In dieser Woche befasst sich CTI mit einer neuen Ransomware-Gruppe namens FunkSec, die Ende 2024 aufgetaucht ist. Anschließend berichtet CTI über Einzelheiten einer neuen Malvertising-Kampagne, die sich gegen Unternehmen und Privatpersonen richtet, die über Google Ads werben. Schließlich beleuchtet CTI, wie Angreifer zunehmend gefälschte Software und Installationsprogramme nutzen, um Malware zum Diebstahl von Daten zu verbreiten.
Die Ransomware „FunkSec“ bedroht Opfer weltweit
Forscher von Check Point Security (wird in einem neuen Tab geöffnet) schlagen Alarm wegen „FunkSec“ – einer neuen Ransomware-Kampagne namens „ “ (wird in einem neuen Tab geöffnet) , die offenbar künstliche Intelligenz zur Entwicklung ihrer Malware einsetzt.
Laut Check Point forderte FunkSec im Dezember mehr als 85 Opfer. Die Glaubwürdigkeit dieser Behauptungen ist jedoch fraglich, da ein Teil der verfügbaren Informationen aus früheren Indiskretionen stammt.
Was ist die Ransomware „FunkSec“?
Wie viele Ransomware-Gruppen heutzutage wendet auch FunkSec Taktiken der doppelten Erpressung an. Im Gegensatz zu anderen Gruppen scheint diese jedoch geringe Lösegeldsummen zu fordern, von denen einige bei nur 10 000 US-Dollar liegen.
Ein genauerer Blick auf die Aktivitäten der Gruppe sowie die Diskussionen über sie im Dark Web deutet darauf hin, dass ihre Motivation an der Grenze zwischen Cyberkriminalität und Hacktivismus liegt. Check Point weist zudem darauf hin, dass der Kernbetrieb von FunkSec wahrscheinlich von unerfahrenen Akteuren durchgeführt wird. Neben Ransomware bietet die Gruppe noch einige weitere Tools an, darunter eine intelligente Passwortgenerierung, ein Scraping-Tool sowie ein Tool für verteilte Denial-of-Service-Angriffe (DDoS) vom Typ „ “ (wird in einem neuen Tab geöffnet).
Die Ransomware von FunkSec hat sich rasch weiterentwickelt, wobei die einzelnen Versionen im Abstand von nur wenigen Tagen veröffentlicht wurden. Die neueste Version, v1,5, weist angeblich eine geringe Erkennungsrate auf. Check Point hat ein Beispiel erhalten und festgestellt, dass die Entwicklung noch im Gange ist und wahrscheinlich von einem weniger erfahrenen Malware-Entwickler stammt.
Check Point stellte zudem fest, dass alle Versionen der Ransomware, auf die das Unternehmen stieß, aus Algerien hochgeladen wurden, was Aufschluss über die Identität des Autors geben könnte und erneut auf eine unerfahrene Gruppe hindeutet.
KI-gestützte Entwicklung von Malware
FunkSec scheint sich bei der Weiterentwicklung seiner Malware in hohem Maße auf die KI-Fähigkeiten von „ “ zu stützen: (wird in einem neuen Tab geöffnet) . Check Point hat festgestellt, dass die öffentlich zugänglichen Skripte des Unternehmens zahlreiche Code-Kommentare enthalten, die in perfektem Englisch verfasst sind und wahrscheinlich von einem LLM-Agenten generiert wurden: (öffnet in einem neuen Tab). Ähnliche Muster lassen sich im Quellcode ihrer Ransomware erkennen, von der ebenfalls angenommen wird, dass sie mit Hilfe von KI erstellt wurde.
In weiteren von der Gruppe veröffentlichten Mitteilungen stellen sie einen konkreten Zusammenhang zwischen der Entwicklung der Ransomware und der KI her. Dies steht im Einklang mit anderen öffentlichen Aussagen der Gruppe, zumal diese einen KI-Chatbot veröffentlicht hat, um ihre Aktivitäten weiter zu unterstützen.
Wie funktioniert FunkSec?
Check Point hat die derzeit im Umlauf befindlichen FunkSec-Ransomware-Beispiele eingehender untersucht und dabei Folgendes festgestellt:
- Im Kern handelt es sich bei FunkSec um eine auf das Wesentliche reduzierte Rust-Binärdatei, die sich schwerer rückentwickeln lässt. Die Forscher waren besonders überrascht von der Redundanz in der Binärdatei, da sich der Kontrollfluss wiederholt und Funktionen immer wieder aufruft.
- Nachdem sich die Malware die erforderlichen erweiterten Berechtigungen verschafft hat, führt sie mehrere Befehle aus, um Windows Defender, die Protokollierung von Sicherheitsereignissen, die Protokollierung von Anwendungsereignissen und weitere Funktionen zu deaktivieren. Zudem beendet es Prozesse, die in einer fest programmierten Liste aufgeführt sind.
