Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Il gruppo ransomware Funksec rivendica un attacco alla Sorbonne Université di Parigi, riportando di aver sottratto 20 GB di dati sensibili. Secondo le informazioni pubblicate sul loro Data Leak Site (DLS), i cybercriminali dichiarano di essere in possesso di documenti riservati, credenziali e piani strategici dell’ateneo.
Al momento, non è possibile confermare la veridicità di queste affermazioni, poiché l’organizzazione non ha ancora pubblicato alcun comunicato ufficiale in merito all’incidente. Tuttavia, Funksec avrebbe fissato un ultimatum di 12 giorni, minacciando di rendere pubblici i dati il 19 marzo 2025, qualora non venisse soddisfatta una richiesta – presumibilmente un riscatto in criptovaluta.
Il post pubblicato sul DLS di Funksec mostra chiaramente il logo della Sorbonne Université, accompagnato da un messaggio di rivendicazione.
Dall’analisi della schermata emergono alcuni dettagli rilevanti:
Funksec è un gruppo ransomware emerso pubblicamente alla fine del 2024, guadagnando rapidamente notorietà grazie ad attacchi mirati contro istituzioni governative e accademiche. I suoi membri si dichiarano autodidatti e sembrerebbero collaborare con altri gruppi di cybercriminali per affinare tecniche e strumenti offensivi. Molti attori dietro FunkSec sembrano inesperti, e parte delle informazioni pubblicate potrebbero essere riciclate da precedenti fughe di dati legate ad attività hacktiviste, sollevando dubbi sulla loro autenticità.
Un aspetto chiave dell’attività di FunkSec è la sua forte presenza su Breached Forum, una delle principali piattaforme di discussione del cybercrimine. Il gruppo ha sfruttato il forum per promuovere le proprie operazioni, condividere fughe di dati e guadagnare notorietà.
Uno dei membri più attivi su Breached Forum è Scorpion, noto anche come DesertStorm, che ha promosso FunkSec tramite un video su YouTube nell’ottobre 2024, sebbene il contenuto fosse più propagandistico che una reale dimostrazione delle capacità del gruppo. DesertStorm ha continuato a pubblicare presunte fughe di dati su Breached Forum fino a quando il suo account non è stato bannato nel novembre 2024. Dopo la sua esclusione, un altro attore, El Farado, ha assunto un ruolo chiave nella promozione del gruppo, condividendo fughe di dati e mantenendo alta la visibilità di FunkSec sul forum.
Le discussioni su Breached Forum indicano che FunkSec utilizza una combinazione di tattiche di hacktivismo e cybercrimine. Alcuni membri del gruppo sembrano avere trascorsi in ambienti hacktivisti, mentre altri sono più orientati al guadagno economico. Il loro ransomware, scritto in Rust e con sviluppo in continua evoluzione, è stato promosso direttamente su Breached Forum con aggiornamenti frequenti sulle nuove funzionalità. Inoltre, FunkSec ha pubblicato richieste di collaborazione e servizi aggiuntivi, tra cui un presunto sistema di “data sorting” gestito da un membro noto come XTN.
Alcune fughe di FunkSec sono state pubblicate su DarkForums da un utente con il nome Bjorka, un noto hacktivista indonesiano. Tuttavia, non ci sono prove definitive che il vero Bjorka sia coinvolto con FunkSec, e potrebbe trattarsi di un tentativo di sfruttare la sua notorietà.
L’analisi del loro ransomware suggerisce che il codice sia stato sviluppato con l’assistenza dell’intelligenza artificiale, consentendo al gruppo di iterare rapidamente le versioni nonostante la scarsa esperienza tecnica dei suoi membri. Questo solleva interrogativi sulla reale minaccia rappresentata da FunkSec e sulla difficoltà di distinguere tra hacktivismo e cybercrimine nell’ecosistema ransomware attuale.
Il gruppo opererebbe secondo il modello della doppia estorsione: non solo cifrerebbe i dati delle vittime, ma ne esfiltrerebbe una copia per minacciarne la pubblicazione in caso di mancato pagamento del riscatto. Questo approccio rende la strategia difensiva più complessa, poiché il semplice ripristino dei sistemi dai backup non sarebbe sufficiente per mitigare il danno reputazionale e legale derivante dalla diffusione delle informazioni rubate.
FunkSec sostiene di integrare l’intelligenza artificiale nel 30% dei propri processi operativi, sebbene non vi siano prove indipendenti a supporto di questa affermazione. Secondo quanto dichiarato, l’IA verrebbe utilizzata per:
L’utilizzo dell’intelligenza artificiale nel cybercrime non è una novità assoluta, ma la crescente sofisticazione di questi strumenti sta alimentando una nuova ondata di minacce. Se le affermazioni di Funksec fossero confermate, saremmo di fronte a un gruppo che sfrutta strumenti avanzati per automatizzare operazioni complesse, riducendo la necessità di competenze manuali e aumentando l’efficacia degli attacchi.
Le applicazioni dell’IA nel cybercrime potrebbero includere:
Nonostante ciò, la maggior parte dei ransomware oggi in circolazione continua a basarsi su tecniche consolidate, come lo sfruttamento di credenziali compromesse o l’abuso di vulnerabilità non patchate. L’intelligenza artificiale potrebbe accelerare questi processi, ma al momento non ha ancora rivoluzionato il panorama delle minacce.
Al momento, la presunta violazione rivendicata dal gruppo Funksec Ransomware rimane non confermata da fonti istituzionali. Tuttavia, la potenziale gravità della questione — vista la natura strategica dei dati che sarebbero stati sottratti — richiede un’attenta valutazione dei rischi e delle contromisure da parte delle autorità competenti.
RHC continuerà a monitorare la situazione e pubblicherà eventuali ulteriori aggiornamenti qualora emergessero informazioni significative. Invitiamo chiunque sia a conoscenza di dettagli rilevanti a contattarci attraverso la mail crittografata del whistleblower, garantendo la possibilità di rimanere anonimi.
