Esta semana, CTI analiza un nuevo grupo de ransomware denominado FunkSec que surgió a finales de 2024. A continuación, CTI ofrece detalles sobre una nueva campaña de publicidad maliciosa dirigida a empresas y particulares que se anuncian a través de Google Ads. Por último, CTI arroja luz sobre cómo los autores de amenazas recurren cada vez más a software e instaladores falsos para distribuir malware destinado al robo de información.
El ransomware FunkSec amenaza a víctimas de todo el mundo
Los investigadores de Check Point Security (se abre en una nueva pestaña) están dando la voz de alarma sobre FunkSec, una nueva operación de ransomware de tipo « » (se abre en una nueva pestaña) que parece utilizar la inteligencia artificial para desarrollar su malware.
Según Check Point, FunkSec se cobró más de 85 víctimas en diciembre. Sin embargo, la legitimidad de estas afirmaciones es cuestionable, ya que parte de la información disponible procede de filtraciones anteriores.
¿Qué es el ransomware FunkSec?
Al igual que muchos grupos de ransomware en la actualidad, FunkSec recurre a tácticas de doble extorsión. Sin embargo, a diferencia de otros grupos, parece que exige rescates bajos, algunos de los cuales llegan a ser de tan solo 10,000 dólares.
Un análisis más detallado de las actividades del grupo y de los debates sobre el mismo en la dark web indica que la motivación del grupo se sitúa en la frontera entre la ciberdelincuencia y el hacktivismo. Check Point señala asimismo que es probable que sean actores sin experiencia quienes lleven a cabo la operación principal de FunkSec. Además del ransomware, el grupo ofrece otras herramientas, entre las que se incluyen un generador inteligente de contraseñas, una herramienta de scraping y una herramienta de denegación de servicio distribuido (DDoS) de tipo « » (se abre en una nueva pestaña).
El ransomware de FunkSec ha evolucionado rápidamente, y cada versión se ha publicado con tan solo unos días de diferencia. La última versión, la v1.5, afirma tener una baja tasa de detección. Check Point obtuvo una muestra y determinó que el proyecto de desarrollo sigue en marcha y que, probablemente, se trata de la obra de un desarrollador de malware con poca experiencia.
Check Point también descubrió que todas las versiones del ransomware que detectaron se habían subido desde Argelia, lo que podría indicar la identidad del autor y sugiere, una vez más, que se trata de un grupo sin experiencia.
Desarrollo de malware asistido por IA
FunkSec parece basarse en gran medida en las capacidades de inteligencia artificial de (se abre en una nueva pestaña) para mejorar su malware. Check Point ha observado que sus scripts de uso público contienen numerosos comentarios de código redactados en un inglés impecable, que probablemente hayan sido generados por un agente LLM (se abre en una nueva pestaña). Se observan patrones similares en el código fuente vinculado a su ransomware, del que también se cree que se ha creado con la ayuda de la inteligencia artificial.
En otros mensajes publicados por el grupo, relacionan el desarrollo del ransomware específicamente con la inteligencia artificial. Esto concuerda con otras declaraciones públicas del grupo, sobre todo teniendo en cuenta que han lanzado un chatbot basado en inteligencia artificial para reforzar aún más sus operaciones.
¿Cómo funciona FunkSec?
Check Point ha analizado en profundidad las muestras del ransomware FunkSec que se encuentran actualmente en circulación y ha determinado lo siguiente:
- En esencia, FunkSec es un binario de Rust simplificado, lo que dificulta su ingeniería inversa. A los investigadores les sorprendió especialmente la redundancia del código binario, ya que el flujo de control se repite y llama a funciones una y otra vez.
- Una vez que el malware obtiene los privilegios elevados necesarios, ejecuta varios comandos para desactivar Windows Defender, el registro de eventos de seguridad, el registro de eventos de aplicaciones y otras funciones. Además, cierra los procesos que figuran en una lista predefinida.