- Die Malware durchläuft nacheinander alle Laufwerke und verschlüsselt jede Datei, die eine der betroffenen Dateiendungen aufweist. Die verschlüsselten Dateien tragen die Dateiendung „
.funksec“. Anschließend schreibt die Malware die Lösegeldforderung auf die Festplatte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
FunkSec hat seit seinem Auftreten im vergangenen Monat angeblich zahlreiche Opfer gefordert, wenngleich die Glaubwürdigkeit und Richtigkeit dieser Behauptungen fraglich sind.
Die Untersuchungen von Check Point deuten darauf hin, dass diese Gruppe aus mehreren Gründen nicht so ausgefeilt ist wie andere, insbesondere aufgrund ihres umfangreichen Einsatzes von KI (öffnet in einem neuen Tab). Cyberkriminelle haben im vergangenen Jahr KI nicht in dem Maße eingesetzt, wie Forscher es erwartet hatten – zumindest nicht auf fortgeschrittene Weise. Es scheint, dass die Täter KI in erster Linie aufgrund mangelnder Fachkenntnisse einsetzen und nicht, um komplexere Malware und Ransomware zu entwickeln.
Malvertising-Betrug zielt auf Nutzer von Google Ads ab
Malwarebytes hat kürzlich Informationen unter (wird in einem neuen Tab geöffnet) zu einer neuen Malvertising-Kampagne veröffentlicht, die sich gegen Privatpersonen und Unternehmen richtet, die Google Ads für Werbezwecke nutzen.
Diese Kampagne zielt darauf ab, Google Ads-Konten zu stehlen, indem sie sich als Anzeigen ausgibt und die Opfer auf Phishing-Seiten weiterleitet. Malwarebytes geht davon aus, dass das übergeordnete Ziel darin bestehen könnte, diese gestohlenen Konten in Untergrundforen für böswillige Zwecke zu verkaufen.
Wie sich Cyberkriminelle als Google Ads ausgeben
Malwarebytes bemerkte verdächtige Aktivitäten im Zusammenhang mit Google-Konten zunächst zufällig. Das Unternehmen führte die Aktivitäten auf bösartige Anzeigen bei Google Ads zurück.
Die gesponserte Anzeige für Google Ads wirkt vertrauenswürdig, doch wenn Sie auf die drei Punkte daneben klicken, um weitere Details zum Werbetreibenden anzuzeigen, können Sie erkennen, dass es sich um ein gehacktes Konto handelt. In der Anzeige heißt es, sie werde von einem durch Google verifizierten Werbetreibenden geschaltet (was zutrifft, da es sich um ein echtes Konto handelt – das lediglich gehackt wurde), doch als Werbetreibender wird der Name einer Person angegeben und nicht Google selbst.
Verwendete Arten von Köder- und Phishing-Methoden
Wenn ein Opfer auf eine der betrügerischen Anzeigen klickt, wird es auf eine Seite weitergeleitet, die der Startseite von Google Ads sehr ähnlich sieht. Die Website wird auf „sites.google[.]com“ gehostet, was ihre Seriosität unterstreicht. Auf diesen Seiten befindet sich eine weitere Schaltfläche mit der Aufschrift „Jetzt starten“, die den Nutzer beim Anklicken auf eine Phishing-Seite von „ “ weiterleitet: (wird in einem neuen Tab geöffnet). Diese Seite dient dazu, die Google-Ads-Zugangsdaten des Opfers zu stehlen und an einen vom Angreifer kontrollierten Remote-Server zu übermitteln.
Wer steckt hinter der Malvertising-Kampagne bei Google Ads?
Malwarebytes hat zwei Gruppen von Cyberkriminellen identifiziert, die diese Kampagne durchführen:
- Die erste Gruppe, „ “, besteht aus portugiesischsprachigen Akteuren, von denen angenommen wird, dass sie von Brasilien aus operieren. Malwarebytes meldete innerhalb weniger Tage über 50 betrügerische Google-Anzeigen, die von dieser Gruppe stammten.
- Die zweite Gruppe, „ “, nutzt Werbekonten aus Hongkong und soll von Asien aus operieren. Sie nutzen eine ähnliche Verteilungskette, doch das Phishing-Kit selbst variiert.
Darüber hinaus gibt es eine dritte, damit zusammenhängende Kampagne, die anstelle von Google-Websites auf ein gefälschtes CAPTCHA zurückgreift.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Malwarebytes hervorhebt, haben gestohlene Google-Ads-Konten in der Cyberkriminellen-Szene einen erheblichen Wert, was die zahlreichen Kampagnen erklärt, die diese kompromittierten Konten ausnutzen.
Durch die Kompromittierung von Google Ads-Konten umgehen Angreifer die Kosten, die mit der Schaltung betrügerischer Anzeigen verbunden sind, und wälzen diese Belastung stattdessen auf den betroffenen Eigentümer oder das betroffene Unternehmen ab.
