FunkSec Ransomware

Cercetătorii în domeniul securității cibernetice au descoperit recent FunkSec, o familie de ransomware asistate de inteligență artificială care a apărut la sfârșitul anului 2024. Deși este relativ nouă, grupul a afectat deja peste 85 de victime în mai multe țări. Operațiunile lor combină furtul de date cu criptarea într-o schemă de dublă extorcare, dar ceea ce îi diferențiază sunt cererile lor de răscumpărare neobișnuit de mici, uneori de doar 10.000 de dolari. În loc să se bazeze exclusiv pe plăți de răscumpărare, FunkSec vinde și date furate la prețuri reduse.

Extinderea operațiunilor prin intermediul unui hub central

În decembrie 2024, FunkSec a lansat propriul site de scurgeri de date (DLS), centralizând toate activitățile sale. Platforma găzduiește anunțuri de breșe de securitate, un instrument personalizat de tip denial-of-service distribuit (DDoS) și oferta personalizată de ransomware a grupului, ca parte a unui model Ransomware-as-a-Service (RaaS). Această infrastructură evidențiază încercările FunkSec de a-și construi credibilitatea în comunitatea infractorilor cibernetici clandestini.

Acoperire globală, Actori începători

Victimele se află în principal în SUA, India, Italia, Brazilia, Israel, Spania și Mongolia. În ciuda expansiunii lor rapide, analizele sugerează că FunkSec ar putea fi opera unor operatori relativ lipsiți de experiență. Grupul pare să recicleze date din scurgeri de informații mai vechi ale hacktiviștilor, în încercarea de a-și spori reputația.

Interesant este că FunkSec funcționează și ca un serviciu de brokeraj de date, oferind informații furate cumpărătorilor interesați pentru 1.000 până la 5.000 de dolari. Acest rol dublu estompează și mai mult linia dintre criminalitatea cibernetică și hacktivism.

Legături politice și legături hacktiviste

Grupul a încercat să se alinieze cu mișcarea „Palestina Liberă”, făcând referire la colective hacktiviste, acum dispărute, precum Ghost Algeria și Cyb3r Fl00d. Unii membri ai FunkSec prezintă, de asemenea, tendințe hacktiviste directe, întărind convergența continuă dintre activismul politic, criminalitatea cibernetică organizată și operațiunile de tip stat-națiune.

Figuri cheie din spatele FunkSec

Cercetătorii au identificat mai multe persoane proeminente conectate la FunkSec:

• Scorpion (cunoscut și sub numele de DesertStorm) – Un actor din Algeria care promovează grupul pe forumuri underground precum Breached Forum.
• El_farado – A apărut ca promotor principal după ce DesertStorm a fost interzis de pe forumul Breached.
• XTN – Se crede că gestionează un serviciu necunoscut de „sortare a datelor”.
• Blako – Menționat frecvent alături de El_farado de DesertStorm.

Instrumente și tehnici bazate pe inteligență artificială

Setul de instrumente FunkSec se extinde dincolo de ransomware, incluzând utilitare pentru gestionarea desktop-ului la distanță (JQRAXY_HVNC), generarea de parole (funkgenerate) și atacuri DDoS. Cercetătorii cred că dezvoltarea criptorului lor ransomware și a instrumentelor aferente a fost asistată de inteligența artificială, permițând o iterație rapidă în ciuda expertizei tehnice limitate.

Cea mai recentă versiune, FunkSec V1.5, este scrisă în Rust. Variantele anterioare, încărcate în principal din Algeria, conțineau referințe la FunkLocker și Ghost Algeria, sugerând o legătură algeriană cu dezvoltatorul principal.

Comportamentul tehnic al malware-ului

Când este executat, ransomware-ul FunkSec este configurat să:

• Escaladarea privilegiilor.
• Dezactivați controalele de securitate.
• Ștergeți copiile de rezervă din umbră.
• Terminați o listă hard-coded de procese și servicii.
• Criptează recursiv fișierele în toate directoarele.

Acest lanț operațional subliniază capacitatea lor de a perturba sistemele, în ciuda experienței lor de novice.

O linie neclară între ideologie și profit

Anul 2024 a marcat o creștere semnificativă a operațiunilor ransomware la nivel global, conflictele geopolitice alimentând și mai mult activitatea hacktivistă. FunkSec întruchipează acest amestec tulburător de retorică politică și motivație financiară, impunându-se ca unul dintre cele mai active grupuri ransomware în decembrie 2024. Deși dependența lor de inteligența artificială și scurgerile de informații reciclate le-a atras atenția, succesul pe termen lung al campaniei lor rămâne incert.