FunkSec Ransomware

Badacze cyberbezpieczeństwa odkryli niedawno FunkSec, rodzinę ransomware wspomaganą sztuczną inteligencją, która pojawiła się pod koniec 2024 roku. Pomimo stosunkowo nowej pozycji, grupa ta dotknęła już ponad 85 ofiar w wielu krajach. Ich działania łączą kradzież danych z szyfrowaniem w ramach podwójnego wymuszenia, ale tym, co ich wyróżnia, są niezwykle niskie żądania okupu, czasami sięgające zaledwie 10 000 dolarów. Zamiast polegać wyłącznie na okupie, FunkSec sprzedaje również skradzione dane po obniżonych cenach.

Rozszerzanie działalności poprzez centralny węzeł

W grudniu 2024 roku FunkSec uruchomił własną platformę do wykrywania wycieków danych (DLS), centralizując wszystkie swoje działania. Platforma obsługuje zgłoszenia naruszeń, niestandardowe narzędzie do rozproszonej odmowy usługi (DDoS) oraz dedykowaną ofertę grupy w zakresie oprogramowania ransomware w ramach modelu Ransomware-as-a-Service (RaaS). Ta infrastruktura podkreśla starania FunkSec o budowanie wiarygodności w cyberprzestępczym podziemiu.

Globalny zasięg, początkujący aktorzy

Ofiary znajdują się głównie w Stanach Zjednoczonych, Indiach, Włoszech, Brazylii, Izraelu, Hiszpanii i Mongolii. Pomimo szybkiej ekspansji, analizy sugerują, że FunkSec może być dziełem stosunkowo niedoświadczonych operatorów. Grupa najwyraźniej wykorzystuje dane pochodzące ze starszych wycieków hakerskich, aby poprawić swoją reputację.

Co ciekawe, FunkSec działa również jako usługa pośrednictwa w handlu danymi, oferując skradzione informacje zainteresowanym nabywcom za kwotę od 1000 do 5000 dolarów. Ta podwójna rola jeszcze bardziej zaciera granicę między cyberprzestępczością a haktywizmem.

Powiązania polityczne i linki hakerskie

Grupa podejmowała próby nawiązania relacji z ruchem „Wolna Palestyna”, nawiązując jednocześnie do nieistniejących już kolektywów hakerskich, takich jak Ghost Algeria i Cyb3r Fl00d. Niektórzy członkowie FunkSec wykazują również bezpośrednie tendencje hakerskie, co wzmacnia trwającą zbieżność między aktywizmem politycznym, zorganizowaną cyberprzestępczością i operacjami w stylu państw narodowych.

Kluczowe postacie FunkSec

Badacze zidentyfikowali kilka wybitnych osób powiązanych z FunkSec:

• Scorpion (znany również jako DesertStorm) – algierski aktor promujący grupę na podziemnych forach, takich jak Breached Forum.
• El_farado – pojawił się jako główny promotor po tym, jak DesertStorm został zbanowany na Breached Forum.
• XTN – prawdopodobnie zarządza nieznaną usługą „sortowania danych”.
• Blako – często wspominany obok El_farado przez DesertStorm.

Narzędzia i techniki oparte na sztucznej inteligencji

Zestaw narzędzi FunkSec wykracza poza oprogramowanie ransomware i obejmuje narzędzia do zdalnego zarządzania pulpitem (JQRAXY_HVNC), generowania haseł (funkgenerate) oraz ataków DDoS. Naukowcy uważają, że w opracowaniu ich programu szyfrującego ransomware i powiązanych narzędzi wykorzystano sztuczną inteligencję, co umożliwiło szybką iterację pomimo ograniczonej wiedzy technicznej.

Najnowsza wersja, FunkSec V1.5, została napisana w języku Rust. Wcześniejsze warianty, przesłane głównie z Algierii, zawierały odniesienia do FunkLockera i Ghost Algeria, co sugeruje algierskie powiązanie z głównym twórcą.

Zachowanie techniczne złośliwego oprogramowania

Po uruchomieniu ransomware FunkSec jest skonfigurowany tak, aby:

• Zwiększ uprawnienia.
• Wyłącz kontrolę bezpieczeństwa.
• Usuń kopie zapasowe w tle.
• Zakończ zakodowaną na stałe listę procesów i usług.
• Rekurencyjnie szyfruj pliki we wszystkich katalogach.

Ten łańcuch operacyjny podkreśla ich zdolność do zakłócania systemów pomimo ich początkującego doświadczenia.

Nieostra granica między ideologią a zyskiem

Rok 2024 przyniósł znaczący wzrost liczby operacji ransomware na całym świecie, a konflikty geopolityczne dodatkowo podsycały aktywność hakerów. FunkSec uosabia tę niepokojącą mieszankę retoryki politycznej i motywacji finansowej, stając się w grudniu 2024 roku jedną z najaktywniejszych grup ransomware. Chociaż ich wykorzystanie sztucznej inteligencji i recykling wycieków danych przyciągnęło uwagę, długoterminowy sukces ich kampanii pozostaje niepewny.