Ransomware FunkSec

Pesquisadores de segurança cibernética descobriram recentemente o FunkSec, uma família de ransomware assistida por IA que surgiu no final de 2024. Apesar de ser relativamente novo, o grupo já impactou mais de 85 vítimas em diversos países. Suas operações combinam roubo de dados com criptografia em um esquema de dupla extorsão, mas o que os diferencia são os resgates excepcionalmente baixos, às vezes de apenas US$ 10.000. Em vez de depender apenas do pagamento de resgate, o FunkSec também vende dados roubados a preços promocionais.

Expandindo as operações por meio de um hub central

Em dezembro de 2024, a FunkSec lançou seu próprio site de vazamento de dados (DLS), centralizando todas as suas atividades. A plataforma hospeda anúncios de violações, uma ferramenta personalizada de negação de serviço distribuída (DDoS) e a oferta de ransomware personalizada do grupo, como parte de um modelo de Ransomware como Serviço (RaaS). Essa infraestrutura destaca as tentativas da FunkSec de construir credibilidade no submundo do crime cibernético.

Alcance global, atores novatos

As vítimas estão localizadas principalmente nos EUA, Índia, Itália, Brasil, Israel, Espanha e Mongólia. Apesar de sua rápida expansão, análises sugerem que o FunkSec pode ser obra de operadores relativamente inexperientes. O grupo parece reciclar dados de vazamentos de hacktivistas mais antigos na tentativa de aumentar sua reputação.

Curiosamente, o FunkSec também atua como um serviço de corretagem de dados, oferecendo informações roubadas a compradores interessados por valores que variam de US$ 1.000 a US$ 5.000. Essa dupla função confunde ainda mais a linha entre crime cibernético e hacktivismo.

Laços políticos e ligações hacktivistas

O grupo tentou se alinhar ao movimento "Palestina Livre", fazendo referência a coletivos hacktivistas extintos, como Ghost Algeria e Cyb3r Fl00d. Alguns membros do FunkSec também demonstram tendências hacktivistas diretas, reforçando a convergência contínua entre ativismo político, crime cibernético organizado e operações no estilo de um Estado-nação.

Principais figuras por trás do FunkSec

Pesquisadores identificaram vários indivíduos proeminentes ligados ao FunkSec:

• Scorpion (também conhecido como DesertStorm) – Um ator da Argélia que promove o grupo em fóruns underground como o Breached Forum.
• El_farado – Surgiu como um dos principais promotores depois que o DesertStorm foi banido do Breached Forum.
• XTN – Acredita-se que gerencia um serviço desconhecido de "classificação de dados".
• Blako – Frequentemente mencionado junto com El_farado por DesertStorm.
• Bjorka – Um hacktivista indonésio cujo pseudônimo foi vinculado a vazamentos do FunkSec no DarkForums, seja como colaborador ou como tentativa de representação.

Ferramentas e técnicas baseadas em IA

O kit de ferramentas da FunkSec vai além do ransomware, incluindo utilitários para gerenciamento remoto de desktops (JQRAXY_HVNC), geração de senhas (funkgenerate) e ataques DDoS. Os pesquisadores acreditam que o desenvolvimento de seu criptografador de ransomware e ferramentas relacionadas foi auxiliado por IA, permitindo uma iteração rápida apesar da limitada expertise técnica.

A versão mais recente, FunkSec V1.5, foi escrita em Rust. Variantes anteriores, enviadas principalmente da Argélia, continham referências ao FunkLocker e ao Ghost Algeria, sugerindo uma ligação argelina com o desenvolvedor principal.

Comportamento técnico do malware

Quando executado, o ransomware FunkSec é configurado para:

• Aumente os privilégios.
• Desabilite os controles de segurança.
• Excluir backups de cópia de sombra.
• Encerrar uma lista codificada de processos e serviços.
• Criptografe recursivamente arquivos em todos os diretórios.

Essa cadeia operacional ressalta sua capacidade de interromper sistemas, apesar de sua experiência como novatos.

Uma linha tênue entre ideologia e lucro

O ano de 2024 marcou um crescimento significativo nas operações de ransomware em todo o mundo, com conflitos geopolíticos alimentando ainda mais a atividade hacktivista. O FunkSec personifica essa mistura preocupante de retórica política e motivação financeira, consolidando-se como um dos grupos de ransomware mais ativos em dezembro de 2024. Embora sua dependência de IA e vazamentos reciclados tenha chamado a atenção, o sucesso a longo prazo de sua campanha permanece incerto.