Redazione RHC : 5 Agosto 2024 06:58
Gli esperti hanno scoperto nuove prove che il famigerato gruppo di hacker FIN7 continua a migliorare i suoi metodi di attacco e ad espandere la sua influenza nell’underground criminale. Secondo una recente ricerca, gli hacker utilizzano una varietà di alias per mascherare la loro vera identità e supportare operazioni criminali nei forum clandestini.
FIN7 è operativo dal 2012. Durante questo periodo è riuscito a causare danni significativi a diversi settori dell’economia, tra cui il settore alberghiero, l’energia, la finanza, l’alta tecnologia e il commercio al dettaglio.
Inizialmente la FIN7 utilizzava malware per terminali POS a scopo di frode finanziaria. Tuttavia, dal 2020, il gruppo ha spostato la sua attenzione sulle operazioni di ransomware, unendosi a noti gruppi RaaS (ransomware as a service) come REvil e Conti, oltre a lanciare i propri programmi RaaS chiamati Darkside e BlackMatter.
Uno dei tratti distintivi di FIN7 è la creazione di false società di sicurezza informatica. Il gruppo ha così fondato le società fittizie Combi Security e Bastion Secure per frodare. Nonostante l’arresto di alcuni membri del gruppo, le attività della FIN7 continuano, segnalando cambiamenti di tattica, pause temporanee o l’emergere di sottogruppi scissionisti.
Nuovi dati mostrano che FIN7 sta vendendo attivamente i suoi strumenti nei forum criminali. Nello specifico, i ricercatori hanno trovato annunci pubblicitari che offrivano uno strumento di bypass specializzato chiamato AvNeutralizer (noto anche come AuKill).
Un’analisi dell’attività su vari forum clandestini ha rivelato diversi alias presumibilmente associati a FIN7:
Questi utenti hanno pubblicato annunci simili per la vendita di strumenti per aggirare i sistemi antivirus e i framework post-exploitation. L’arsenale di FIN7 comprende una serie di strumenti sofisticati, ciascuno progettato per una fase specifica dell’attacco:
Di particolare interesse è l’evoluzione dello strumento AvNeutralizer. L’ultima versione di questo malware utilizza una tecnica precedentemente sconosciuta per aggirare alcune implementazioni di processi protetti utilizzando il driver Windows integrato ProcLaunchMon.sys (TTD Monitor Driver).
FIN7 ha anche sviluppato un sistema di attacco automatizzato chiamato Checkmarks. Questa piattaforma mira principalmente a sfruttare i server pubblici Microsoft Exchange utilizzando le vulnerabilità ProxyShell (CVE-2021-34473, CVE-2021-34523 e CVE-2021-31207).
Inoltre, la piattaforma Checkmarks include un modulo Auto-SQLi per attacchi SQL injection. Se i tentativi iniziali non hanno successo, lo strumento SQLMap esegue la scansione delle destinazioni per potenziali vulnerabilità di SQL injection.
I ricercatori hanno scoperto numerose intrusioni utilizzando vulnerabilità di SQL injection che prendono di mira server pubblici attraverso lo sfruttamento automatizzato. Questi attacchi sono attribuiti a FIN7 con moderata sicurezza. La maggior parte di queste intrusioni si è verificata nel 2022, in particolare nel terzo trimestre, colpendo aziende statunitensi nei settori manifatturiero, legale e governativo.
Redazione: [email protected]
© Copyright RED HOT CYBER. PIVA 16821691009