【安全资讯】FIN7黑客组织发展史回顾

猎影实验室 2021-09-02 06:54:03 1769人浏览

引言

FIN7又名CARBON SPIDER,自 2013 年以来一直活跃,是最早开始运营的网络犯罪组织之一。2021 年 8 月 30 日,研究人员发表报告,介绍了CARBON SPIDER组织在2015年到2021年之间,攻击方式的转变、使用的工具的发展,以及研究人员将Darkside归因于CARBON SPIDER组织的原因。

 

简况

CARBON SPIDER组织在 2015 年至 2020 年期间,针对酒店公司 POS 设备开展小规模攻击活动,使用的恶意软件包括 Sekur RAT, VB Flash, Bateleur和Harpy。攻击者使用包括PILLOWMINT在内的 POS 恶意软件收集并出售信用卡跟踪数据。

 

2020 年,CARBON SPIDER对其运营进行了大幅改革。2020 年 4 月,攻击者的目标突然不再限于POS设备,使用PINCHY SPIDER组织的REvil勒索软件进行大猎物狩猎活动 (BGH) 。2020年4月28日,研究人员观察到Domenus VBS分发的活动,活动使用包含Google Docs链接的鱼叉式网络钓鱼电子邮件。生成的Google Docs页面包含一个链接,单击该链接会将用户最终重定向到受感染的 SharePoint 站点。受害人会在此看到包含一个ZIP文件的Domenus VBS文件,一旦打开该文件,就会下载并执行Harpy恶意软件。 此次活动中重定向URL与一些使用传播REvil勒索软件的样本托管于同一IP地址。因此研究人员以中等置信度认CARBON SPIDER组织传播REvil的恶意活动可能始于JSS Loader或Domenus VBS/JS感染。

 

2020 年 7 月 1 日,CARBON SPIDER发送主题为“包裹状态通知”的网络钓鱼电子邮件。邮件正文试图冒充 UPS通知,但包含若干语法错误和非惯用术语。网络钓鱼电子邮件如下:

链接指向一个Google 文档页面,其中包含一个重定向到 ZIP 文件的链接。ZIP文件托管于一个SharePoint帐户,包含Domenus VBS,可以下载Harpy恶意软件。在此次攻击中,CARBON SPIDER 还使用了KillACK PS 后门,通过 PowerShell 和 PowerShell ISE 执行恶意软件。

 

研究人员以中等置信度认为CARBON SPIDER组织负责创建Darkside并引入 RaaS 附属计划。因为多起独立的Darkside攻击事件可归因于 CARBON SPIDER组织。CARBON SPIDER 在 2020 年 8 月首次推广DarkSide勒索软件。与许多其他勒索软件运营商类似,CARBON SPIDER 不仅使用Darkside加密受害者文件,而且还窃取数据以在 Tor 上托管的专用泄漏站点 (DLS) 上发布。2020 年 11 月,攻击者开启了Darkside勒索软件即服务计划,允许其他参与者使用勒索软件,并收取赎金分成。

 

总结

CARBON SPIDER 从 POS 恶意软件到 BGH 勒索软件攻击的转变体现了网络犯罪领域的趋势。许多以前依赖银行木马(例如INDRIK SPIDER)或 POS 恶意软件(例如GRACEFUL SPIDER)的攻击者开始转向专注于勒索软件,这体现出了 BGH 活动的丰厚利润。

失陷指标(IOC)6
FIN7 Darkside 其他
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。