FunkSec
FunkSec repräsentiert eine neue Welle von KI-gestützten ransomware , die Cyberkriminalität mit Hacktivismus verbinden. Ihre technische Raffinesse ist zwar fragwürdig, aber ihre Taktik und öffentliche Sichtbarkeit machen sie zu einer bemerkenswerten Bedrohung. Sicherheitsteams sollten KI-gesteuerte malware beobachten und sich auf ransomware vorbereiten, die Automatisierung und Täuschungstaktiken nutzen.
FunkSec's Hintergrund
FunkSec ist eine ransomware , die Ende 2024 aufgetaucht ist und aufgrund der hohen Zahl öffentlich gemeldeter Opfer schnell Berühmtheit erlangt hat. Im Gegensatz zu anderen etablierten ransomware scheint FunkSec ein relativ neues und unabhängiges Unternehmen zu sein, das keine bekannten Verbindungen zu früheren ransomware hat. Die Gruppe wendet eine doppelte Erpressungstaktik an und kombiniert Datenverschlüsselung mit Datendiebstahl, um die Opfer zur Zahlung von Lösegeld zu zwingen.
Ein Hauptmerkmal von FunkSec ist die KI-gestützte malware , die es selbst unerfahrenen Akteuren ermöglicht, bösartige Tools schnell zu erstellen und zu verbessern. Die Gruppe scheint an der Schnittstelle von Hacktivismus und Cyberkriminalität zu operieren, was es schwierig macht, ihre wahren Beweggründe zu ermitteln. Einige der durchgesickerten Datensätze wurden aus früheren Hacktivismus-Kampagnen wiederverwendet, was Zweifel an der Authentizität ihrer Enthüllungen aufkommen lässt.
FunkSec stellt sich selbst als hochentwickeltes ransomware(RaaS)-Unternehmen dar, doch Sicherheitsforscher haben mehrere Anzeichen dafür gefunden, dass die technischen Kenntnisse der Gruppe begrenzt sind. Die meisten ihrer Aktivitäten scheinen eher von dem Wunsch nach Berühmtheit als nach finanziellem Gewinn angetrieben zu werden, wie die niedrigen Lösegeldforderungen und die öffentlichen Werbemaßnahmen in Cybercrime-Foren zeigen.
Quelle: Checkpoint
Ziele
FunkSec's Ziele
Zielländer
Die meisten Opfer von FunkSec stammen aus Indien und den Vereinigten Staaten, weitere Angriffe richteten sich gegen europäische und nahöstliche Organisationen. Ihre Ausrichtung auf die Bewegung "Free Palestine" lässt auf eine mögliche geopolitische Motivation schließen, auch wenn es sich dabei eher um ein Branding als um tatsächliche politische Absichten handeln könnte.
Zielgerichtete Industrien
FunkSec scheint sich nicht auf eine bestimmte Branche zu konzentrieren, sondern hat bereits Regierungseinrichtungen, das Gesundheitswesen, Finanzdienstleistungen und Technologieunternehmen angegriffen. Das ransomware(RaaS)-Modell der Gruppe ermöglicht es mehreren angeschlossenen Unternehmen, ihre Tools zu nutzen, wodurch der Kreis der potenziellen Opfer erweitert wird. Einige Zielbranchen stimmen mit den Motiven der Hacktivisten überein, insbesondere Regierungsbehörden und Infrastruktur.
Bildquelle: PCrisk
Zielgerichtete Industrien
FunkSec scheint sich nicht auf eine bestimmte Branche zu konzentrieren, sondern hat bereits Regierungseinrichtungen, das Gesundheitswesen, Finanzdienstleistungen und Technologieunternehmen angegriffen. Das ransomware(RaaS)-Modell der Gruppe ermöglicht es mehreren angeschlossenen Unternehmen, ihre Tools zu nutzen, wodurch der Kreis der potenziellen Opfer erweitert wird. Einige Zielbranchen stimmen mit den Motiven der Hacktivisten überein, insbesondere Regierungsbehörden und Infrastruktur.
Bildquelle: PCrisk
Bemerkenswerte Opfer
Schätzungsweise 138 Organisationen sind bereits Opfer von FunkSec-Angriffen geworden.
Angriffsmethode
Die Angriffsmethode von FunkSec
FunkSec verschafft sich Zugang über phishing , das Ausfüllen von Anmeldeinformationen und das Ausnutzen ungepatchter Schwachstellen in gefährdeten Systemen. Außerdem nutzen sie gestohlene Anmeldedaten, die sie in Dark-Web-Foren gefunden haben.
Die Gruppe versucht, ihre Privilegien mithilfe von Techniken zum Diebstahl von Anmeldeinformationen, Token-Manipulation und Ausnutzung von Fehlkonfigurationen in Windows-Umgebungen zu erweitern.