- El malware recorrerá cada unidad y cifrará todos los archivos que tengan una de las extensiones de archivo afectadas. Los archivos cifrados tendrán una extensión de tipo
.funksec. A continuación, el malware guardará la nota de rescate en el disco.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
FunkSec ha causado numerosas víctimas desde su aparición el mes pasado, aunque la veracidad y la exactitud de estas afirmaciones son cuestionables.
Las investigaciones de Check Point indican que este grupo no es tan sofisticado como otros por varias razones, en particular por su uso extensivo de la IA (se abre en una nueva pestaña). El año pasado, los autores de amenazas no utilizaron la inteligencia artificial tanto como esperaban los investigadores, al menos no de forma avanzada. Parece que los autores recurren a la inteligencia artificial principalmente por falta de conocimientos, más que para crear malware y ransomware más complejos.
Una estafa de publicidad maliciosa se dirige a los usuarios de Google Ads
Malwarebytes ha publicado recientemente información (se abre en una nueva pestaña) sobre una nueva campaña de publicidad maliciosa dirigida a particulares y empresas que utilizan Google Ads para anunciarse.
Esta campaña tiene como objetivo suplantar cuentas de Google Ads mediante anuncios falsos y redirigir a las víctimas a páginas de phishing. Malwarebytes considera que el objetivo principal podría ser vender estas cuentas robadas en foros clandestinos para darles un uso malintencionado.
Cómo se hacen pasar los ciberdelincuentes por Google Ads
Malwarebytes empezó a detectar por casualidad una actividad sospechosa relacionada con cuentas de Google. La empresa determinó que dicha actividad se debía a anuncios maliciosos de Google Ads.
El anuncio patrocinado de Google Ads parece legítimo, pero si hace clic en los tres puntos que hay junto a él para ver más detalles sobre el anunciante, podrá comprobar que se trata de una cuenta comprometida. El anuncio indica que lo publica un anunciante cuya identidad ha sido verificada por Google (lo cual es cierto, ya que se trata de una cuenta real —aunque haya sido objeto de un ataque—), pero el anunciante es el nombre de una persona en lugar de la propia Google.
Tipos de señuelos y técnicas de phishing utilizadas
Si una víctima hace clic en uno de los anuncios maliciosos, se le redirige a una página que se parece mucho a la página de inicio de Google Ads. El sitio web está alojado en «sites.google[.]com», lo que refuerza su credibilidad. En estas páginas hay otro botón con la etiqueta «Empezar ahora» que, al hacer clic en él, redirige al usuario a un sitio web de suplantación de identidad de : (se abre en una nueva pestaña),y . El objetivo de esta página es sustraer las credenciales de Google Ads de la víctima y enviarlas a un servidor remoto controlado por el autor de la amenaza.
¿Quién está detrás de la campaña de publicidad maliciosa de Google Ads?
Malwarebytes ha identificado dos grupos de ciberdelincuentes que llevan a cabo la campaña:
- El primer grupo, « », está formado por actores de habla portuguesa que, según se cree, operan desde Brasil. Malwarebytes ha informado de más de 50 anuncios fraudulentos de Google procedentes de este grupo en tan solo unos días.
- El segundo grupo, « », utiliza cuentas publicitarias de Hong Kong y se cree que opera desde Asia. Utilizan una cadena de distribución similar, pero el kit de phishing en sí varía.
Además, existe una tercera campaña relacionada que se basa en un CAPTCHA falso en lugar de en los sitios web de Google.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como destaca Malwarebytes, las cuentas de Google Ads sustraídas tienen un gran valor dentro de la comunidad de ciberdelincuentes, lo que explica las numerosas campañas que se aprovechan de estas cuentas comprometidas.
Al comprometer cuentas de Google Ads, los autores de las amenazas eluden los gastos que conlleva la publicación de anuncios fraudulentos y, en su lugar, trasladan esa carga al propietario o a la empresa afectados.
