كشف خبراء كاسبرسكي عن آلية العمل الداخلية لمجموعة FunkSec، وهي مجموعة مختصة ببرمجيات الفدية يجسد نشاطها مستقبل الجرائم السيبرانية على نطاق واسع. فهذه المجموعة مدعومة بالذكاء الاصطناعي، ومتعددة الوظائف، وقادرة على التكيف، وتنفذ هجماتها على نطاق واسع مع طلبات فدية تقارب قيمتها ال10,000 دولار أمريكي.
يراقب فريق البحث والتحليل العالمي (GReAT) التابع لشركة كاسبرسكي، مشهد تهديدات برمجيات الفدية، الذي يشهد زيادة متواصلة في عدد الهجمات. فوفقاً لأحدث تقرير للشركة عن وضع برمجيات الفدية، ارتفعت نسبة المستخدمين المتأثرين بهجمات برمجيات الفدية حول العالم إلى 0.44% بين عامي 2023 و2024، أي بزيادة نسبتها 0.02%. وصحيح أنّ هذه النسبة تبدو منخفضةً كثيراً مقارنة بالتهديدات السيبرانية الأخرى، غير أنها تؤكد بوضوح أنّ المهاجمين يستهدفون عادةً أهدافاً قيّمة عوضاً عن شنّ الهجمات العشوائية، مما يجعل كل حالة أشبه بكارثة محتملة. وفي ظل هذا المشهد المتطور، تعد مجموعة FunkSec تهديداً مقلقاً وبالغ الخطورة.
أصبحت مجموعة FunkSec، خلال أقل من عام على ظهورها في نهاية 2024، تهديداً خطيراً يفوق الجهات الفاعلة في هذا المجال، وذلك باستهدافها القطاعات الحكومية، والتقنية، والتمويل، والتعليم. تتميز مجموعة FunkSec ببنيتها التقنية المتطورة، واعتمادها على الذكاء الاصطناعي في تطوير أدواتها. وتدمج المجموعة بين قدرات التشفير الكامل واستخراج ونقل البيانات الكثيف ضمن ملف تنفيذي واحد بلغة رست (Rust)، بحيث يستطيع الملف تعطيل أكثر من 50 عملية على أجهزة الضحية، وهو إلى ذلك مجهز بخصائص مسح الآثار ذاتياً لتجاوز الدفاعات الأمنية. ولا تقتصر أنشطة مجموعة FunkSec على برمجيات الفدية الأساسية، فقد أضافت إلى ترسانة أدواتها مولّد كلمات مرور وأداة لهجمات حجب الخدمة الموزعة، ويحتوي كلاهما على دلائل تشير إلى استخدام نماذج لغوية كبيرة في توليد الأكواد البرمجية الخاصة بهما. يجسد نهج FunkSec المشهد المتطور للجرائم السيبرانية واسعة النطاق، والتي أصبحت تجمع بين أدوات وأساليب متقدمة. يسلط خبراء GReAT لدى كاسبرسكي الضوء على السمات الرئيسية المميزة لعملياتهم وهجماتهم:
وظيفة التحكم بكلمة المرور
اكتشف خبراء GReAT أن برمجية الفدية من FunkSec تتميز بآلية فريدة تعتمد على كلمة المرور للتحكم في أوضاع تشغيلها. فمن دون كلمة المرور، يقتصر عمل البرمجية الخبيثة على تشفير الملفات فقط، أما توفير كلمة مرور فيُفعل عملية نقل البيانات مع التشفير لسرقة البيانات الحساسة.
تدمج مجموعة FunkSec بين التشفير الكامل، والاستخراج المحلي للبيانات، والمسح الذاتي ضمن ملف تنفيذي واحد بلغة Rust، دون الاعتماد على أدوات مساعدة أو سكربتات مرافقة. لا يعد هذا المستوى من الدمج شائعاً، ويمنح الشركاء أداة جاهزة سهلة الاستخدام يمكن نشرها واستخدامها في مختلف البيئات.
استخدام الذكاء الاصطناعي في التطوير
يوضح تحليل الكود أن مجموعة FunkSec تستخدم الذكاء الاصطناعي التوليدي بنشاط في تطوير أدواتها. ويبدو أن معظم أقسام الكود البرمجي يجري إنشاؤها آلياً بدلاً من كتابتها يدوياً. تتجلى الدلائل على ذلك في وجود تعليقات مؤقتة في الكود مثل «placeholder for actual check»، فضلاً عن تناقضات تقنية واضحة، كوجود أوامر مخصصة لأنظمة تشغيل مختلفة لكنها غير متناسقة على نحو صحيح. بالإضافة إلى ذلك، فإن وجود وظائف معلنة ولكن غير مستخدمة – مثل الوحدات البرمجية المضمنة وغير المستخدمة- يشير إلى دور نماذج لغوية كبيرة في دمج أقسام متعددة من الكود البرمجي دون إزالة العناصر الزائدة والمكررة.
