Anubis 勒索软件攻击 Android 与 Windows 用户：加密文件并窃取登录凭证

一种新型且极具威胁性的勒索软件正在地下黑客圈快速传播，具备双平台攻击能力，能够同时针对 Android 和 Windows 系统实施文件加密与凭证窃取攻击。

Anubis 勒索软件首次被发现是在 2024 年 11 月，它代表了恶意软件设计的一次危险升级：结合传统勒索软件的破坏性加密能力与银行木马的凭证窃取技巧，形成了一个高度复杂的跨平台威胁。这一恶意软件的出现，正值全球勒索软件攻击激增之际。

根据最新威胁情报数据显示，全球在泄密站点上被公开披露的勒索软件受害者数量同比增长了近 25%，而勒索软件组织运营的泄密站数量也增加了 53%。Anubis 的活跃攻击行为，是这一统计数据显著上升的推动因素之一，特别是它频繁攻击医疗、建筑和专业服务等关键基础设施和高价值目标。

安全研究公司 Bitsight 将 Anubis 列为特别危险的威胁，原因在于其高度成熟的双平台攻击策略和破坏性功能。研究还发现，该勒索组织在暗网上采用了独特的“勒索即服务（RaaS）”模式，允许不同附属攻击者灵活参与并按比例分成。

与其他勒索软件家族不同，Anubis 融入了“永久数据删除”机制，一些受害者即便支付赎金，仍报告数据彻底丢失，无法恢复。

攻击流程：从鱼叉式钓鱼到多重数据窃取

Anubis 攻击的起点通常是精心伪造的钓鱼邮件，通过看似可信的邮件渠道向用户投递恶意载荷。

在 Android 设备上，Anubis 主要作为银行木马运作，通过伪装成正规应用界面的浮层钓鱼页面来窃取用户登录凭据。同时，它还会在后台执行屏幕录制与按键记录（Keylogging）操作，以获取更多认证信息。

更具传播性的特点在于：它会利用受害者的联系人列表批量发送短信，将自身扩散至更多设备，实现快速蔓延。

高级执行能力与持久化机制

Anubis 拥有极为复杂的执行技术，攻击者可通过配置命令行参数来灵活控制攻击场景，包括：

• /KEY=：加密密钥配置；
• /elevated：提升权限；
• /PATH=：加密目标路径；
• /PFAD=：自定义目录路径；
• /WIPEMODE：数据擦除模式。

在 Windows 系统上，Anubis 使用椭圆曲线集成加密方案（ECIES）对文件进行加密，这种加密算法具备极高的安全性，使得非授权解密几乎不可能实现。

此外，它还会删除系统的“卷影副本”以阻断数据恢复路径，关闭关键系统服务，并通过访问令牌操控等技术进行权限提升。通过这一整套多层攻击机制，Anubis 能够在设备上造成最大破坏，并使得常规的恢复手段失效，从而迫使受害者陷入“支付赎金或永久数据丢失”的两难境地。