La publicidad maliciosa lleva meses en aumento (se abre en una nueva pestaña), si no años, y esta campaña sirve como un nuevo recordatorio de que debe tener cuidado con lo que pulsa en los resultados de los motores de búsqueda, especialmente en aquellos que aparecen como anuncios patrocinados.
Los autores de amenazas utilizan software e instaladores falsos para distribuir malware
El último informe de Trend Micro, titulado « » (se abre en una nueva pestaña) , analiza la creciente amenaza que suponen el software y los instaladores falsos como método para distribuir malware de robo de información.
Según Trend Micro, los autores de las amenazas están utilizando YouTube y diversas redes sociales para compartir enlaces a instaladores falsos, al tiempo que recurren a servicios de alojamiento de archivos de confianza para ocultar el origen del malware.
Los delincuentes suelen engañar a las posibles víctimas para que descarguen instaladores falsos creando perfiles en plataformas como YouTube. Trend Micro señala que estos perfiles suelen incluir tutoriales de instalación que incitan aún más a las víctimas a hacer clic en enlaces maliciosos que aparecen en la descripción del vídeo o en la sección de comentarios. En un caso concreto, el enlace que aparece en la sección de comentarios redirige a las víctimas a otra página de YouTube en la que se muestra un enlace de descarga del instalador falso.
Si la víctima hace clic en el enlace del instalador falso, se descargará un archivo desde el sitio legítimo de alojamiento MediaFire. En otros casos observados, la amenaza se subió al sitio de alojamiento de archivos Mega.
Trend Micro también ha detectado casos en los que las víctimas se topan sin darse cuenta con instaladores falsos al buscarlos a través de los motores de búsqueda. En estos casos, los resultados se pueden encontrar en sitios web como OpenSea, un mercado de NFT, y SoundCloud, una plataforma para compartir música.
Ejemplos de análisis de infecciones provocadas por instaladores de software falsos
El informe de Trend Micro sobre esta amenaza analizó dos situaciones en las que el proceso de descarga se completó con éxito y el contenido se ejecutó sin problemas, lo que ofrece información valiosa sobre el proceso en su totalidad.
- Evasión mediante archivos de gran tamaño
En un caso observado por Trend Micro, el archivo de instalación descomprimido ocupaba 900 MB. Este archivo de gran tamaño ayuda a eludir las defensas y puede burlar el análisis en entorno aislado, ya que se asemeja mucho más a un archivo de instalación legítimo. La infección se inicia cuando se ejecuta el archivo ejecutable que se encuentra en.zip.
Al analizar uno de los archivos por lotes ejecutados, Trend Micro descubrió que contenía entradas ofuscadas. Tras depurar el archivo por lotes, los investigadores descubrieron que este generaba el script de AutoIt combinando varios archivos y, a continuación, lo ejecutaba, lo que provocaba la creación de archivos adicionales. A continuación, puede llevar a cabo una inyección de procesos, sustraer datos de entornos de navegador y establecer una conexión con varias direcciones C2 . - Descarga de un archivo comprimido:
En otro ejemplo, la infección se inició cuando la víctima descargó un archivo comprimido de un sitio de alojamiento conocido.
Al descomprimir el archivo e introducir una contraseña, se ejecutará el instalador. Este instalador generará procesos legítimos en los que inyectará código, instalará AutoIt y se conectará a su servidor C2 para descargar más malware.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas llevan ya algún tiempo utilizando instaladores falsos y software pirateado para distribuir malware, lo que pone de manifiesto que, en cierta medida, esta estrategia debe de estar dando resultado.
Las campañas analizadas por Trend Micro son similares a aquellas que hacen un uso indebido de los comentarios de los repositorios de GitHub. Estas campañas se aprovechan del alto nivel de confianza que los usuarios depositan en estas plataformas, por lo que cada vez es más importante que las personas sean conscientes de lo que descargan.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
