Funklocker Ransomware: Detectando e Respondendo com Wazuh

Resumo

O ransomware Funklocker, ligado ao grupo FunkSec, tem como alvo ambientes Windows e aproveita a geração de código assistida por IA para criar novas variantes. Ele depende de técnicas de viver da terra, abusando de ferramentas como PowerShell, taskkill, sc e vssadmin para desligar controles de segurança, remover cópias sombra e criptografar dados com a extensão .funksec. O artigo aborda como detectar esses comportamentos usando o Sysmon mais regras personalizadas do Wazuh e como automatizar a limpeza através de varreduras YARA integradas.

Investigação

A análise explica como o Funklocker reduz o registro de eventos de Segurança e Aplicação do Windows, desativa a proteção em tempo real do Windows Defender, contorna a política de execução do PowerShell, encerra processos, interrompe serviços críticos e apaga backups de Volume Shadow Copy. Amostras de teste foram detonadas em um host de laboratório com Windows 11 com o agente Wazuh instalado e o Sysmon ajustado para capturar toda a telemetria relevante.

Mitigação de Ransomware Funklocker

As etapas de mitigação recomendadas incluem o endurecimento das políticas de execução do PowerShell, a aplicação do princípio de menor privilégio em relação ao gerenciamento de serviços, a manutenção de backups frequentes verificando que as cópias sombra permanecem disponíveis e a implantação de ferramentas EDR como o Wazuh combinado com regras Sysmon personalizadas para alertar sobre os padrões de comando do Funklocker. Assinaturas YARA podem então ser aplicadas para automaticamente isolar ou excluir executáveis de ransomware identificados.

Resposta

Quando é detectada atividade do Funklocker, o servidor Wazuh gera alertas e seu componente Active Response inicia uma varredura YARA que remove o binário do ransomware junto com qualquer arquivo criptografado criado recentemente. O processo de resposta delineado também cobre a validação manual, o isolamento dos sistemas afetados e a recuperação de dados de backups confiáveis e não comprometidos.

Execução da Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter sido aprovado.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente as TTPs identificadas e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa & Comandos de Ataque:
  O atacante obteve acesso administrativo local no endpoint comprometido. Para garantir que o ransomware possa funcionar sem interrupções e permanecer oculto, ele executa uma série de comandos PowerShell de linha única que (1) desativam o registro de eventos de segurança, (2) desligam a proteção em tempo real do Microsoft Defender, (3) desativam o log de Aplicação e (4) definem a política de execução do PowerShell para Bypass. Cada comando é emitido diretamente de um prompt elevado do PowerShell, espelhando as strings exatas que a regra Sigma corresponde.

• Script de Teste de Regressão:

  # Comandos de desativação de logs e defender ao estilo Funklocker
  # 1. Desativar log de eventos de Segurança
  powershell -Command "wevtutil sl Security /e:false"
  
  # 2. Desativar monitoramento em tempo real do Microsoft Defender
  powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
  
  # 3. Desativar log de eventos de Aplicação
  powershell -Command "wevtutil sl Application /e:false"
  
  # 4. Contornar política de execução do PowerShell para o processo atual
  powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"

• Comandos de Limpeza:

  # Reativar log de eventos de Segurança
  wevtutil sl Security /e:true
  
  # Reativar monitoramento em tempo real do Microsoft Defender
  Set-MpPreference -DisableRealtimeMonitoring $false
  
  # Reativar log de eventos de Aplicação
  wevtutil sl Application /e:true
  
  # Restaurar política de execução padrão do PowerShell (Restrito)
  Set-ExecutionPolicy Restricted -Scope Process -Force