FunkSec
FunkSec rappresenta una nuova ondata di gruppi di ransomware assistiti dall'intelligenza artificiale, che fondono la criminalità informatica con l'hacktivismo. Sebbene la loro sofisticazione tecnica sia discutibile, le loro tattiche e la loro visibilità pubblica li rendono una minaccia degna di nota. I team di sicurezza dovrebbero monitorare malware basato sull'intelligenza artificiale e prepararsi ad attacchi ransomware che sfruttano l'automazione e tattiche di inganno.
La storia di FunkSec
FunkSec è un gruppo di ransomware emerso alla fine del 2024, che ha rapidamente acquisito notorietà per l'elevato numero di vittime dichiarate pubblicamente. A differenza di altre bande di ransomware consolidate, FunkSec sembra essere un'organizzazione relativamente nuova e indipendente, senza legami noti con precedenti famiglie di ransomware. Il gruppo ricorre a tattiche di doppia estorsione, combinando la crittografia dei dati con il furto degli stessi per costringere le vittime a pagare il riscatto.
Una caratteristica fondamentale di FunkSec è malware assistito dall'intelligenza artificiale, che consente anche agli attori meno esperti di creare e perfezionare rapidamente strumenti dannosi. Il gruppo sembra operare a cavallo tra l'hacktivismo e la criminalità informatica, rendendo difficile determinare le sue reali motivazioni. È emerso che alcuni dei loro set di dati trapelati sono stati riutilizzati da precedenti campagne hacktiviste, mettendo in dubbio l'autenticità delle loro rivelazioni.
Sebbene FunkSec si presenti come una sofisticata operazione di ransomware-as-a-service (RaaS), i ricercatori nel campo della sicurezza hanno individuato diversi indizi che indicano come le competenze tecniche del gruppo siano limitate. La maggior parte delle loro attività sembra essere motivata dal desiderio di notorietà piuttosto che dal guadagno economico, come dimostrano le modeste richieste di riscatto e le iniziative promozionali pubbliche sui forum dedicati alla criminalità informatica.
Fonte: Checkpoint
Paesi destinatari
La maggior parte delle vittime dichiarate da FunkSec proviene dall'India e dagli Stati Uniti, mentre altri attacchi hanno preso di mira organizzazioni europee e mediorientali. La loro adesione al movimento "Free Palestine" fa supporre una possibile motivazione geopolitica, anche se potrebbe trattarsi più di una questione di immagine che di un vero e proprio intento politico.
Settori di riferimento
FunkSec non sembra concentrarsi su un unico settore, ma ha sferrato attacchi contro istituzioni governative, strutture sanitarie, servizi finanziari e aziende tecnologiche. Il modello "ransomware-as-a-service" (RaaS) del gruppo consente a numerosi affiliati di utilizzare i suoi strumenti, ampliando così la cerchia delle potenziali vittime. Alcuni dei settori presi di mira sono in linea con le motivazioni degli hacktivisti, in particolare le agenzie governative e le infrastrutture.
Fonte dell'immagine: PCrisk
Vittime illustri
Si stima che circa 138 organizzazioni siano state vittime degli attacchi di FunkSec.
Il metodo di attacco di FunkSec
FunkSec ottiene l'accesso tramite phishing , credential stuffing e sfruttando le vulnerabilità non corrette nei sistemi esposti. Inoltre, utilizza le credenziali rubate reperite nei forum del dark web.
Il gruppo cerca di ottenere privilegi più elevati ricorrendo a tecniche di furto delle credenziali, alla manipolazione dei token e allo sfruttamento di configurazioni errate negli ambienti Windows.
FunkSec disattiva Windows Defender, la registrazione degli eventi e le funzionalità di sicurezza di PowerShell per eludere il rilevamento. Il loro ransomware è compilato in Rust, il che può rendere più difficili l'analisi e il rilevamento.
Utilizzano keylogger e strumenti per il furto di password come funkgenerate, che raccoglie le credenziali da sistemi e siti web compromessi.
FunkSec esegue una scansione delle reti infette per individuare i file importanti e stabilire quali siano le risorse più critiche da crittografare.
Utilizzano strumenti HVNC (Hidden Virtual Network Computing) e vulnerabilità del desktop remoto per muoversi all'interno delle reti compromesse.
Il gruppo sottrae file sensibili utilizzando script Python personalizzati e strumenti standard come Rclone, prima di crittografare i dati della vittima.
Il ransomware basato su Rust crittografa i file utilizzando l'algoritmo ChaCha20, aggiunge l'estensione ".funksec" e lascia una richiesta di riscatto.
I dati rubati vengono caricati sul sito di divulgazione del dark web di FunkSec, dove vengono resi pubblici o venduti a terzi.
Il ransomware elimina le copie di backup, interrompe le operazioni chiudendo i processi e modifica le impostazioni di sistema (ad esempio, oscurando lo sfondo del desktop).
FunkSec ottiene l'accesso tramite phishing , credential stuffing e sfruttando le vulnerabilità non corrette nei sistemi esposti. Inoltre, utilizza le credenziali rubate reperite nei forum del dark web.
Il gruppo cerca di ottenere privilegi più elevati ricorrendo a tecniche di furto delle credenziali, alla manipolazione dei token e allo sfruttamento di configurazioni errate negli ambienti Windows.
FunkSec disattiva Windows Defender, la registrazione degli eventi e le funzionalità di sicurezza di PowerShell per eludere il rilevamento. Il loro ransomware è compilato in Rust, il che può rendere più difficili l'analisi e il rilevamento.
Utilizzano keylogger e strumenti per il furto di password come funkgenerate, che raccoglie le credenziali da sistemi e siti web compromessi.
FunkSec esegue una scansione delle reti infette per individuare i file importanti e stabilire quali siano le risorse più critiche da crittografare.
Utilizzano strumenti HVNC (Hidden Virtual Network Computing) e vulnerabilità del desktop remoto per muoversi all'interno delle reti compromesse.
Il gruppo sottrae file sensibili utilizzando script Python personalizzati e strumenti standard come Rclone, prima di crittografare i dati della vittima.
Il ransomware basato su Rust crittografa i file utilizzando l'algoritmo ChaCha20, aggiunge l'estensione ".funksec" e lascia una richiesta di riscatto.
I dati rubati vengono caricati sul sito di divulgazione del dark web di FunkSec, dove vengono resi pubblici o venduti a terzi.
Il ransomware elimina le copie di backup, interrompe le operazioni chiudendo i processi e modifica le impostazioni di sistema (ad esempio, oscurando lo sfondo del desktop).