FunkSec RaaS-Operationen: Vermischung von Hacktivismus und Cyberkriminalität

Zusammenfassung

FunkSec ist eine Ransomware-as-a-Service-Gruppe, die Ende 2024 aufgetaucht ist, viele Opfer gemeldet hat und kleine Lösegelder fordert. Ihre auf Rust basierende Malware verschlüsselt Daten mit dem ChaCha20-Cipher und fügt betroffenen Dateien die Erweiterung .funksec hinzu. Neben Ransomware verteilt die Crew zusätzliche Werkzeuge für DDoS, Remote-Desktop-Zugriff und Zugriffsdaten-Generierung. FunkSec kombiniert hacktivistische Rhetorik mit finanzieller Erpressung.

Untersuchung

Die Analyse beschreibt, wie die Betreiber große Sprachmodelle nutzen, um Code und Kommunikation zu entwerfen, PowerShell für Privilegieneskalation verwenden und Sicherheitskontrollen vor der Verschlüsselung neutralisieren. Es werden beendete Prozesse und Dienste aufgezählt, der Verschlüsselungsablauf skizziert und die Struktur der Erpresserbotschaft zusammengefasst, einschließlich einer Bitcoin-Zahlungsadresse. Zusätzliche Komponenten—FDDOS, JQRAXY_HVNC und funkgenerate—werden als Teil des umfassenderen Toolkits dokumentiert.

Minderung

Verteidiger sollten PowerShell-Ausführungsrichtlinien verschärfen, auf Bestrebungen zur Deaktivierung von Windows Defender oder zur Entfernung von Schattenkopien achten und den Start bekannter bösartiger Prozesse verhindern. Das Durchführen von FunkSec-Simulationen auf Sicherheitsvalidierungsplattformen kann helfen, Kontrolllücken aufzudecken. Halten Sie die Erkennungsinhalte für die genannten Prozess- und Dienstbeendigungen aktuell, um eine frühere Identifizierung zu ermöglichen.

Reaktion

Wenn Aktivität erkannt wird, isolieren Sie den betroffenen Host, bestätigen Sie die .funksec-Erweiterung und sammeln Sie flüchtige Beweise. Aktivieren Sie die Vorfallreaktionspläne, stellen Sie aus Backups wieder her und suchen Sie nach Indikatoren wie spezifische PowerShell-Befehle und Erpressernachrichtentext. Nutzen Sie Bedrohungsinformationen, um die zugehörige Infrastruktur zu überwachen und zu korrelieren.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorabcheck muss bestanden sein.

Begründung: In diesem Abschnitt wird die genaue Ausführung der Gegnertechnik (TTP) beschrieben, die dazu bestimmt ist, die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genau erwartete Telemetrie gemäß der Erkennungslogik zu erzeugen.

• Angriffs-Narrativ & Befehle:

  1. Erhöhen Sie die Ransomware-Nutzlast: Der Angreifer nutzt PowerShell’s Start-Process -Verb runas um das bösartige Skript erneut mit Administratorrechten auszuführen (FunkSec.exe) und das Befehlszeilenmuster zu erfüllen, auf das die Regel achtet.
  2. Löschen Sie alle Schattenkopien: Unmittelbar nach der Erhöhung führt der Angreifer vssadmin delete shadows /all /quiet aus, um Systemwiederherstellungspunkte zu löschen, was die zweite Bedingung der Regel erfüllt.
  3. Beide Befehle werden in schneller Folge vom selben Benutzerkontext aus ausgeführt, sodass sie innerhalb des Korrelation Zeitfensters der Sigma-Regel erscheinen.

• Regressionstest-Skript: Das folgende Skript reproduziert das genaue Verhalten. Führen Sie es auf einem Windows-Host mit der vorher beschriebenen Protokollierungskonfiguration aus.

  # ==============================
  # FunkSec Ransomware-Eskalation & Schattenkopienlösch-Simulation
  # ==============================
  # 1. Pfad zur (Dummy) bösartigen Binärdatei definieren.
  $maliciousExe = "$env:ProgramDataFunkSec.exe"
  # Eine Dummy-Datei erstellen, die als Ransomware-Nutzlast fungiert.
  New-Item -Path $maliciousExe -ItemType File -Force | Out-Null
  
  # 2. Die Dummy-Nutzlast mit erhöhten Rechten neu starten.
  $elevatedCmd = "Start-Process -Wait -Verb runas -FilePath `"$maliciousExe`" -ArgumentList ''"
  Write-Host "Erhöhten Start ausführen..."
  Invoke-Expression $elevatedCmd
  
  # 3. Alle Volume-Schattenkopien löschen.
  Write-Host "Alle Schattenkopien löschen..."
  vssadmin delete shadows /all /quiet
  
  # Dummy-Nutzlast bereinigen (optional, zur Testhygiene)
  Remove-Item -Path $maliciousExe -Force

• Bereinigungskommandos: Entfernen Sie alle während der Simulation erstellten Artefakte.

  # Sicherstellen, dass das Dummy-Executble entfernt ist
  $maliciousExe = "$env:ProgramDataFunkSec.exe"
  if (Test-Path $maliciousExe) { Remove-Item -Path $maliciousExe -Force }
  
  # Überprüfen Sie, dass keine Schattenkopielösch-Überreste verbleiben – (keine Aktion erforderlich, da vssadmin zustandslos ist)
  Write-Host "Bereinigung abgeschlossen."