Νέο ransomware «ξεκλειδώνει» τις πιο επικίνδυνες λειτουργίες με κωδικό πρόσβασης

Στο Kaspersky Horizons στη Μαδρίτη, ειδικοί από την Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της εταιρείας αποκάλυψαν την εσωτερική λειτουργία της FunkSec – μιας ομάδας ransomware που απεικονίζει το μέλλον του μαζικού ψηφιακού εγκλήματος: με τεχνολογία AI, πολυλειτουργική, εξαιρετικά προσαρμοστική και λειτουργία σε μαζική κλίμακα με λύτρα που ξεκινούν από μόλις 10.000$ για μεγιστοποίηση των κερδών.

Η ομάδα GReAT της Kaspersky παρακολουθεί συνεχώς το τοπίο των απειλών ransomware, όπου οι επιθέσεις συνεχίζουν να αυξάνονται. Σύμφωνα με την τελευταία έκθεση State of Ransomware της εταιρείας, το μερίδιο των χρηστών που επηρεάζονται από επιθέσεις ransomware παγκοσμίως αυξήθηκε στο 0,44% από το 2023 έως το 2024, αυξημένο κατά 0,02 ποσοστιαίες μονάδες. Ενώ αυτό το ποσοστό μπορεί να φαίνεται μικρό σε σύγκριση με άλλες απειλές στον κυβερνοχώρο, αντικατοπτρίζει το γεγονός ότι οι επιτιθέμενοι συνήθως δίνουν προτεραιότητα σε στόχους υψηλής αξίας και όχι σε μαζική διανομή, καθιστώντας κάθε περιστατικό δυνητικά καταστροφικό. Μέσα σε αυτό το εξελισσόμενο τοπίο, η FunkSec έχει αναδειχθεί ως μια ιδιαίτερα ανησυχητική απειλή.

Ενεργή για λιγότερο από έναν χρόνο από την εμφάνισή της στα τέλη του 2024, η FunkSec ξεπέρασε γρήγορα πολλούς καθιερωμένους απειλητικούς φορείς στοχεύοντας κυβερνητικούς, τεχνολογικούς, οικονομικούς και εκπαιδευτικούς τομείς σε όλη την Ευρώπη και την Ασία.

Αυτό που ξεχωρίζει τη FunkSec είναι η εξελιγμένη τεχνική αρχιτεκτονική της και η ανάπτυξη με τη βοήθεια τεχνητής νοημοσύνης. Η ομάδα αυτή συνδυάζει κρυπτογράφηση πλήρους κλίμακας και επιθετική εξαγωγή δεδομένων σε ένα ενιαίο εκτελέσιμο αρχείο που βασίζεται στο Rust, ικανό να απενεργοποιήσει πάνω από 50 διαδικασίες σε μηχανές θυμάτων και εξοπλισμένο με λειτουργίες αυτοκαθαρισμού για να αποφύγει τις άμυνες. Πέρα από τη βασική λειτουργικότητα ransomware, η FunkSec έχει επεκτείνει την εργαλειοθήκη της για να συμπεριλάβει μια γεννήτρια κωδικών πρόσβασης και ένα βασικό εργαλείο DDoS – και τα δύο δείχνουν σαφή σημάδια σύνθεσης κώδικα χρησιμοποιώντας μεγάλα γλωσσικά μοντέλα (LLM).

Η προσέγγιση της FunkSec αντικατοπτρίζει το εξελισσόμενο τοπίο του μαζικού εγκλήματος στον κυβερνοχώρο, συνδυάζοντας προηγμένα εργαλεία και τακτικές. Οι ειδικοί GReAT της Kaspersky επισημαίνουν τα βασικά χαρακτηριστικά που καθορίζουν τις λειτουργίες τους:

Λειτουργικότητα ελεγχόμενη με κωδικό πρόσβασης

Οι ειδικοί της GReAT ανακάλυψαν ότι το ransomware FunkSec διαθέτει έναν μοναδικό μηχανισμό που βασίζεται σε κωδικό πρόσβασης που ελέγχει τους τρόπους λειτουργίας του. Χωρίς κωδικό πρόσβασης, το κακόβουλο λογισμικό εκτελεί βασική κρυπτογράφηση αρχείων, ενώ η παροχή κωδικού πρόσβασης ενεργοποιεί μια πιο επιθετική διαδικασία εξαγωγής δεδομένων εκτός από την κρυπτογράφηση για την κλοπή ευαίσθητων δεδομένων.

