Questa settimana, CTI esamina un nuovo gruppo di ransomware denominato FunkSec, emerso alla fine del 2024. Di seguito, CTI fornisce ulteriori dettagli su una nuova campagna di malvertising rivolta ad aziende e privati che pubblicizzano tramite gli annunci di Google . Infine, il CTI mette in luce come gli autori delle minacce ricorrano sempre più spesso a software e programmi di installazione contraffatti per diffondere malware di tipo “infostealer”.
Il ransomware FunkSec minaccia le vittime in tutto il mondo
I ricercatori di Check Point Security (si apre in una nuova scheda) lanciano l’allarme su FunkSec, una nuova operazione di ransomware di tipo “ ” (si apre in una nuova scheda) che sembra avvalersi dell’intelligenza artificiale per sviluppare il proprio malware.
Secondo Check Point, FunkSec ha causato oltre 85 vittime nel mese di dicembre. Tuttavia, la fondatezza di tali affermazioni è discutibile, poiché alcune delle informazioni disponibili provengono da indiscrezioni già diffuse in passato.
Che cos’è il ransomware FunkSec?
Come molti gruppi di ransomware odierni, FunkSec ricorre a tattiche di doppia estorsione. Tuttavia, a differenza di altri gruppi, sembra che richieda riscatti di importo modesto, alcuni dei quali ammontano addirittura a soli 10.000 dollari.
Da un’analisi più approfondita delle attività del gruppo e delle discussioni che lo riguardano sul dark web emerge che le motivazioni del gruppo si collocano a cavallo tra la criminalità informatica e l’hacktivismo. Check Point sottolinea inoltre che l’operazione principale di FunkSec è probabilmente condotta da soggetti inesperti. Oltre al ransomware, il gruppo offre alcuni altri strumenti, tra cui un generatore intelligente di password, uno strumento di scraping e uno strumento per attacchi DDoS (Distributed Denial of Service) di tipo “ ” (si apre in una nuova scheda).
Il ransomware di FunkSec si è evoluto rapidamente, con nuove versioni pubblicate a pochi giorni di distanza l’una dall’altra. L'ultima versione, la v1,5, dichiara di avere un basso tasso di rilevamento. Check Point ha ottenuto un campione e ha stabilito che lo sviluppo è ancora in corso e che probabilmente si tratta dell’opera di uno sviluppatore di malware con scarsa esperienza.
Check Point ha inoltre scoperto che tutte le versioni del ransomware individuate erano state caricate dall’Algeria, il che potrebbe fornire un indizio sull’identità dell’autore e suggerisce, ancora una volta, che si tratti di un gruppo inesperto.
Sviluppo di malware con l'ausilio dell'intelligenza artificiale
FunkSec sembra fare ampio ricorso alle funzionalità di intelligenza artificiale di (si apre in una nuova scheda) per potenziare il proprio malware. Check Point ha notato che i propri script disponibili al pubblico contengono numerosi commenti al codice scritti in un inglese impeccabile, probabilmente generati da un agente LLM (si apre in una nuova scheda). Modelli simili si riscontrano nel codice sorgente collegato al loro ransomware, che si ritiene sia stato a sua volta creato con l’ausilio dell’intelligenza artificiale.
In altri messaggi pubblicati dal gruppo, essi collegano lo sviluppo del ransomware specificatamente all’intelligenza artificiale. Ciò è in linea con altre dichiarazioni pubbliche del gruppo, soprattutto alla luce del fatto che hanno lanciato un chatbot basato sull’intelligenza artificiale per potenziare ulteriormente le proprie attività.
Come funziona FunkSec?
Check Point ha condotto un’analisi approfondita dei campioni del ransomware FunkSec attualmente in circolazione e ha accertato quanto segue:
- In sostanza, FunkSec è un binario Rust semplificato, che risulta più difficile da sottoporre a reverse engineering. I ricercatori sono rimasti particolarmente sorpresi dalla ridondanza presente nel codice binario, poiché il flusso di controllo si ripete e richiama le funzioni più volte.
- Una volta ottenuti i privilegi elevati necessari, il malware esegue diversi comandi per disattivare Windows Defender, la registrazione degli eventi di sicurezza, la registrazione degli eventi delle applicazioni e altro ancora. Inoltre, termina i processi presenti in un elenco predefinito.
