Αποκαλύφθηκε η εσωτερική λειτουργία της FunkSec – μιας ομάδας ransomware που απεικονίζει το μέλλον του μαζικού ψηφιακού εγκλήματος: με τεχνολογία AI, πολυλειτουργική, εξαιρετικά προσαρμοστική και λειτουργία σε μαζική κλίμακα με λύτρα που ξεκινούν από μόλις 10.000$ για μεγιστοποίηση των κερδών.
Αυτή η αποκάλυψη έγινε στο Kaspersky Horizons στη Μαδρίτη, από ειδικούς από την Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της εταιρείας.
Η ομάδα GReAT της Kaspersky παρακολουθεί συνεχώς το τοπίο των απειλών ransomware, όπου οι επιθέσεις συνεχίζουν να αυξάνονται. Σύμφωνα με την τελευταία έκθεση State of Ransomware της εταιρείας, το μερίδιο των χρηστών που επηρεάζονται από επιθέσεις ransomware παγκοσμίως αυξήθηκε στο 0,44% από το 2023 έως το 2024, αυξημένο κατά 0,02 ποσοστιαίες μονάδες. Ενώ αυτό το ποσοστό μπορεί να φαίνεται μικρό σε σύγκριση με άλλες απειλές στον κυβερνοχώρο, αντικατοπτρίζει το γεγονός ότι οι επιτιθέμενοι συνήθως δίνουν προτεραιότητα σε στόχους υψηλής αξίας και όχι σε μαζική διανομή, καθιστώντας κάθε περιστατικό δυνητικά καταστροφικό.
Μέσα σε αυτό το εξελισσόμενο τοπίο, η FunkSec έχει αναδειχθεί ως μια ιδιαίτερα ανησυχητική απειλή.
Ενεργή για λιγότερο από έναν χρόνο από την εμφάνισή της στα τέλη του 2024, η FunkSec ξεπέρασε γρήγορα πολλούς καθιερωμένους απειλητικούς φορείς στοχεύοντας κυβερνητικούς, τεχνολογικούς, οικονομικούς και εκπαιδευτικούς τομείς σε όλη την Ευρώπη και την Ασία.
Αυτό που ξεχωρίζει τη FunkSec είναι η εξελιγμένη τεχνική αρχιτεκτονική της και η ανάπτυξη με τη βοήθεια τεχνητής νοημοσύνης. Η ομάδα αυτή συνδυάζει κρυπτογράφηση πλήρους κλίμακας και επιθετική εξαγωγή δεδομένων σε ένα ενιαίο εκτελέσιμο αρχείο που βασίζεται στο Rust, ικανό να απενεργοποιήσει πάνω από 50 διαδικασίες σε μηχανές θυμάτων και εξοπλισμένο με λειτουργίες αυτοκαθαρισμού για να αποφύγει τις άμυνες. Πέρα από τη βασική λειτουργικότητα ransomware, η FunkSec έχει επεκτείνει την εργαλειοθήκη της για να συμπεριλάβει μια γεννήτρια κωδικών πρόσβασης και ένα βασικό εργαλείο DDoS – και τα δύο δείχνουν σαφή σημάδια σύνθεσης κώδικα χρησιμοποιώντας μεγάλα γλωσσικά μοντέλα (LLM).
Η προσέγγιση της FunkSec αντικατοπτρίζει το εξελισσόμενο τοπίο του μαζικού εγκλήματος στον κυβερνοχώρο, συνδυάζοντας προηγμένα εργαλεία και τακτικές. Οι ειδικοί GReAT της Kaspersky επισημαίνουν τα βασικά χαρακτηριστικά που καθορίζουν τις λειτουργίες τους:
Λειτουργικότητα ελεγχόμενη με κωδικό πρόσβασης
Οι ειδικοί της GReAT ανακάλυψαν ότι το ransomware FunkSec διαθέτει έναν μοναδικό μηχανισμό που βασίζεται σε κωδικό πρόσβασης που ελέγχει τους τρόπους λειτουργίας του. Χωρίς κωδικό πρόσβασης, το κακόβουλο λογισμικό εκτελεί βασική κρυπτογράφηση αρχείων, ενώ η παροχή κωδικού πρόσβασης ενεργοποιεί μια πιο επιθετική διαδικασία εξαγωγής δεδομένων εκτός από την κρυπτογράφηση για την κλοπή ευαίσθητων δεδομένων.
H FunkSec συνδυάζει κρυπτογράφηση πλήρους κλίμακας, τοπική εξαγωγή δεδομένων και αυτοκαθαρισμό σε ένα μόνο δυαδικό αρχείο Rust—χωρίς πλευρικό φορτωτή ή συνοδευτικό σενάριο. Αυτό το επίπεδο ενοποίησης είναι ασυνήθιστο και δίνει στους εμπλεκόμενους ένα εργαλείο plug-and-play που μπορούν να αναπτύξουν σχεδόν οπουδήποτε.