H FunkSec συνδυάζει κρυπτογράφηση πλήρους κλίμακας, τοπική εξαγωγή δεδομένων και αυτοκαθαρισμό σε ένα μόνο δυαδικό αρχείο Rust—χωρίς πλευρικό φορτωτή ή συνοδευτικό σενάριο. Αυτό το επίπεδο ενοποίησης είναι ασυνήθιστο και δίνει στους εμπλεκόμενους ένα εργαλείο plug-and-play που μπορούν να αναπτύξουν σχεδόν οπουδήποτε.

Χρήση τεχνητής νοημοσύνης σε ανάπτυξη

Η ανάλυση κώδικα δείχνει ότι η FunkSec χρησιμοποιεί ενεργά generative AI για να δημιουργήσει τα εργαλεία της. Πολλά μέρη του κώδικα φαίνεται να δημιουργούνται αυτόματα και όχι να γράφονται χειροκίνητα. Σημάδια αυτών αποτελούν τα γενικά σχόλια που λειτουργούν ως placeholder (όπως “placeholder για πραγματικό έλεγχο”) και τεχνικές ασυνέπειες, όπως εντολές για διαφορετικά λειτουργικά συστήματα που δεν ευθυγραμμίζονται σωστά. Επιπλέον, η παρουσία δηλωμένων αλλά αχρησιμοποίητων συναρτήσεων – όπως λειτουργικές μονάδες που περιλαμβάνονται εκ των προτέρων αλλά δεν χρησιμοποιούνται ποτέ – αποτυπώνει τον τρόπο με τον οποίο τα μεγάλα γλωσσικά μοντέλα ενσωματώνουν πολλαπλά αποσπάσματα κώδικα, διατηρώντας μόνο τα απαραίτητα στοιχεία χωρίς να αφαιρούν περιττά.

«Όλο και περισσότερο, βλέπουμε τους κυβερνοεγκληματίες να αξιοποιούν την τεχνητή νοημοσύνη για να αναπτύξουν κακόβουλα εργαλεία. Η Generative AI μειώνει τα εμπόδια και επιταχύνει τη δημιουργία κακόβουλου λογισμικού, επιτρέποντας στους κυβερνοεγκληματίες να προσαρμόζουν ταχύτερα τις τακτικές τους. Μειώνοντας το όριο εισόδου, η τεχνητή νοημοσύνη επιτρέπει σε ακόμη λιγότερο έμπειρους επιτιθέμενους να αναπτύξουν γρήγορα εξελιγμένο κακόβουλο λογισμικό σε κλίμακα», σχολιάζει ο Marc Rivero, Lead Security Researcher στο GReAt της Kaspersky.

Στρατηγική μεγάλου όγκου, χαμηλών λύτρων

Η FunkSec απαιτεί ασυνήθιστα χαμηλές πληρωμές λύτρων, μερικές φορές μόλις 10.000 δολάρια, και συνδυάζεται με την πώληση κλεμμένων δεδομένων σε μειωμένες τιμές σε τρίτους. Αυτή η στρατηγική φαίνεται να έχει σχεδιαστεί για να επιτρέπει μεγάλο όγκο επιθέσεων, βοηθώντας την ομάδα να εδραιώσει γρήγορα τη φήμη της στο πεδίο των κυβερνοεγκληματιών. Σε αντίθεση με τις παραδοσιακές ομάδες ransomware που αναζητούν λύτρα εκατομμυρίων δολαρίων, η FunkSec χρησιμοποιεί ένα μοντέλο υψηλής συχνότητας και χαμηλού κόστους – υπογραμμίζοντας περαιτέρω τη χρήση της τεχνητής νοημοσύνης για τον εξορθολογισμό και την κλιμάκωση των λειτουργιών.

Επεκτείνεται πέρα από το ransomware

Η FunkSec έχει επεκτείνει τις δυνατότητές της πέρα από το δυαδικό ransomware. Ο ιστότοπος σκοτεινής διαρροής (DLS) φιλοξενεί πρόσθετα εργαλεία, συμπεριλαμβανομένης μιας γεννήτριας κωδικών πρόσβασης που βασίζεται σε Python και έχει σχεδιαστεί για να υποστηρίζει επιθέσεις brute-force και μαζικής δοκιμής κωδικών πρόσβασης σε πολλούς χρήστες, καθώς και ένα βασικό εργαλείο DDoS.

