FunkSec: Kaspersky analysiert KI-gestützte Ransomware mit passwortgesteuerten Funktionen
Auf der Kaspersky-Konferenz Horizons stellte das Unternehmen neue Erkenntnisse zur Ransomware-Gruppe FunkSec vor, die seit Ende 2024 aktiv ist. Die Schadsoftware steht exemplarisch für eine neue Generation KI-unterstützter Cyberangriffe: automatisiert, adaptiv und volumenbasiert. FunkSec greift gezielt Regierungs-, Finanz-, Technologie- und Bildungseinrichtungen in Europa und Asien an und kombiniert starke Verschlüsselung, Datenexfiltration und Selbstbereinigung in einer einzigen ausführbaren Datei. Auffällig ist der passwortgesteuerte Mechanismus, der verschiedene Betriebsmodi freischaltet: Ohne Passwort erfolgt reine Verschlüsselung, mit Passwort zusätzlich eine aggressive Exfiltration sensibler Daten. Die Malware kann über 50 Prozesse deaktivieren und verfügt über Fallback-Funktionen zur Umgehung von Rechteprüfungen.
Kaspersky stellt bei der Codeanalyse klare Hinweise auf den Einsatz generativer KI fest: Platzhalterkommentare, inkonsistente Systemaufrufe, ungenutzte Module – typische Merkmale von durch LLMs erzeugtem Code. Die Angriffe zeichnen sich durch vergleichsweise niedrige Lösegeldforderungen ab ca. 10.000 US-Dollar aus, kombiniert mit dem Weiterverkauf gestohlener Daten. Die Gruppe erweitert ihr Arsenal zudem um einen Python-basierten Passwortgenerator und ein einfaches DDoS-Tool, die über ihre Dark-Leak-Site verfügbar sind. FunkSec verfolgt damit ein „Low Cost, High Volume“-Modell, das KI nutzt, um Entwicklungsaufwand zu minimieren und Angriffsfrequenz zu maximieren. Für Sicherheitsverantwortliche entsteht daraus eine neue Bedrohungsklasse mit hoher Skalierbarkeit und sinkender Eintrittsschwelle für Angreifer.
Kaspersky empfiehlt umfassende Schutzmaßnahmen: regelmäßige Updates, Fokus auf Exfiltrationserkennung, Offline-Backups, den Einsatz von Anti-Ransomware-Tools und EDR/XDR-Lösungen wie Kaspersky Expert Security. Zusätzlich sollten SOC-Teams mit aktuellen Threat-Intelligence-Daten und Schulungen ausgestattet werden. Die Malware wird von Kaspersky unter der Kennung HEUR:Trojan-Ransom.Win64.Generic erkannt.
Die Produkte von Kaspersky erkennen FunkSec als HEUR:Trojan-Ransom.Win64.Generic.
[1] https://www.kaspersky.com/anti-ransomware-tool
[2] https://go.kaspersky.com/expert-de
[3] https://www.kaspersky.de/enterprise-security/threat-intelligence
[4] https://www.kaspersky.de/next
Nützliche Links:
- Kaspersky Next: https://www.kaspersky.de/next
Kaspersky Anti-Ransomware Tool: https://www.kaspersky.com/anti-ransomware-tool