Χρήση τεχνητής νοημοσύνης σε ανάπτυξη
Η ανάλυση κώδικα δείχνει ότι η FunkSec χρησιμοποιεί ενεργά generative AI για να δημιουργήσει τα εργαλεία της. Πολλά μέρη του κώδικα φαίνεται να δημιουργούνται αυτόματα και όχι να γράφονται χειροκίνητα. Σημάδια αυτών αποτελούν τα γενικά σχόλια που λειτουργούν ως placeholder (όπως “placeholder για πραγματικό έλεγχο”) και τεχνικές ασυνέπειες, όπως εντολές για διαφορετικά λειτουργικά συστήματα που δεν ευθυγραμμίζονται σωστά. Επιπλέον, η παρουσία δηλωμένων αλλά αχρησιμοποίητων συναρτήσεων – όπως λειτουργικές μονάδες που περιλαμβάνονται εκ των προτέρων αλλά δεν χρησιμοποιούνται ποτέ – αποτυπώνει τον τρόπο με τον οποίο τα μεγάλα γλωσσικά μοντέλα ενσωματώνουν πολλαπλά αποσπάσματα κώδικα, διατηρώντας μόνο τα απαραίτητα στοιχεία χωρίς να αφαιρούν περιττά.
«Όλο και περισσότερο, βλέπουμε τους κυβερνοεγκληματίες να αξιοποιούν την τεχνητή νοημοσύνη για να αναπτύξουν κακόβουλα εργαλεία. Η Generative AI μειώνει τα εμπόδια και επιταχύνει τη δημιουργία κακόβουλου λογισμικού, επιτρέποντας στους κυβερνοεγκληματίες να προσαρμόζουν ταχύτερα τις τακτικές τους. Μειώνοντας το όριο εισόδου, η τεχνητή νοημοσύνη επιτρέπει σε ακόμη λιγότερο έμπειρους επιτιθέμενους να αναπτύξουν γρήγορα εξελιγμένο κακόβουλο λογισμικό σε κλίμακα», σχολιάζει ο Marc Rivero, Lead Security Researcher στο GReAt της Kaspersky.
Στρατηγική μεγάλου όγκου, χαμηλών λύτρων
Η FunkSec απαιτεί ασυνήθιστα χαμηλές πληρωμές λύτρων, μερικές φορές μόλις 10.000 δολάρια, και συνδυάζεται με την πώληση κλεμμένων δεδομένων σε μειωμένες τιμές σε τρίτους. Αυτή η στρατηγική φαίνεται να έχει σχεδιαστεί για να επιτρέπει μεγάλο όγκο επιθέσεων, βοηθώντας την ομάδα να εδραιώσει γρήγορα τη φήμη της στο πεδίο των κυβερνοεγκληματιών. Σε αντίθεση με τις παραδοσιακές ομάδες ransomware που αναζητούν λύτρα εκατομμυρίων δολαρίων, η FunkSec χρησιμοποιεί ένα μοντέλο υψηλής συχνότητας και χαμηλού κόστους – υπογραμμίζοντας περαιτέρω τη χρήση της τεχνητής νοημοσύνης για τον εξορθολογισμό και την κλιμάκωση των λειτουργιών.
Επεκτείνεται πέρα από το ransomware
Η FunkSec έχει επεκτείνει τις δυνατότητές της πέρα από το δυαδικό ransomware. Ο ιστότοπος σκοτεινής διαρροής (DLS) φιλοξενεί πρόσθετα εργαλεία, συμπεριλαμβανομένης μιας γεννήτριας κωδικών πρόσβασης που βασίζεται σε Python και έχει σχεδιαστεί για να υποστηρίζει επιθέσεις brute-force και μαζικής δοκιμής κωδικών πρόσβασης σε πολλούς χρήστες, καθώς και ένα βασικό εργαλείο DDoS.
Προηγμένη υπεκφυγή
Η FunkSec χρησιμοποιεί προηγμένες τεχνικές υπεκφυγής για να αποφύγει τον εντοπισμό και να περιπλέξει την εγκληματολογική ανάλυση. Το ransomware είναι ικανό να σταματήσει πάνω από 50 διαδικασίες και υπηρεσίες για να εξασφαλίσει πλήρη κρυπτογράφηση στοχευμένων αρχείων. Επιπλέον, περιλαμβάνει έναν εναλλακτικό μηχανισμό για την εκτέλεση ορισμένων εντολών, ακόμη και αν ο χρήστης που εκκινεί τη FunkSec δεν διαθέτει επαρκή δικαιώματα.
