Funklocker Ransomware: Rilevamento e Risposta con Wazuh

Riassunto

Il ransomware Funklocker, legato al gruppo FunkSec, prende di mira gli ambienti Windows e sfrutta la generazione di codice assistita da AI per creare nuove varianti. Si avvale di tecniche living-off-the-land, abusando di strumenti come PowerShell, taskkill, sc e vssadmin per disattivare i controlli di sicurezza, rimuovere copie shadow e criptare dati con l’estensione .funksec. L’articolo spiega come rilevare questi comportamenti utilizzando Sysmon più regole Wazuh personalizzate e come automatizzare la pulizia tramite scansioni YARA integrate.

Indagine

L’analisi spiega come Funklocker riduce i log degli eventi di sicurezza e di applicazione di Windows, disabilita la protezione in tempo reale di Windows Defender, supera la policy di esecuzione di PowerShell, termina i processi, arresta i servizi critici e cancella i backup della Copia Shadow del Volume. I campioni di test sono stati fatti esplodere su un host lab Windows 11 con installato l’agente Wazuh e Sysmon configurato per catturare tutta la telemetria rilevante.

Mitigazione del Ransomware Funlocker

I passaggi di mitigazione raccomandati includono il rafforzamento delle policy di esecuzione di PowerShell, l’applicazione del principio del minimo privilegio nella gestione dei servizi, il mantenimento di backup frequenti verificando che le copie shadow siano disponibili e l’implementazione di strumenti EDR come Wazuh combinati con regole Sysmon personalizzate per allertare sui modelli di comando di Funklocker. Le firme YARA possono poi essere applicate per mettere automaticamente in quarantena o eliminare gli eseguibili ransomware identificati.

Risposta

Quando viene rilevata l’attività di Funklocker, il server Wazuh solleva allarmi e la sua componente di Risposta Attiva attiva una scansione YARA che rimuove il binario ransomware insieme a tutti i file criptati appena creati. Il processo di risposta delineato copre anche la validazione manuale, il contenimento dei sistemi colpiti e il recupero dei dati dai backup fidati e non compromessi.

Esecuzione di Simulazione

Prerequisito: La Verifica Pré‑volo della Telemetria e di Baseline deve essere superata.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione dell’Attacco & Comandi:
  L’attaccante ha ottenuto l’accesso come amministratore locale sul endpoint compromesso. Per garantire che il ransomware possa eseguire senza interruzioni e rimanere nascosto, eseguono una serie di comandi PowerShell one‑liner che (1) disabilitano il logging degli eventi di sicurezza, (2) disattivano la protezione in tempo reale di Microsoft Defender, (3) disabilitano il log delle applicazioni, e (4) impostano la policy di esecuzione di PowerShell su Bypass. Ogni comando è emesso direttamente da un prompt di PowerShell elevato, rispecchiando le esatte stringhe che la regola Sigma verifica.

• Script di Test di Regressione:

  # Comandi in stile Funklocker per disabilitare i log e Defender
  # 1. Disabilitare il log degli eventi di sicurezza
  powershell -Command "wevtutil sl Security /e:false"
  
  # 2. Disabilitare il monitoraggio in tempo reale di Microsoft Defender
  powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
  
  # 3. Disabilitare il log degli eventi delle applicazioni
  powershell -Command "wevtutil sl Application /e:false"
  
  # 4. Bypassare la policy di esecuzione di PowerShell per il processo corrente
  powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"

• Comandi di Pulizia:

  # Riabilitare il log degli eventi di sicurezza
  wevtutil sl Security /e:true
  
  # Riabilitare il monitoraggio in tempo reale di Microsoft Defender
  Set-MpPreference -DisableRealtimeMonitoring $false
  
  # Riabilitare il log degli eventi delle applicazioni
  wevtutil sl Application /e:true
  
  # Ripristinare la policy di esecuzione predefinita di PowerShell (Restricted)
  Set-ExecutionPolicy Restricted -Scope Process -Force