Este martes hemos asistido a la conferencia anual de referencia en Europa de Kaspersky, que este año se ha celebrado bajo el título ‘Horizons’ en el Hotel Riu de Madrid y ha profundizado sobre los retos y oportunidades presentes y futuros que tiene ante sí el ámbito de la ciberseguridad.
Durante el evento, el investigador jefe del equipo Global de Investigación y Análisis (GReAT) de la compañía, Marc Rivero, ha abordado la nueva era del ransomware potenciado con inteligencia artificial (IA) y para ello ha puesto el foco en FunkSec, un grupo de ransomware que ha presentado como la representación del futuro del cibercrimen a gran escala: impulsado por IA, multifuncional, altamente adaptable y orientado al volumen, con rescates que en algunos casos no superan los 10.000 dólares, una estrategia pensada para maximizar beneficios que combina herramientas y tácticas avanzadas.
Como ha indicado, FunkSec está activo desde finales de 2024 y ya ha logrado superar a actores establecidos como RansomHub o Cl0p, dirigiendo sus ataques a sectores estratégicos como el gubernamental, financiero, tecnológico y educativo en Europa y Asia. Lo que distingue a FunkSec es su sofisticada arquitectura técnica y la utilización de IA para el desarrollo de sus herramientas. Además, se trata de una plataforma de ransomware como servicio (RaaS) que democratiza el cibercrimen, ya que no se limita a proporcionar el malware y prestar soporte técnico, sino que también ofrece la posibilidad de que cualquier persona pueda convertirse en un afiliado de FunkSec, incluso operando de forma completamente autónoma.
«Esto es muy interesante, porque es la primera vez que lo observamos en la industria. El grupo FunkSec está distribuyendo una parte del código de fuente de forma gratuita para que cualquiera pueda compilarlo para convertirse en asociado. La razón detrás de esta decisión es que parte del código fue generado con IA y no le otorgan demasiado valor. Lo que realmente les importa es atraer a más afiliados«, subraya Rivero.
Otras características destacadas de FunkSec
El modelo operativo de FunkSec está concebido para ser rápido, barato y efectivo. Integra un cifrado a gran escala y una exfiltración agresiva de datos en un único ejecutable, basado en lenguaje Rust y que es capaz de desactivar más de 50 procesos en los equipos infectados. También cuenta con funciones de autolimpieza para evitar ser detectado y ha ampliado su arsenal incluyendo un generador de contraseñas y una herramienta básica de ataques de denegación de servicio distribuida (DDoS), ambos con claros indicios de haber sido creados mediante modelos de lenguaje generativos (LLMs).
A continuación, repasamos los principales elementos que definen su modo de operar, según destaca tanto Rivero como sus compañeros en GREaT.
Funcionalidad controlada por contraseña
FunkSec incorpora un mecanismo único basado en contraseñas que determina cómo se comporta el malware. Si no se introduce ninguna contraseña, solo cifra archivos de forma básica. Por el contrario, cuando se utiliza una contraseña válida se activa un modo más agresivo que además del cifrado lleva a cabo la exfiltración de datos sensibles.
FunkSec combina cifrado completo, exfiltración local y autolimpieza en un único archivo ejecutable en lenguaje Rust, sin necesidad de cargadores auxiliares ni scripts complementarios. Este nivel de integración es poco común y proporciona a sus afiliados una herramienta lista para usar y fácil de desplegar en distintos entornos.
Apuesta por rescates bajos y un alto volumen
A diferencia de los grupos de ransomware tradicionales que exigen rescates millonarios, FunkSec reclama rescates sorprendentemente bajos y, además, vende los datos robados a terceros a precios reducidos. Esta estrategia parece diseñada para facilitar un gran número de ciberataques y así afianzar rápidamente su reputación entre los círculos delictivos. Por tanto, FunkSec apuesta por un modelo de alta frecuencia y bajo coste, donde el uso de la IA resulta clave para automatizar y escalar sus operaciones.
Técnicas avanzadas de evasión
FunkSec utiliza métodos sofisticados para evitar ser detectado y complicar el trabajo de los analistas forenses. El ransomware es capaz de interrumpir más de medio centenar de procesos y servicios del sistema para garantizar que todos los archivos objetivo queden cifrados. Además, incorpora un mecanismo de respaldo que permite ejecutar determinados comandos incluso si el atacante no tiene los privilegios suficientes.
Cómo protegerse frente al ransomware
Desde Kaspersky también han ofrecido las siguientes recomendaciones para reducir el riesgo de ser víctima de un ataque de ransomware:
- Activar la protección frente al ransomware en todos los dispositivos.
- Mantener siempre actualizado el software en todos tus dispositivos para evitar que los atacantes aprovechen vulnerabilidades conocidas.
- Enfocar la estrategia de ciberseguridad en detectar movimientos laterales y exfiltración de datos a Internet. Prestar especial atención al tráfico saliente para identificar conexiones sospechosas con tu red. Asegurarse de tener copias de seguridad desconectadas, inaccesibles para intrusos, y comprobar que se pueden restaurar rápidamente en caso de emergencia.
- Instalar soluciones anti-APT y EDR que permitan detectar amenazas avanzadas, investigar incidentes y responder a tiempo. Además, proporcionar al equipo de seguridad acceso a inteligencia de amenazas actualizada y formación continua.
