FunkSec

FunkSec は2024年後半に登場したランサムウェアグループである。Check Point によれば、2024年12月に85件超の被害者を公開し、その月はどのランサムウェアグループよりも多かった [s4]。自らを新たな RaaS として打ち出しているが、既知のランサムウェア集団との関係は見つかっていない [s4]。RansomLook の記録では初出は2024年12月4日である。

データリークサイト（DLS）は2024年12月に立ち上げられ、活動を一元化する目的だった [s4][s5]。DLS には侵害の告知、自作の DDoS ツール、そして最近では RaaS として提供される自作ランサムウェアが掲載されている [s4]。動機はハクティビズムとサイバー犯罪の境界にあり、構成員の一部は以前ハクティビスト活動に関わっていた [s4]。Check Point は、中核の運用は経験の浅い者が担っている可能性が高いと評価している [s4]。暗号化ツールの作者はアルジェリアにいる比較的未熟な人物とみられ、ツールの開発には AI の支援があった可能性が高いという [s4]。Picus も、LLM 支援による開発と、Miniapps プラットフォームで悪用目的のカスタム AI チャットボットを作っていた点を指摘している [s5]。

中心人物は Scorpion で、別名は DesertStorm である [s4]。2024年10月に Breached Forum と YouTube チャンネル経由で FunkSec の名を出し、AI 生成とみられる偽の通話音声を「流出」と称して公開した [s4]。DesertStorm は同フォーラムのアカウントが2024年11月に BAN され、その後は El_farado が宣伝役を担った [s4]。ほかに XTN（データ整理サービスに関連）、Blako、Bjorka との緩い関係も挙げられる [s4]。Bjorka との協力は確認されておらず、なりすましか緩い関係にとどまる可能性がある [s4]。Ghost Algéria や Cyb3r Fl00d など、すでに活動していないハクティビスト集団との関連を示す形跡も、ランサムノートなどに見られる [s4]。

手口として、Check Point と Picus は、Rust 製の暗号化ツールが管理者権限を net session で確認し、なければ PowerShell で昇格を試みると述べている [s5]。続いて Windows Defender のリアルタイム監視を無効化し、Security と Application のイベントログ記録を停止し、PowerShell の実行ポリシーを回避し、vssadmin でシャドウコピーを削除する [s5]。ファイルロックを避けるため、あらかじめ定めたプロセスとサービスの一覧を停止する [s5]。暗号化は全ドライブを再帰的に走査して行い、拡張子は .funksec である [s4][s5]。Picus は暗号方式に orion.rs クレートの ChaCha20 を使うとし [s5]、Check Point が分析した初期のプロトタイプは RSA と AES の組み合わせだった [s4]。ビルド環境のパスには C:\Users\Abdellah\ が含まれていた [s4]。

データ窃取と暗号化を組み合わせた二重脅迫を行い、身代金は最低約1万ドルと異例に低額で、盗んだデータも安価に第三者へ売ると報告されている [s4][s5]。ランサムノートは絵文字を多用し、0.1 BTC の支払いと、連絡手段として Session の利用を指示している [s5]。RansomLook は連絡手段を Session とし、ハンドルは 0538d726ae3cc264c1bd8e66c6c6fa366a3dfc589567944170001e6fdbea9efb3d としている。Scorpion 関連の窓口として hxxps://miniapps[.]ai/funksec が挙げられている [s6]。DLS は hxxp://funknqn44slwmgwgnewne6bintbooauwkaupik4yrlgtycew3ergraid[.]onion/ と hxxp://funkiydk7c6j3vvck5zk2giml2u746fa5irwalw2kjem6tvofji7rwid[.]onion/ が報告され、マルウェアの配布先として hxxps://gofile[.]io/d/8FOSeP も挙げられた [s6]。付随ツールは、Python 製の DDoS ツール FDDOS、C++ 製の HVNC である JQRAXY_HVNC、資格情報の収集・生成ツール funkgenerate である [s4][s5]。初期侵入について、cyberflorida は T1193、T1203、T1189 に基づくスピアフィッシング、クライアント側脆弱性の悪用、ドライブバイ、さらに偽ツールを装う torrent サイトを挙げている [s6]。ただし同資料は、情報が限られていると断っている [s6]。

標的は主に米国とインドで、「Free Palestine」運動に沿った主張を伴うと主張されている [s4][s5]。cyberflorida は、政府、医療、製造、メディア、技術の各分野を標的として挙げる [s6]。出典には日本の組織名や被害時期の記載はない。Check Point は、公開された被害者数は実態より小さい可能性があり、流出データの一部は過去のハクティビスト関連の漏えいを使い回したものとして、真正性に疑問を呈している [s4]。

動向として、同グループは2024年12月に被害公表を急増させて注目を集め、サイバー犯罪フォーラムでも広く話題になった [s4]。ランサムウェアは数日おきに新版を公開し、V1.5 の告知ではウイルス検知が3エンジンにとどまると誇示した [s4]。Check Point はこのことから、被害者数などの主張に頼ったグループ評価の信頼性に疑問を投げかけている [s4]。