新兴勒索软件组织利用AI技术发动攻击

pyic

       近期，外媒报道称，2024年底新兴的勒索软件组织FunkSec（也被称为Funk Locker）运用AI技术对众多机构发起攻击。一旦系统被渗透，该勒索软件会加密文件，并在文件名后添加 “.funksec” 扩展名，使数据无法访问。它还会修改桌面背景，从远程服务器获取图片展示，向受害者强调其存在，并安排名为 “funk sec” 的任务，以维持对系统的访问，确保加密过程中对系统的控制，防止干扰。



       Trojan/Win64.FunkSec[Ransom]的首个样本在2025年01月被国内安全厂商捕获。它属于特洛伊木马，是一类以严重侵害运行系统的可用性、完整性、保密性为目的，或运行后能达到同类效果的恶意代码。该特洛伊木马关联样本是Windows平台下的PE文件，主要针对x86-64体系结构下的Windows 64位系统进行攻击。它的主要行为是加密或锁定用户设备中的文件，同时使其无法访问。它得名于其行为通过加密或锁定用户的文件，迫使用户支付赎金以恢复文件的访问权限。该特洛伊木马变种数与样本数持平，变种并未出现大规模样本的爆发，流行度较低。目前Trojan/Win64.FunkSec[Ransom]存在压缩文件、可执行文件至少两种格式的样本，压缩文件占绝大部分。除国内安全厂商外，基于样本的命名对比分析，当前至少1个国外安全厂商对其进行命名，国内外安全厂商对其行为分析较为清晰，检测的方式基本一致，对该特洛伊木马形成相同命名。



目录

1  病毒行为

2  样本格式分布

3  其他厂商命名

4  典型变种

5  典型样本

6  解决方案



病毒行为

Trojan/Win64.FunkSec[Ransom]会通过邮件附件、恶意链接或软件漏洞等方式潜入系统

它会扫描用户文件，并使用强加密算法对文件进行加密，限制用户访问

Trojan/Win64.FunkSec[Ransom]可能会更改系统设置以保证其持久性

它会向用户显示勒索说明，威胁用户不支付赎金将永久加密文件

这种病毒常会试图绕过杀毒软件的检测和防护，以确保自身能够长时间存在于系统中

Trojan/Win64.FunkSec[Ransom]可能会尝试隐藏其轨迹，使其难以被检测到。



样本格式分布

格式类别                                          占比                                格式描述

Archive                                           66.67%                           将文件或数据进行压缩和存储

BinExecute                                     33.33%                           用于执行二进制文件的工具或实用程序



其他厂商命名

厂商                                                 命名

Microsoft                                        Ransom:Win64/FunkSec.CCJT!MTB



典型变种

Trojan/Win64.FunkSec.gnm[Ransom]

Trojan/Win64.FunkSec.ccjt[Ransom]



典型样本

类型                                      值

MD5                                     46623d7f3154a226653aaefdf0fb035d

MD5                                     7f388e1322dc17eac68b219a272113ed

MD5                                     14d42dbe5398521f636b3f248387cecf



解决方案

及时备份文件至外部设备，确保数据安全，避免不必要的赎金支付

不随意打开来自未知来源的附件和链接，提高警惕

定期更新操作系统和软件，及时修补漏洞

使用安全可靠的防病毒软件并保持实时更新，加强系统安全防护

如发现文件被加密，不要轻易支付赎金，可以向专业安全机构求助，尝试恢复数据

若系统遭受感染，及时隔离或移除病毒并恢复系统至干净状态。




引用文章：Trojan/Win64.FunkSec[Ransom]病毒详解与防护



前两个样本VirusTotal没有收录，第三个样本VT扫描结果：

https://www.virustotal.com/gui/f ... 6d1cb58752ffa6c7d95