Προηγμένη υπεκφυγή

Η FunkSec χρησιμοποιεί προηγμένες τεχνικές υπεκφυγής για να αποφύγει τον εντοπισμό και να περιπλέξει την εγκληματολογική ανάλυση. Το ransomware είναι ικανό να σταματήσει πάνω από 50 διαδικασίες και υπηρεσίες για να εξασφαλίσει πλήρη κρυπτογράφηση στοχευμένων αρχείων. Επιπλέον, περιλαμβάνει έναν εναλλακτικό μηχανισμό για την εκτέλεση ορισμένων εντολών, ακόμη και αν ο χρήστης που εκκινεί τη FunkSec δεν διαθέτει επαρκή δικαιώματα.

Τα προϊόντα της Kaspersky εντοπίζουν αυτήν την απειλή ως HEUR:Trojan-Ransom.Win64.Generic.

Για να παραμείνουν προστατευμένοι από επιθέσεις ransomware, οι ειδικοί της Kaspersky συνιστούν στους οργανισμούς να ακολουθούν τις παρακάτω βέλτιστες πρακτικές για την προστασία από ransomware:

• Ενεργοποιήστε την προστασία ransomware για όλα τα τερματικά σημεία. Υπάρχει το δωρεάν εργαλείο Kaspersky Anti-Ransomware Tool for Business που προστατεύει τους υπολογιστές και τους server από ransomware και άλλους τύπους κακόβουλου λογισμικού, αποτρέπει τις εκμεταλλεύσεις και είναι συμβατό με ήδη εγκατεστημένες λύσεις ασφαλείας.
• Διατηρείτε πάντα ενημερωμένο το λογισμικό σε όλες τις συσκευές που χρησιμοποιείτε για να αποτρέψετε τους εισβολείς από το να εκμεταλλευτούν ευπάθειες και να διεισδύσουν στο δίκτυό σας.
• Εστιάστε την αμυντική στρατηγική σας στην ανίχνευση πλευρικών κινήσεων και εξαγωγής δεδομένων στο διαδίκτυο. Δώστε ιδιαίτερη προσοχή στην εξερχόμενη κίνηση για να εντοπίσετε τις συνδέσεις των εγκληματιών του κυβερνοχώρου στο δίκτυό σας. Εγκαταστήστε αντίγραφα ασφαλείας εκτός σύνδεσης που δεν μπορούν να παραβιάσουν οι εισβολείς. Βεβαιωθείτε ότι μπορείτε να έχετε γρήγορη πρόσβαση σε αυτά όταν χρειάζεται ή σε περίπτωση έκτακτης ανάγκης.
• Εγκαταστήστε λύσεις anti-APT και EDR, επιτρέποντας δυνατότητες για προηγμένο εντοπισμό και ανίχνευση απειλών, διερεύνηση και έγκαιρη αποκατάσταση περιστατικών. Παρέχετε στην ομάδα SOC σας πρόσβαση στις πιο πρόσφατες πληροφορίες απειλών και αναβαθμίστε τακτικά τις δεξιότητές τους με επαγγελματική εκπαίδευση. Όλα τα παραπάνω είναι διαθέσιμα στο πλαίσιο του Kaspersky Expert Security.
• Χρησιμοποιήστε τo πιο πρόσφατo Threat Intelligence για να παραμείνετε ενήμεροι για τις πραγματικές τακτικές, τεχνικές και διαδικασίες (TTP) που χρησιμοποιούνται από τους φορείς απειλής.
• Για να προστατεύσετε την εταιρεία από ένα ευρύ φάσμα απειλών, χρησιμοποιήστε λύσεις από τη σειρά προϊόντων Kaspersky Next που παρέχουν προστασία σε πραγματικό χρόνο, ορατότητα απειλών, δυνατότητες διερεύνησης και απόκρισης EDR και XDR για οργανισμούς οποιουδήποτε μεγέθους και κλάδου. Ανάλογα με τις τρέχουσες ανάγκες και τους διαθέσιμους πόρους σας, μπορείτε να επιλέξετε το πιο σχετικό επίπεδο προϊόντος και να μετεγκαταστήσετε εύκολα σε άλλο, εάν αλλάζουν οι απαιτήσεις ασφάλειας σας στον κυβερνοχώρο.