Expertos de Kaspersky revelaron el funcionamiento interno de FunkSec, un grupo de ransomware que ilustra el futuro del cibercrimen masivo: es impulsado por Inteligencia Artificial (IA) y multifuncional, sumamente flexible y actúa en volumen, con rescates tan bajos como 10,000 dólares, para obtener ganancias máximas. El enfoque usado por este grupo refleja el panorama cambiante de la ciberdelincuencia masiva, que combina herramientas y tácticas avanzadas.

FunkSec, que lleva menos de un año activo desde su aparición a finales de 2024, ha superado rápidamente a muchos agentes de amenazas establecidos al escoger como objetivos los sectores gubernamental, tecnológico, financiero y educativo principalmente en países de Europa y Asia.

Según el informe de Kaspersky El Estado del Ransomware, la proporción de usuarios afectados por ataques de ransomware a nivel mundial aumentó al 0.44% entre 2023 y 2024, un incremento de 0.02 puntos porcentuales. Si bien este porcentaje puede parecer modesto en comparación con otras ciberamenazas, refleja que los atacantes suelen priorizar objetivos de alto valor en vez de la distribución masiva, lo que hace que cada incidente sea potencialmente devastador. En este panorama en constante evolución, FunkSec se ha convertido en una amenaza particularmente preocupante.

Lo que distingue a FunkSec es su compleja arquitectura técnica y su desarrollo asistido por IA. El grupo integra cifrado a gran escala y exfiltración agresiva de datos en un único ejecutable basado en Rust, capaz de desactivar más de 50 procesos en los equipos de las víctimas y equipado con funciones de autolimpieza para evadir las defensas. Además de su funcionalidad principal contra el ransomware, FunkSec ha ampliado su conjunto de herramientas para incluir un generador de contraseñas y una herramienta básica contra DDoS; ambos muestran claros indicios de síntesis de código mediante modelos de lenguaje grandes (LLMs).

El enfoque de FunkSec refleja el panorama cambiante de la ciberdelincuencia masiva, que combina herramientas y tácticas avanzadas.

Los expertos de Kaspersky destacan las cinco características clave que definen las operaciones de este grupo y que ejemplifican el dinámico panorama actual de los ciberdelincuentes que hoy, combinan herramientas y técnicas avanzadas en su beneficio:

• Funcionalidad controlada por contraseña

El ransomware FunkSec cuenta con un mecanismo singular basado en contraseñas que controla sus modos de operación. Sin contraseña, el malware realiza un cifrado básico de archivos, mientras que al proporcionarle una contraseña se activa un proceso más agresivo de exfiltración de datos, además del cifrado, para robar datos confidenciales.

FunkSec integra cifrado a gran escala, exfiltración local y autolimpieza en un único Rust binario, sin necesidad de carga lateral ni script complementario. Este nivel de consolidación es poco común y ofrece a los afiliados una herramienta lista para usar que pueden implementar prácticamente en cualquier lugar.

• Uso de IA en el desarrollo

El análisis de código muestra que FunkSec utiliza activamente Inteligencia Artificial generativa para crear sus herramientas. Muchas partes del código parecen generarse automáticamente en lugar de escribirse manualmente. Señales de esto son los comentarios genéricos de marcadores de posición (por ejemplo, “marcador de posición para la comprobación real”) e inconsistencias técnicas, como órdenes para diferentes sistemas operativos que no se alinean correctamente. Además, la presencia de funciones declaradas, pero no usadas (como los módulos incluidos inicialmente, pero nunca utilizados) refleja cómo los grandes modelos de lenguaje combinan múltiples fragmentos de código sin eliminar elementos redundantes.

• Estrategia de gran volumen y pagos de rescate low cost

FunkSec exige pagos de rescate inusualmente bajos, a veces de tan sólo 10,000 dólares, y lo combina con la venta a terceros de datos robados a precios reducidos. Esta estrategia parece diseñada para permitir un gran volumen de ataques, lo que ayuda al grupo a consolidar rápidamente su reputación en el mundo clandestino del cibercrimen. A diferencia de los grupos tradicionales de ransomware que buscan rescates millonarios, FunkSec emplea un modelo de alta frecuencia y bajo costo, lo que confirma el uso de la IA para optimizar y escalar sus operaciones.

• Se expande más allá del ransomware

FunkSec ha ampliado sus capacidades más allá del binario de ransomware. El sitio de sus filtraciones oscuras (DLS) alberga herramientas adicionales (como un generador de contraseñas basado en Python que ha sido diseñado para soportar ataques de fuerza bruta y de rociado de contraseñas), así como una herramienta DDoS básica.

• Evasión avanzada

FunkSec emplea técnicas avanzadas de evasión para evitar la detección y dificultar el análisis forense. El ransomware es capaz de detener más de 50 procesos y servicios para garantizar el cifrado completo de los archivos objetivo. Además, incluye un mecanismo de respaldo para ejecutar ciertas órdenes incluso si el usuario que inicia FunkSec no tiene los privilegios suficientes.

“Vemos cada vez con más frecuencia que los ciberdelincuentes utilizan la IA para desarrollar herramientas maliciosas. La IA generativa reduce las barreras y acelera la creación de malware, lo que permite a los ciberdelincuentes adaptar sus tácticas con mayor rapidez. Al reducir el umbral de entrada, la IA permite que incluso los atacantes menos experimentados desarrollen rápidamente malware complejo a gran escala”, comenta Marc Rivero, Investigador Principal de Seguridad de GReAT de Kaspersky.