FunkSec
FunkSec, siber suçları hacktivizm ile harmanlayan yeni bir yapay zeka destekli fidye yazılımı grubu dalgasını temsil ediyor. Teknik gelişmişlikleri şüpheli olsa da, taktikleri ve kamusal görünürlükleri onları dikkate değer bir tehdit haline getiriyor. Güvenlik ekipleri yapay zeka destekli malware trendlerini izlemeli ve otomasyon ve aldatma taktiklerinden yararlanan fidye malware saldırılarına karşı hazırlıklı olmalıdır.
FunkSec'in Geçmişi
FunkSec, 2024'ün sonlarında ortaya çıkan bir fidye yazılımı grubudur ve kamuya açık olarak iddia edilen çok sayıda kurbanıyla hızla ün kazanmıştır. Diğer yerleşik fidye yazılımı çetelerinin aksine, FunkSec nispeten yeni ve bağımsız bir operasyon gibi görünmektedir ve önceki fidye yazılımı aileleriyle bilinen bir bağı yoktur. Grup, kurbanları fidye ödemeye zorlamak için veri şifrelemeyi veri hırsızlığı ile birleştirerek çifte gasp taktikleri kullanıyor.
FunkSec'in temel özelliklerinden biri, deneyimsiz aktörlerin bile hızla kötü amaçlı araçlar oluşturmasına ve bunları yinelemesine olanak tanıyan yapay zeka destekli kötü amaçlı malware geliştirmesidir. Grup hacktivizm ve siber suçların kesiştiği noktada faaliyet gösteriyor gibi görünmektedir ve bu da gerçek motivasyonlarını belirlemeyi zorlaştırmaktadır. Sızdırdıkları veri kümelerinden bazılarının önceki hacktivist kampanyalardan geri dönüştürüldüğü tespit edildi ve bu da ifşaatlarının gerçekliği konusunda şüphe uyandırdı.
FunkSec kendisini sofistike bir hizmet olarak fidye yazılımı (RaaS) operasyonu olarak sunarken, güvenlik araştırmacıları grubun teknik uzmanlığının sınırlı olduğunu gösteren birçok işaret tespit etti. Düşük fidye talepleri ve siber suç forumlarında halka açık tanıtım çabalarının da gösterdiği gibi, faaliyetlerinin çoğu mali kazançtan ziyade kötü şöhret arzusundan kaynaklanıyor gibi görünüyor.
Kaynak: Kontrol Noktası
Hedefler
FunkSec'in Hedefleri
Hedeflenen Ülkeler
FunkSec'in iddia ettiği kurbanların çoğunluğu Hindistan ve Amerika Birleşik Devletleri'nden olmakla birlikte, Avrupalı ve Orta Doğulu kuruluşları hedef alan başka saldırılar da olmuştur. "Özgür Filistin" hareketiyle olan uyumları olası bir jeopolitik motivasyona işaret etse de, bu gerçek bir siyasi niyetten ziyade markalaşmayla ilgili olabilir.
Hedeflenen Sektörler
FunkSec tek bir sektöre odaklanmış gibi görünmüyor ancak devlet kurumları, sağlık hizmetleri, finansal hizmetler ve teknoloji şirketlerine saldırdı. Grubun hizmet olarak fidye yazılımı (RaaS) modeli, birden fazla iştirakçinin araçlarını kullanmasına izin vererek potansiyel kurbanların kapsamını genişletiyor. Hedeflenen bazı sektörler, özellikle devlet kurumları ve altyapı olmak üzere hacktivist motiflerle uyumludur.
Görüntü kaynağı: PCrisk
Hedeflenen Sektörler
FunkSec tek bir sektöre odaklanmış gibi görünmüyor ancak devlet kurumları, sağlık hizmetleri, finansal hizmetler ve teknoloji şirketlerine saldırdı. Grubun hizmet olarak fidye yazılımı (RaaS) modeli, birden fazla iştirakçinin araçlarını kullanmasına izin vererek potansiyel kurbanların kapsamını genişletiyor. Hedeflenen bazı sektörler, özellikle devlet kurumları ve altyapı olmak üzere hacktivist motiflerle uyumludur.
Görüntü kaynağı: PCrisk
Önemli Kurbanlar
Tahminen 138 kuruluş FunkSec saldırılarının kurbanı olmuştur.
Saldırı Yöntemi
FunkSec'in saldırı yöntemi
FunkSec phishing ı e-postaları, kimlik bilgileri doldurma ve açık sistemlerdeki yamalanmamış güvenlik açıklarından yararlanma yoluyla erişim elde eder. Ayrıca karanlık web forumlarında bulunan çalıntı kimlik bilgilerinden de yararlanırlar.