Malvertising nimmt seit Monaten zu (wird in einem neuen Tab geöffnet), wenn nicht sogar seit Jahren, und diese Kampagne dient als weitere Mahnung, vorsichtig zu sein, worauf Sie in Suchmaschinenergebnissen klicken, insbesondere bei Einträgen, die als gesponserte Anzeigen erscheinen.
Angreifer nutzen gefälschte Software und Installationsprogramme, um Malware zu verbreiten
Der neueste Bericht von Trend Micro mit dem Titel „ “ (wird in einem neuen Tab geöffnet) befasst sich mit der zunehmenden Bedrohung durch gefälschte Software und Installationsprogramme, die als Mittel zur Verbreitung von Infostealer-Malware dienen.
Laut Trend Micro nutzen Angreifer YouTube und verschiedene Social-Media-Plattformen, um Links zu gefälschten Installationsprogrammen zu verbreiten, und greifen dabei auf seriöse Datei-Hosting-Dienste zurück, um die Herkunft der Malware zu verschleiern.
Die Täter locken potenzielle Opfer häufig dazu, gefälschte Installationsprogramme herunterzuladen, indem sie Profile auf Plattformen wie YouTube erstellen. Trend Micro weist darauf hin, dass diese Profile häufig Installationsanleitungen enthalten, die die Opfer zusätzlich dazu verleiten, auf schädliche Links in der Videobeschreibung oder im Kommentarbereich zu klicken. In einem Fall leitet der Link im Kommentarbereich die Opfer auf eine andere YouTube-Seite weiter, auf der ein Download-Link für das gefälschte Installationsprogramm erscheint.
Klickt das Opfer auf den Link zum gefälschten Installationsprogramm, wird eine Datei von der legitimen MediaFire-Hosting-Seite heruntergeladen. In anderen beobachteten Fällen wurde die Schadsoftware auf die Datei-Hosting-Plattform „Mega“ hochgeladen.
Trend Micro hat zudem Fälle festgestellt, in denen Opfer bei der Suche über Suchmaschinen versehentlich auf gefälschte Installationsprogramme stoßen. In diesen Fällen finden sich die Ergebnisse auf Websites wie OpenSea, einem NFT-Marktplatz, und SoundCloud, einer Plattform zum Teilen von Musik.
Beispiele für die Analyse von Infektionen durch gefälschte Software-Installationsprogramme
Der Bericht von Trend Micro zu dieser Bedrohung analysierte zwei Szenarien, in denen der Download-Vorgang erfolgreich war und der Inhalt reibungslos ausgeführt wurde, was wertvolle Einblicke in den gesamten Prozess bietet.
- Umgehung durch große installierte Dateien
In einem von Trend Micro beobachteten Fall betrug die Größe der entpackten Installationsdatei 900 MB. Diese große Datei hilft dabei, Sicherheitsmaßnahmen zu umgehen, und kann möglicherweise die Sandbox-Analyse umgehen, da sie einer legitimen Installationsdatei stärker ähnelt. Die Infektion beginnt, sobald die ausführbare Datei unter.zipausgeführt wird.
Bei der Untersuchung einer der ausgeführten Batch-Dateien stellte Trend Micro fest, dass diese verschleierte Einträge enthielt. Nach der Bereinigung der Batch-Datei stellten die Forscher fest, dass diese das AutoIt-Skript durch das Zusammenführen von Dateien erstellte und anschließend ausführte, was dazu führte, dass weitere Dateien abgelegt wurden. Anschließend kann es eine Prozessinjektion durchführen, Daten aus Browserumgebungen abgreifen und eine Verbindung zu mehreren C2 -Adressen herstellen. - Download einer komprimierten Datei:
In einem weiteren Beispiel begann die Infektion, als das Opfer eine komprimierte Datei von einer bekannten Hosting-Website herunterlud.
Durch das Entpacken der Datei und die Eingabe eines Passworts wird das Installationsprogramm ausgeführt. Dieses Installationsprogramm startet legitime Prozesse, in die es Code einschleust, richtet AutoIt ein und stellt eine Verbindung zu dessen Server „ C2 “ her, um weitere Schadsoftware herunterzuladen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Seit einiger Zeit nutzen Angreifer gefälschte Installationsprogramme und geknackte Software, um Malware zu verbreiten, was darauf hindeutet, dass diese Vorgehensweise bis zu einem gewissen Grad erfolgreich sein muss.
Die von Trend Micro analysierten Kampagnen ähneln jenen, bei denen Kommentare in GitHub-Repositorys missbraucht werden. Diese Kampagnen nutzen das hohe Vertrauen aus, das die Nutzer in diese Plattformen setzen, weshalb es für den Einzelnen immer wichtiger wird, sich bewusst zu machen, was er herunterlädt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Diskussionsforum von Tanium unter (wird in einem neuen Tab geöffnet),sowie und nehmen Sie an einer Diskussion teil.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
