Ugrupowanie cyberprzestępcze Fin7 atakuje ponad 130 firm mimo aresztowania jego przywódców

Po aresztowaniu w 2018 r. kilku osób podejrzewanych o kierowanie niesławnym cybergangiem Fin7/Carbanak sądzono, że grupa ta rozpadła się. Jednak badacze z Kaspersky Lab wykryli kilka nowych ataków przeprowadzonych przez te same osoby z wykorzystaniem szkodliwego oprogramowania GRIFFON. Eksperci przypuszczają, że cybergang Fin7 zwiększył liczbę grup działających pod swoim szyldem, zaczął stosować bardziej wyrafinowane metody, a nawet rekrutował profesjonalistów jako firma oferująca ochronę, celem kradzieży zasobów finansowych.

 

Fin7 stoi prawdopodobnie za obserwowanymi od połowy 2015 r. atakami na amerykański sektor detaliczny, restauracyjny oraz turystyczno-hotelarski, podczas których ściśle współpracował i współdzielił narzędzia oraz metody z niesławnym ugrupowaniem Carbanak. O ile Carbanak koncentrował się przede wszystkim na bankach, Fin7 atakował głównie firmy, kradnąc miliony dolarów poprzez uzyskiwanie finansowych danych uwierzytelniających oraz informacji dotyczących rachunków z komputerów działów finansowych. Gdy przestępcy zdobyli to, co chcieli, przelewali pieniądze na zagraniczne rachunki.

Z nowego dochodzenia firmy Kaspersky Lab wynika, że omawiane ugrupowanie nadal działa mimo aresztowania w zeszłym roku jego przywódców i w 2018 r. przeprowadzało wyrafinowane kampanie phishingu ukierunkowanego oraz rozprzestrzeniało szkodliwe oprogramowanie wśród swoich ofiar za pośrednictwem specjalnych wiadomości e-mail. Niekiedy cyberprzestępcy korespondowali z potencjalnymi ofiarami przez kilka tygodni, zanim ostatecznie wysłali im w załączniku szkodliwe dokumenty. Kaspersky Lab szacuje, że do 2018 r. zaatakowanych w ten sposób mogło zostać ponad 130 firm.

Badacze wykryli również inne grupy przestępcze działające pod szyldem Fin7. Wykorzystywanie tej samej infrastruktury oraz taktyk, technik i procedur świadczy o tym, że Fin7 prawdopodobnie współpracuje z botnetem AveMaria oraz grupami CobaltGoblin/EmpireMonkey, które podejrzewa się o przeprowadzenie cybernapadów na banki w Europie i Ameryce Środkowej.

Kaspersky Lab ustalił ponadto, że Fin7 utworzył fikcyjną firmę, która utrzymuje, że jest dostawcą cyberbezpieczeństwa, i posiada biura w różnych lokalizacjach w Rosji. Jej strona internetowa jest zarejestrowana na serwerze wykorzystywanym przez Fin7 jako centrum kontroli. Fikcyjna firma służyła do rekrutacji nieświadomych, pracujących na własny rachunek badaczy luk w zabezpieczeniach, twórców programów oraz tłumaczy poprzez legalne internetowe serwisy pośrednictwa pracy. Wygląda na to, że niektóre osoby pracujące w takich fikcyjnych firmach nie miały pojęcia, że biorą udział w działalności przestępczej, ponieważ zdobyte w nich doświadczenie uwzględniły w swoim CV.

Współczesne cyberzagrożenia można porównać do mitologicznego stworzenia Hydry lernejskiej – gdy jedna z jej głów zostanie odcięta, wyrastają dwie nowe. Dlatego najlepszym sposobem na zabezpieczenie się przed takimi cyberugrupowaniami jest wykorzystywanie zaawansowanej, wielopoziomowej ochrony: należy instalować wszelkie łaty dla oprogramowania, jak tylko zostaną udostępnione, oraz przeprowadzać regularną analizę bezpieczeństwa we wszystkich sieciach, systemach oraz urządzeniach – powiedział Jurij Namiestnikow, badacz ds. cyberbezpieczeństwa, Kaspersky Lab. 

W celu ograniczenia ryzyka infekcji eksperci z Kaspersky Lab zalecają następujące działania:

• Stosuj rozwiązania bezpieczeństwa posiadające wyspecjalizowane funkcje umożliwiające wykrywanie i blokowanie ataków phishingowych. Firmy mogą zabezpieczyć swoje lokalne systemy pocztowe przy pomocy aplikacji wchodzących w skład pakietu Kaspersky Endpoint Security for Business. Z kolei rozwiązanie Kaspersky Security for Microsoft Office 365 pomaga chronić opartą na chmurze usługę pocztową Exchange Online wchodzącą w skład pakietu Microsoft Office 365.
• Wprowadź szkolenia w zakresie świadomości bezpieczeństwa oraz wyposaż pracowników w praktyczne umiejętności. Służą do tego takie usługi jak Kaspersky Security Awareness, które między innymi pomagają przeprowadzać symulowane ataki phishingowe.
• Zapewnij swojemu zespołowi ds. bezpieczeństwa dostęp do aktualnych danych analizy zagrożeń, aby mógł na bieżąco śledzić najnowsze taktyki i narzędzia stosowane przez cyberprzestępców.

Szczegóły techniczne dotyczące ataków ugrupowania 4Fin są dostępne na stronie https://r.kaspersky.pl/tzV8u.