Grup, kimlik bilgisi çalma teknikleri, belirteç manipülasyonu ve Windows ortamlarındaki yanlış yapılandırmalardan yararlanarak ayrıcalıkları artırmaya çalışır.
FunkSec, tespit edilmekten kaçınmak için Windows Defender, olay günlüğü ve PowerShell güvenlik özelliklerini devre dışı bırakır. Fidye yazılımları Rust dilinde derlenmiştir, bu da analiz ve tespiti zorlaştırabilir.
Tehlike altındaki sistemlerden ve web sitelerinden kimlik bilgilerini toplayan funkgenerate gibi tuş kaydediciler ve parola kazıma araçları kullanırlar.
FunkSec, değerli dosyaları bulmak ve şifrelenecek en kritik varlıkları belirlemek için virüslü ağları tarar.
HVNC (gizli sanal ağ bilişim) araçlarını ve uzak masaüstü açıklarını kullanarak tehlikeye atılmış ağlar arasında hareket ederler.
Grup, kurbanın verilerini şifrelemeden önce özel Python komut dosyaları ve Rclone gibi standart araçlar kullanarak hassas dosyaları dışarı sızdırıyor.
Rust tabanlı fidye yazılımı ChaCha20 şifrelemesini kullanarak dosyaları şifreler, ".funksec" uzantısını ekler ve bir fidye notu bırakır.
Çalınan veriler FunkSec'in dark web sızıntı sitesine yüklenir ve burada ya kamuya açıklanır ya da üçüncü taraflara satılır.
Fidye yazılımı gölge kopyaları siler, işlemleri sonlandırarak işlemleri kesintiye uğratır ve sistem ayarlarını değiştirir (örneğin, masaüstü arka planını karartır).
İlk Erişim
FunkSec phishing ı e-postaları, kimlik bilgileri doldurma ve açık sistemlerdeki yamalanmamış güvenlik açıklarından yararlanma yoluyla erişim elde eder. Ayrıca karanlık web forumlarında bulunan çalıntı kimlik bilgilerinden de yararlanırlar.
Ayrıcalık Yükseltme
Grup, kimlik bilgisi çalma teknikleri, belirteç manipülasyonu ve Windows ortamlarındaki yanlış yapılandırmalardan yararlanarak ayrıcalıkları artırmaya çalışır.
Savunma Kaçırma
FunkSec, tespit edilmekten kaçınmak için Windows Defender, olay günlüğü ve PowerShell güvenlik özelliklerini devre dışı bırakır. Fidye yazılımları Rust dilinde derlenmiştir, bu da analiz ve tespiti zorlaştırabilir.
Kimlik Bilgileri Erişimi
Tehlike altındaki sistemlerden ve web sitelerinden kimlik bilgilerini toplayan funkgenerate gibi tuş kaydediciler ve parola kazıma araçları kullanırlar.
Keşif
FunkSec, değerli dosyaları bulmak ve şifrelenecek en kritik varlıkları belirlemek için virüslü ağları tarar.
Yanal Hareket
HVNC (gizli sanal ağ bilişim) araçlarını ve uzak masaüstü açıklarını kullanarak tehlikeye atılmış ağlar arasında hareket ederler.
Koleksiyon
Grup, kurbanın verilerini şifrelemeden önce özel Python komut dosyaları ve Rclone gibi standart araçlar kullanarak hassas dosyaları dışarı sızdırıyor.
Yürütme
Rust tabanlı fidye yazılımı ChaCha20 şifrelemesini kullanarak dosyaları şifreler, ".funksec" uzantısını ekler ve bir fidye notu bırakır.
Sızma
Çalınan veriler FunkSec'in dark web sızıntı sitesine yüklenir ve burada ya kamuya açıklanır ya da üçüncü taraflara satılır.
Etki
Fidye yazılımı gölge kopyaları siler, işlemleri sonlandırarak işlemleri kesintiye uğratır ve sistem ayarlarını değiştirir (örneğin, masaüstü arka planını karartır).
MITRE ATT&CK Haritalama
FunkSec'in TTP'leri
TA0001: Initial Access
T1566
Phishing
T1190
Exploit Public-Facing Application
TA0002: Execution
T1204
User Execution
TA0003: Persistence
No items found.
TA0004: Privilege Escalation
T1134
Access Token Manipulation
T1068
Exploitation for Privilege Escalation
TA0005: Defense Evasion
T1134
Access Token Manipulation
T1070
Indicator Removal
T1562
Impair Defenses
TA0006: Credential Access
T1110
Brute Force
T1003
OS Credential Dumping
TA0007: Discovery
T1082
System Information Discovery
T1046
Network Service Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
T1567
Exfiltration Over Web Service
TA0040: Impact
T1490
Inhibit System Recovery
T1486
Data Encrypted for Impact
Platform Tespitleri