Fin7, czyli cyberprzestępcy mają się dobrze

Przeczytaj także: Trojany i fałszywe aktualizacje ogromnym zagrożeniem w Polsce

Fin7 odpowiada najprawdopodobniej za przeprowadzane od połowy 2015 r. ataki wycelowane w amerykański sektor detaliczny, restauracyjny oraz turystyczno-hotelarski. W ich trakcie ściśle współpracował i współdzielił narzędzia oraz metody z cieszącym się złą sławą ugrupowaniem Carbanak. O ile jednak ten ostatni skupiał się przede wszystkim na bankach, to już Fin7 atakował głównie firmy, pozbawiając je milionów dolarów w następstwie wykradania finansowych danych uwierzytelniających oraz informacji odnośnie rachunków z komputerów działów finansowych. Gdy misja przestępców kończyła się sukcesem, pozyskane pieniądze trafiały na zagraniczne konta.

Z nowego dochodzenia firmy Kaspersky Lab wynika, że omawiane ugrupowanie nadal działa mimo aresztowania w zeszłym roku jego przywódców i w 2018 r. przeprowadzało wyrafinowane kampanie phishingu ukierunkowanego oraz rozprzestrzeniało szkodliwe oprogramowanie wśród swoich ofiar za pośrednictwem specjalnych wiadomości e-mail. Niekiedy cyberprzestępcy korespondowali z potencjalnymi ofiarami przez kilka tygodni, zanim ostatecznie wysłali im w załączniku szkodliwe dokumenty. Kaspersky Lab szacuje, że do 2018 r. zaatakowanych w ten sposób mogło zostać ponad 130 firm.

Badacze wykryli również inne grupy przestępcze działające pod szyldem Fin7. Wykorzystywanie tej samej infrastruktury oraz taktyk, technik i procedur świadczy o tym, że Fin7 prawdopodobnie współpracuje z botnetem AveMaria oraz grupami CobaltGoblin/EmpireMonkey, które podejrzewa się o przeprowadzenie cybernapadów na banki w Europie i Ameryce Środkowej.

Kaspersky Lab ustalił ponadto, że Fin7 utworzył fikcyjną firmę, która utrzymuje, że jest dostawcą cyberbezpieczeństwa, i posiada biura w różnych lokalizacjach w Rosji. Jej strona internetowa jest zarejestrowana na serwerze wykorzystywanym przez Fin7 jako centrum kontroli. Fikcyjna firma służyła do rekrutacji nieświadomych, pracujących na własny rachunek badaczy luk w zabezpieczeniach, twórców programów oraz tłumaczy poprzez legalne internetowe serwisy pośrednictwa pracy. Wygląda na to, że niektóre osoby pracujące w takich fikcyjnych firmach nie miały pojęcia, że biorą udział w działalności przestępczej, ponieważ zdobyte w nich doświadczenie uwzględniły w swoim CV.

Współczesne cyberzagrożenia można porównać do mitologicznego stworzenia Hydry lernejskiej – gdy jedna z jej głów zostanie odcięta, wyrastają dwie nowe. Dlatego najlepszym sposobem na zabezpieczenie się przed takimi cyberugrupowaniami jest wykorzystywanie zaawansowanej, wielopoziomowej ochrony: należy instalować wszelkie łaty dla oprogramowania, jak tylko zostaną udostępnione, oraz przeprowadzać regularną analizę bezpieczeństwa we wszystkich sieciach, systemach oraz urządzeniach – powiedział Jurij Namiestnikow, badacz ds. cyberbezpieczeństwa, Kaspersky Lab.

W celu ograniczenia ryzyka infekcji eksperci z Kaspersky Lab zalecają następujące działania:

• Stosuj rozwiązania bezpieczeństwa posiadające wyspecjalizowane funkcje umożliwiające wykrywanie i blokowanie ataków phishingowych. Firmy mogą zabezpieczyć swoje lokalne systemy pocztowe przy pomocy aplikacji wchodzących w skład pakietu Kaspersky Endpoint Security for Business. Z kolei rozwiązanie Kaspersky Security for Microsoft Office 365 pomaga chronić opartą na chmurze usługę pocztową Exchange Online wchodzącą w skład pakietu Microsoft Office 365.
• Wprowadź szkolenia w zakresie świadomości bezpieczeństwa oraz wyposaż pracowników w praktyczne umiejętności. Służą do tego takie usługi jak Kaspersky Security Awareness, które między innymi pomagają przeprowadzać symulowane ataki phishingowe.
• Zapewnij swojemu zespołowi ds. bezpieczeństwa dostęp do aktualnych danych analizy zagrożeń, aby mógł na bieżąco śledzić najnowsze taktyki i narzędzia stosowane przez cyberprzestępców.