FunkSec, la nuova filosofia del il ransomware: pochi, maledetti e subito

L’ultima, pericolosissima, gang protagonista del mondo della cybercriminalità si chiama FunkSec. Questo gruppo, nato sul finire del 2024, già si è fatto notare talmente tanto da essere citato durante l’evento Kaspersky Horizons di Madrid. FunkSec è un gruppo di hacker specializzati in ransomware e rappresenta oggi una delle minacce più insidiose nel settore della sicurezza informatica globale. La loro ascesa è stata fulminea, grazie a una combinazione di strategie operative inedite, sofisticazione tecnologica e sfruttamento massiccio dell’intelligenza artificiale generativa.

Come agisce FunkSec

Secondo i dati presentati dagli analisti, il gruppo ha imposto un riscatto di 10.000 dollari per ogni attacco. Le vittime, appartenenti principalmente ai settori governativo, tecnologico, finanziario ed educativo, sono localizzate in particolare in Europa e Asia, regioni dove la digitalizzazione è elevata e il valore dei dati sensibili è altissimo. Oltre 50 processi vengono sistematicamente bloccati sulle macchine colpite, paralizzando infrastrutture critiche e minacciando la continuità operativa di organizzazioni di rilievo.

Ciò che rende FunkSec un fenomeno dirompente nel panorama delle minacce informatiche è la sua strategia “high-volume, low-ransom”. Invece di puntare su pochi attacchi con richieste milionarie, il gruppo preferisce colpire numerosi bersagli con cifre contenute, ma facilmente esigibili. Questo modello, associato alla rivendita dei dati rubati a prezzi competitivi sui forum underground, ha permesso a FunkSec di costruire rapidamente una solida reputazione tra i principali attori della cybercriminalità internazionale.

Il malware principale sviluppato da FunkSec è stato scritto in Rust, linguaggio sempre più popolare tra i criminali informatici per la sua efficienza e capacità di eludere molte difese tradizionali. Si tratta di un singolo eseguibile che integra funzioni di crittografia e trasferimento dati, oltre a un sofisticato sistema di controllo tramite password. Questo meccanismo permette di attivare diverse modalità operative in base alla presenza o meno di credenziali specifiche, rendendo l’attacco estremamente flessibile e difficile da bloccare.

L’AI aiuta gli hacker

Il tratto distintivo del gruppo risiede nell’impiego avanzato di Large Language Models e sistemi di automazione. Gli esperti del Global Research and Analysis Team di Kaspersky hanno rilevato come molte porzioni di codice siano generate automaticamente, evidenziando commenti generici e strutture incoerenti, tipiche dei prodotti realizzati tramite intelligenza artificiale.

Questo riduce i costi e abbassa la barriera d’ingresso al mercato del ransomware, consentendo anche a cybercriminali meno esperti di lanciare attacchi complessi con strumenti avanzati.

L’arsenale di FunkSec non si limita al solo ransomware. Sul proprio Dark Leak Site, il gruppo mette a disposizione una serie di strumenti complementari, tra cui generatori di password per attacchi brute-force e tool per attacchi DDoS. Questa offerta multipla consente di diversificare le fonti di guadagno e di espandere la propria influenza su scala globale.

Una minaccia difficile da contrastare

Dal punto di vista tecnico, le capacità di evasione sviluppate da FunkSec sono tra le più avanzate osservate negli ultimi anni. Il malware è in grado di disabilitare decine di processi e servizi di sicurezza, oltre a disporre di meccanismi alternativi che garantiscono l’esecuzione anche in assenza di privilegi elevati.

Questo livello di sofisticazione rende la minaccia particolarmente insidiosa per le organizzazioni che non dispongono di adeguate strategie di protezione dai ransomware.

Kaspersky identifica questa minaccia con la sigla HEUR Trojan Ransom Win64 Generic e raccomanda un approccio multilivello alla difesa: implementazione di soluzioni anti-ransomware su tutti gli endpoint, aggiornamento costante dei software, monitoraggio del traffico di rete in uscita, predisposizione di backup offline e adozione di soluzioni EDR avanzate, supportate da una solida Threat Intelligence.