurichten. Stattdessen folgen sie wiederholt einer klar erkennbaren Angriffskette: Sie verschaffen sich zunächst über die Schwachstelle CitrixBleed 2 (CVE-2025-5777) oder mithilfe gültiger VPN-Zugangsdaten Zugriff auf Unternehmensnetzwerke und missbrauchen anschließend legitime Remote-Management- und Fernzugriffswerkzeuge. Entscheidend ist dabei weniger ein einzelnes Tool oder ein bestimmter Kompromittierungsindikator als vielmehr die Abfolge der Aktivitäten.
Weitere Erkenntnisse zur Anubis-Ransomware
Seit Anfang 2026 hat Arctic Wolf Anubis-Intrusionen untersucht, bei denen Angreifer sowohl gültige VPN-Zugangsdaten als auch die Schwachstelle CitrixBleed 2 (CVE-2025-5777) für den Erstzugriff nutzten. Die Ergebnisse liefern neue Erkenntnisse über die Methoden, mit denen sich die Gruppe Zugang zu Unternehmensnetzwerken verschafft.
In mehreren untersuchten Angriffen missbrauchten die Affiliates konsequent legitime Remote-Management- und Administrationswerkzeuge – darunter ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC und Total Software Deployment –, um sich in reguläre IT-Abläufe einzufügen und dauerhaften Zugriff auf kompromittierte Systeme zu behalten.
Die Angreifer hatten es wiederholt auf besonders kritische Systeme wie Microsoft Remote Desktop Services-Server, Domänencontroller, Hypervisoren, Backup-nahe Systeme und NAS-Geräte abgesehen. In einigen Fällen versuchten sie zudem, mithilfe von cloudflared, authentifizierten Proxys und SSH-basiertem SOCKS-Tunneling alternative Kommunikationspfade aufzubauen, um ihre Aktivitäten besser zu verschleiern und die Erkennung sowie Wiederherstellung zu erschweren. In einem frei zugänglichen englischen Blog-Betrag listet Arctic Wolf die technischen Details der Angriffe mit der Anubis-Ransomware auf.
Mehr bei Arcticwolf.com
Über Arctic Wolf Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.