- Il malware esaminerà una dopo l'altra tutte le unità e crittograferà ogni file che presenti una delle estensioni di file prese di mira. I file crittografati avranno un'estensione
.funksec. Successivamente, il malware salverà la richiesta di riscatto sul disco.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Da quando è emerso il mese scorso, FunkSec ha dichiarato di aver causato numerose vittime, sebbene la fondatezza e l’accuratezza di tali affermazioni siano discutibili.
La ricerca di Check Point indica che questo gruppo non è così sofisticato come altri per una serie di motivi, in particolare per il suo ampio ricorso all’intelligenza artificiale (si apre in una nuova scheda). Lo scorso anno gli autori delle minacce non hanno fatto ricorso all’intelligenza artificiale nella misura prevista dai ricercatori, almeno non in modi avanzati. Sembra che gli autori di malware ricorrano all’intelligenza artificiale principalmente a causa della mancanza di competenze, piuttosto che per creare malware e ransomware più complessi.
Una truffa basata sul malvertising prende di mira gli utenti di Google Ads
Malwarebytes ha recentemente pubblicato alcune informazioni (si apre in una nuova scheda) relative a una nuova campagna di malvertising rivolta a privati e aziende che utilizzano gli annunci di Google per la propria pubblicità.
Questa campagna mira a sottrarre gli account di Google Ads ( Google ) spacciandosi per annunci pubblicitari e reindirizzando le vittime verso pagine di phishing. Malwarebytes ritiene che l’obiettivo principale possa essere quello di vendere tali account rubati su forum clandestini a fini illeciti.
In che modo i criminali informatici si spacciano per gli annunci pubblicitari di “ Google ”
Malwarebytes ha iniziato a notare per caso attività sospette relative agli account di Google . L'azienda ha ricondotto l'attività a inserzioni pubblicitarie dannose relative a Google Ads.
L'annuncio sponsorizzato per " Google Ads" sembra legittimo, ma se clicca sui tre puntini accanto ad esso per visualizzare ulteriori dettagli sull'inserzionista, potrà constatare che si tratta di un account compromesso. L'annuncio indica che è pubblicato da un inserzionista la cui identità è stata verificata da Google (il che è vero, poiché si tratta di un account reale — semplicemente compromesso), ma l'inserzionista è indicato con il nome di una persona anziché con l'indirizzo Google stesso.
Tipi di esche e tecniche di phishing utilizzate
Se una vittima clicca su uno degli annunci dannosi, viene reindirizzata a una pagina che assomiglia molto alla homepage di Google Ads. Il sito è ospitato su “sites.google[.]com”, il che ne rafforza la credibilità. In queste pagine è presente un altro pulsante denominato “Inizia ora” che, se cliccato, reindirizza l’utente a un sito di phishing (si apre in una nuova scheda). Questa pagina ha lo scopo di sottrarre le credenziali di Google Ads della vittima e di inviarle a un server remoto controllato dall'autore dell'attacco.
Chi si cela dietro la campagna pubblicitaria dannosa “ Google ”?
Malwarebytes ha individuato due gruppi di criminali informatici responsabili della campagna:
- Il primo gruppo, denominato “ ”, è composto da soggetti di lingua portoghese che, secondo quanto si ritiene, operino dal Brasile. Malwarebytes ha segnalato, nel giro di pochi giorni, oltre 50 annunci pubblicitari fraudolenti relativi a “ Google ” provenienti da questo gruppo.
- Il secondo gruppo, denominato “ ”, utilizza account pubblicitari con sede a Hong Kong e si ritiene che operi dall’Asia. Utilizzano una catena di distribuzione simile, ma il kit di phishing in sé varia.
Inoltre, esiste una terza campagna correlata che si avvale di un CAPTCHA fasullo anziché di siti di tip Google .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Malwarebytes, gli account di Google Ads oggetto di furto rivestono un valore significativo all’interno del mercato del cybercrimine Community, il che spiega le numerose campagne che sfruttano tali account compromessi.