يعلق مارك ريفيرو، باحث أمني رئيسي لدى فريق GReAT التابع لكاسبرسكي: “نرى إقبالاً متزايداً من المجرمين السيبرانيين على استغلال الذكاء الاصطناعي لتطوير أدوات خبيثة. فالذكاء الاصطناعي التوليدي يقلل من صعوبة إنشاء البرمجيات الخبيثة ويسرع هذه العملية، مما يتيح للمجرمين السيبرانيين تكييف أساليبهم بوتيرة أسرع. ومن خلال خفض عتبة الدخول، يتيح الذكاء الاصطناعي حتى للمهاجمين محدودي الخبرة تطوير برمجيات خبيثة متطورة بسرعة وعلى نطاق واسع»
استراتيجية الحجم الكبير والفدية المنخفضة
تطلب مجموعة FunkSec مبالغ فدية منخفضة بطريقة غير اعتيادية، فقد تنخفض أحياناً إلى 10 آلاف دولار، ويقترن ذلك ببيع البيانات المسروقة بأسعار مخفضة إلى أطراف أخرى. ويبدو أن هذه الاستراتيجية مصممة لتمكين عدد كبير من الهجمات، مما يرسخ سمعة المجموعة بسرعة داخل عالم الجريمة السيبرانية. بخلاف مجموعات برمجية الفدية التقليدية التي تريد فدية بملايين الدولارات، وتتبع FunkSec نموذجاً يعتمد على الهجمات المتكررة والمنخفضة التكلفة، ما يؤكد بوضوح استخدامها للذكاء الاصطناعي لتعزيز كفاءة العمليات وتوسيع نطاقها.
تجاوز حدود برمجيات الفدية
وسّعت FunkSec قدراتها لتتخطى ملف برمجية الفدية الثنائي. فيستضيف موقعها على الشبكة المظلمة (DLS) أدوات إضافية، منها مولد كلمة مرور بلغة بايثون، وهو مصمم لدعم الهجمات القوية وهجمات رش كلمات المرور، بالإضافة إلى أداة هجمات حجب الخدمة الموزعة.
التهرب المتقدم
تستخدم FunkSec أساليب التهرب المتقدمة لتجنب الاكتشاف، وتعقيد التحليل الجنائي. فتستطيع برمجية الفدية إيقاف أكثر من 50 عملية وخدمة، وذلك لضمان التشفير الكامل للملفات المستهدفة. بالإضافة إلى ذلك، تتضمن البرمجية آلية احتياطية لتنفيذ أوامر معينة، حتى لو افتقر المستخدم الذي يقوم بتشغيل البرمجية إلى الصلاحيات الكافية.
تصنف منتجات كاسبرسكي هذا التهديد بأنه: HEUR:Trojan-Ransom.Win64.Generic.
للحفاظ على الحماية من هجمات برمجيات الفدية، يوصي خبراء كاسبرسكي المؤسسات باتباع الممارسات المفضلة التالية لحماية نفسها من هذا التهديد:
• فعّل الحماية من برمجيات الفدية لجميع النقاط الطرفية. تتوفر أداة Kaspersky Anti-Ransomware Tool for Business المجانية التي تقدّم حماية للحواسيب والخوادم من برمجيات الفدية والبرمجيات الخبيثة الأخرى، وتمنع الاختراقات وتتوافق مع برامج الحماية الموجودة.
• اعمل دائماً على تحديث البرامج في جميع أجهزتك لحماية شبكتك من استغلال المهاجمين للثغرات والتسلل إليها.
• ركز استراتيجية دفاعك على كشف التحركات الجانبية وتسريب البيانات إلى الإنترنت. اهتم بشكل خاص بحركة البيانات الصادرة للكشف عن اتصالات المجرمين السيبرانيين بشبكتك. وأنشئ نسخاً احتياطية غير متصلة بالشبكة لا يقدر المخترقين على التلاعب بها. وتأكد من سهولة الوصول إليها فوراً عندما تحتاجها أو في الحالات الطارئة.
• قم بتثبيت حلول مضادة للتهديدات المتقدمة المستمرة (anti-APT) وحلول الاكتشاف والاستجابة للنقاط الطرفية (EDR)، مما يتيح قدرات اكتشاف وتحديد التهديدات المتقدمة، والتحقيق فيها، وتصحيح الحوادث في الوقت المناسب. وقم بتزويد فريق مركز العمليات الأمني (SOC) الخاص بك بإمكانية الوصول إلى أحدث معلومات التهديدات وتطوير مهاراتهم بانتظام من خلال التدريب الاحترافي. وكل ما سبق مُتاح ضمن إطار دورات Kaspersky Expert Security.
• استفد من أحدث معلومات التهديدات لمتابعة التكتيكات والأساليب والإجراءات الحالية التي تستخدمها مصادر التهديد.
• لحماية الشركة من مجموعة واسعة من التهديدات، استخدم حلاً من خط منتجات Kaspersky Next لتوفير حماية في الوقت الفعلي، ورؤية التهديدات، وقدرات تحقيق واستجابة لكل من حلول الاكتشاف والاستجابة للنقاط الطرفية (EDR) وحلول الاكتشاف والاستجابة الموسعة (XDR) للمؤسسات أياً كان حجمها وصناعتها. وحسب احتياجاتك الحالية والموارد المتاحة، بإمكانك اختيار المستوى المناسب من المنتج والترقية بسهولة إلى مستوى آخر عندما تتغير متطلبات أمنك السيبراني.