FunkSec deaktiviert Windows Defender, Ereignisprotokollierung und PowerShell-Sicherheitsfunktionen, um eine Erkennung zu vermeiden. Ihre ransomware ist in Rust kompiliert, was die Analyse und Erkennung erschweren kann.
Sie setzen Keylogger und Tools zum Auslesen von Passwörtern ein, wie z. B. funkgenerate, das Anmeldedaten von kompromittierten Systemen und Websites sammelt.
FunkSec scannt infizierte Netzwerke, um wertvolle Dateien zu finden und die wichtigsten zu verschlüsselnden Daten zu ermitteln.
Sie verwenden HVNC-Tools (Hidden Virtual Network Computing) und Remote-Desktop-Exploits, um sich in kompromittierten Netzwerken zu bewegen.
Die Gruppe exfiltriert sensible Dateien mithilfe von benutzerdefinierten Python-Skripten und Standardtools wie Rclone, bevor sie die Daten der Opfer verschlüsselt.
Die auf Rust basierende ransomware verschlüsselt Dateien mit ChaCha20-Verschlüsselung, fügt die Erweiterung ".funksec" hinzu und hinterlässt eine Lösegeldforderung.
Die gestohlenen Daten werden auf die Dark-Web-Leak-Site von FunkSec hochgeladen, wo sie entweder öffentlich zugänglich gemacht oder an Dritte verkauft werden.
Die ransomware löscht Schattenkopien, unterbricht den Betrieb durch das Beenden von Prozessen und ändert die Systemeinstellungen (z. B. verdunkelt sie den Desktop-Hintergrund).
Erster Zugang
FunkSec verschafft sich Zugang über phishing , das Ausfüllen von Anmeldeinformationen und das Ausnutzen ungepatchter Schwachstellen in gefährdeten Systemen. Außerdem nutzen sie gestohlene Anmeldedaten, die sie in Dark-Web-Foren gefunden haben.
Rechte-Eskalation
Die Gruppe versucht, ihre Privilegien mithilfe von Techniken zum Diebstahl von Anmeldeinformationen, Token-Manipulation und Ausnutzung von Fehlkonfigurationen in Windows-Umgebungen zu erweitern.
Verteidigung Umgehung
FunkSec deaktiviert Windows Defender, Ereignisprotokollierung und PowerShell-Sicherheitsfunktionen, um eine Erkennung zu vermeiden. Ihre ransomware ist in Rust kompiliert, was die Analyse und Erkennung erschweren kann.
Zugang zu Anmeldeinformationen
Sie setzen Keylogger und Tools zum Auslesen von Passwörtern ein, wie z. B. funkgenerate, das Anmeldedaten von kompromittierten Systemen und Websites sammelt.
Entdeckung
FunkSec scannt infizierte Netzwerke, um wertvolle Dateien zu finden und die wichtigsten zu verschlüsselnden Daten zu ermitteln.
Seitliche Bewegung
Sie verwenden HVNC-Tools (Hidden Virtual Network Computing) und Remote-Desktop-Exploits, um sich in kompromittierten Netzwerken zu bewegen.
Sammlung
Die Gruppe exfiltriert sensible Dateien mithilfe von benutzerdefinierten Python-Skripten und Standardtools wie Rclone, bevor sie die Daten der Opfer verschlüsselt.
Ausführung
Die auf Rust basierende ransomware verschlüsselt Dateien mit ChaCha20-Verschlüsselung, fügt die Erweiterung ".funksec" hinzu und hinterlässt eine Lösegeldforderung.
Exfiltration
Die gestohlenen Daten werden auf die Dark-Web-Leak-Site von FunkSec hochgeladen, wo sie entweder öffentlich zugänglich gemacht oder an Dritte verkauft werden.
Auswirkungen
Die ransomware löscht Schattenkopien, unterbricht den Betrieb durch das Beenden von Prozessen und ändert die Systemeinstellungen (z. B. verdunkelt sie den Desktop-Hintergrund).
MITRE ATT&CK Kartierung
FunkSecs TTPs
TA0001: Initial Access
T1566
Phishing
T1190
Exploit Public-Facing Application
TA0002: Execution
T1204
User Execution
TA0003: Persistence
No items found.
TA0004: Privilege Escalation
T1134
Access Token Manipulation
T1068
Exploitation for Privilege Escalation
TA0005: Defense Evasion
T1134
Access Token Manipulation
T1070
Indicator Removal
T1562
Impair Defenses
TA0006: Credential Access
T1110
Brute Force
T1003
OS Credential Dumping
TA0007: Discovery
T1082
System Information Discovery
T1046
Network Service Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
T1567
Exfiltration Over Web Service
TA0040: Impact
T1490
Inhibit System Recovery
T1486
Data Encrypted for Impact
Plattform-Detektionen