Compromettendo gli account di Google Ads ( Google ), gli autori delle minacce evitano di sostenere i costi legati alla pubblicazione di annunci fraudolenti e trasferiscono invece tale onere sul proprietario o sull’azienda compromessa.
Il fenomeno del malvertising è in aumento da mesi (si apre in una nuova scheda), se non addirittura da anni, e questa campagna costituisce un ulteriore monito a prestare attenzione a ciò su cui si clicca nei risultati dei motori di ricerca, in particolare a quei link che appaiono come annunci sponsorizzati.
Gli autori delle minacce utilizzano software e programmi di installazione contraffatti per diffondere malware
L’ultimo rapporto di Trend Micro, intitolato “ ” (si apre in una nuova scheda) , esamina la crescente minaccia rappresentata dal software e dai programmi di installazione contraffatti come metodo per diffondere malware di tipo “infostealer”.
Secondo Trend Micro, gli autori delle minacce stanno sfruttando YouTube e vari siti di social media per condividere link a falsi programmi di installazione, avvalendosi al contempo di servizi di hosting di file affidabili per nascondere l’origine del malware.
Spesso i malintenzionati inducono le potenziali vittime a scaricare falsi programmi di installazione creando profili su piattaforme come YouTube. Trend Micro rileva che tali profili presentano spesso tutorial di installazione che inducono ulteriormente le vittime a cliccare sui link dannosi presenti nella descrizione del video o nella sezione dei commenti. In un caso, il link presente nella sezione dei commenti reindirizza le vittime verso un’altra pagina di YouTube in cui compare un link per il download del programma di installazione contraffatto.
Se la vittima clicca sul link del programma di installazione contraffatto, verrà scaricato un file dal sito di hosting legittimo MediaFire. In altri casi rilevati, la minaccia è stata caricata sul sito di file hosting Mega.
Trend Micro ha inoltre riscontrato casi in cui le vittime si imbattono inavvertitamente in programmi di installazione contraffatti mentre li cercano tramite i motori di ricerca. In questi casi, i risultati sono disponibili su siti come OpenSea, un marketplace di NFT, e SoundCloud, una piattaforma di condivisione musicale.
Esempi di analisi delle infezioni causate da programmi di installazione di software contraffatti
Il rapporto di Trend Micro su questa minaccia ha analizzato due scenari in cui il processo di download è andato a buon fine e il contenuto è stato eseguito senza intoppi, fornendo così preziose informazioni sull’intero processo.
- Evasione di file di grandi dimensioni
In un caso rilevato da Trend Micro, il file di installazione decompresso era di 900 MB. Questo file di grandi dimensioni consente di eludere i sistemi di difesa e potrebbe aggirare l’analisi in sandbox, poiché assomiglia maggiormente a un file di installazione legittimo. L'infezione ha inizio quando viene eseguito il file eseguibile presente all'indirizzo.zip.
Esaminando uno dei file batch eseguiti, Trend Micro ha riscontrato che conteneva voci offuscate. Dopo aver ripulito il file batch, i ricercatori hanno scoperto che esso generava lo script AutoIt unendo i file per poi eseguirlo, con la conseguenza che venivano creati ulteriori file. Può quindi eseguire l'iniezione di codice nei processi, sottrarre dati dagli ambienti del browser e stabilire una connessione con più indirizzi C2 . - Download di file compressi
In un altro esempio, l’infezione è iniziata quando la vittima ha scaricato un file compresso da un noto sito di hosting.
Decomprimendo il file e inserendo una password si avvierà il programma di installazione. Questo programma di installazione avvierà processi legittimi nei quali iniettare codice, installerà AutoIt e si connetterà al server C2 per scaricare ulteriore malware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Da qualche tempo ormai gli autori delle minacce utilizzano programmi di installazione contraffatti e software crackato per diffondere malware, il che dimostra che tale strategia deve funzionare, in una certa misura.
Le campagne analizzate da Trend Micro sono simili a quelle che sfruttano in modo improprio i commenti presenti nel repository GitHub . Queste campagne sfruttano l’elevato livello di fiducia che gli utenti ripongono in tali piattaforme, rendendo sempre più fondamentale che le persone siano consapevoli di ciò che scaricano.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
