Рансъмуер FunkSec
Изследователи по киберсигурност наскоро разкриха FunkSec, семейство рансъмуер програми, подпомагани от изкуствен интелект, което се появи в края на 2024 г. Въпреки че е сравнително нова, групата вече е засегнала повече от 85 жертви в множество страни. Техните операции съчетават кражба на данни с криптиране в схема за двойно изнудване, но това, което ги отличава, са необичайно ниските им искания за откуп, понякога едва 10 000 долара. Вместо да разчита единствено на плащания за откуп, FunkSec продава и откраднати данни на намалени цени.
Съдържание
Разширяване на операциите чрез централен хъб
През декември 2024 г. FunkSec стартира собствен сайт за изтичане на данни (DLS), централизирайки всички свои дейности. Платформата предлага съобщения за нарушения, персонализиран разпределен инструмент за отказ на услуга (DDoS) и специално разработено предложение за ransomware на групата като част от модела Ransomware-as-a-Service (RaaS). Тази инфраструктура подчертава опитите на FunkSec да изгради доверие в киберпрестъпния ъндърграунд.
Глобален обхват, Начинаещи актьори
Жертвите се намират предимно в САЩ, Индия, Италия, Бразилия, Израел, Испания и Монголия. Въпреки бързото им разрастване, анализите показват, че FunkSec може да е дело на сравнително неопитни оператори. Групата изглежда рециклира данни от по-стари течове на хакерски активисти в опит да подобри репутацията си.
Интересното е, че FunkSec служи и като услуга за посредничество на данни, предлагайки открадната информация на заинтересовани купувачи за $1000 до $5000. Тази двойна роля допълнително размива границата между киберпрестъпността и хакерството.
Политически връзки и връзки с хактивисти
Групата е правила опити да се присъедини към движението „Свободна Палестина“, като същевременно се позовава на вече несъществуващи хактивистки колективи като Ghost Algeria и Cyb3r Fl00d. Някои членове на FunkSec също показват директни хактивистки наклонности, засилвайки продължаващата конвергенция между политическия активизъм, организираната киберпрестъпност и операциите от типа на националната държава.
Ключови фигури зад FunkSec
Изследователите са идентифицирали няколко видни личности, свързани с FunkSec:
- Scorpion (известен още като DesertStorm) – актьор, базиран в Алжир, който промотира групата в подземни форуми като Breached Forum.
- El_farado – Появява се като основен промоутър, след като DesertStorm е баннат от Breached Forum.
- XTN – Смята се, че управлява неизвестна услуга за „сортиране на данни“.
- Блако – Често споменаван заедно с Ел_фарадо от DesertStorm.
- Бьорка – Индонезийски хакер-активист, чийто псевдоним е свързан с изтичане на FunkSec в DarkForums, било то като сътрудник или опит за представяне за друг човек.
Инструменти и техники, задвижвани от изкуствен интелект
Инструментариумът на FunkSec се простира отвъд ransomware, включително помощни програми за управление на отдалечен работен плот (JQRAXY_HVNC), генериране на пароли (funkgenerate) и DDoS атаки. Изследователите смятат, че разработването на техния ransomware криптиращ инструмент и свързаните с него инструменти е било подпомогнато от изкуствен интелект, което позволява бърза итерация въпреки ограничената техническа експертиза.
Най-новата версия, FunkSec V1.5, е написана на Rust. По-ранните варианти, качени предимно от Алжир, съдържаха препратки към FunkLocker и Ghost Algeria, което предполага алжирска връзка с основния разработчик.
Техническо поведение на зловредния софтуер
Когато се изпълни, рансъмуерът FunkSec е конфигуриран да:
- Увеличете привилегиите.
- Деактивирайте контролите за сигурност.
- Изтрийте резервните копия на сянка.
- Прекратете твърдо кодиран списък с процеси и услуги.
- Рекурсивно криптиране на файлове във всички директории.
Тази оперативна верига подчертава способността им да нарушават системите, въпреки начина им на работа.
Размита граница между идеологията и печалбата
2024 година отбеляза значителен ръст на операциите с ransomware в световен мащаб, като геополитическите конфликти допълнително подхранват хакерската активност. FunkSec олицетворява тази тревожна смесица от политическа реторика и финансова мотивация, утвърждавайки се като една от най-активните групи за ransomware през декември 2024 г. Въпреки че зависимостта им от изкуствен интелект и рециклирани течове на информация им е спечелила внимание, дългосрочният успех на кампанията им остава несигурен.
