Tras el arresto en 2018 de una serie de presuntos líderes del grupo de hacker Fin7/Carbanak, se creía que el grupo se había disuelto. Sin embargo, investigadores de Kaspersky Lab han detectado nuevos ataques con el malware GRIFFON por parte de los mismos grupos. Según expertos de la compañía, Fin7 podría haber ampliado el número de grupos que funcionan bajo su paraguas e incrementado la complejidad de sus métodos. Incluso, podría haberse posicionado como proveedor legítimo de seguridad con el fin de reclutar empleados profesionales y engañarles para que le ayuden a robar bienes financieros.
Se cree que Fin7 está detrás de los ataques dirigidos a sectores minoristas, restaurantes y hotelería de EE.UU. desde mediados de 2015, trabajando en estrecha colaboración y compartiendo herramientas y métodos con el famoso grupo Carbanak. Si bien Carbanak se enfocaba principalmente en los bancos, Fin7 tenía como principal objetivo las empresas, y potencialmente logró hacerse de millones de dólares en bienes financieros, como credenciales de tarjetas de pago o información de las cuentas en las computadoras de los departamentos financieros. Una vez obtenido lo que necesitaban, los agentes de amenazas transferían dinero a cuentas en el extranjero.
Según la nueva investigación de Kaspersky Lab, a pesar de la detención el año pasado de presuntos líderes del grupo, este ha continuado su actividad, implementando campañas complejas de phishing a lo largo de 2018 y distribuyendo malware a cada uno de sus objetivos a través de correos electrónicos especialmente diseñados. En diferentes casos, los operadores intercambiaron mensajes con sus víctimas por varias semanas antes de enviar finalmente los documentos maliciosos como archivos adjuntos. Kaspersky Lab estima que para fines de 2018 más de 130 compañías podrían haber sido atacadas de esta manera.
Los investigadores también descubrieron otros equipos de criminales que operan bajo el paraguas de Fin7. El uso de la infraestructura compartida y las mismas tácticas, técnicas y procedimientos (TTPs) muestra que Fin7 probablemente esté colaborando con la botnet AveMaria y los grupos conocidos como CobaltGoblin/EmpireMonkey, que se cree están detrás de los robos a bancos en Europa y Centroamérica.
Kaspersky Lab también descubrió que Fin7 ha creado una empresa falsa que afirma ser proveedora legítima de ciberseguridad con oficinas en toda Rusia. El sitio web de la empresa está inscrito en el servidor que Fin7 utiliza como Centro de Mando y Control (C&C). Esta empresa falsa se ha utilizado para reclutar investigadores independientes de vulnerabilidades, programadores e intérpretes a través de sitios legítimos en línea para búsqueda de empleo. Al parecer, varias de las personas que trabajan en estas empresas falsas no sospechaban que estaban involucradas en un negocio dedicado al ciberdelito, ya que muchas de ellas incluyen en su currículum vitae la experiencia de trabajo en esas organizaciones.
“Las ciberamenazas modernas se pueden comparar con la mítica criatura Hidra de Lerna: cortas una de sus cabezas y crecen dos nuevas. Por lo tanto, la mejor manera de protegerse de tales agentes es implementar una protección avanzada de varias capas: instalar todos los parches del software tan pronto como se publiquen y realizar un análisis de seguridad regular en todas las redes, sistemas y dispositivos», dijo Yury Namestnikov, investigador de seguridad en Kaspersky Lab.
Para reducir el riesgo de infección, se aconseja a los usuarios:
- Utilizar soluciones de seguridad con funcionalidad dedicada a detectar y bloquear los intentos de phishing. Las empresas pueden proteger sus sistemas de correo electrónico locales con aplicaciones específicas incluidas en la suite Kaspersky Endpoint Security for Business. Kaspersky Security for Microsoft Office 365 ayuda a proteger el servicio de correo Exchange Online basado en la nube e incluido en la suite de Microsoft Office 365.
- Realizar entrenamientos en conciencia de seguridad y enseñar habilidades prácticas. Los programas como Kaspersky Automated Security Awareness Platform ayudarán a reforzar las habilidades y realizar ataques de phishing simulados.
- Proporcionar a su equipo de seguridad acceso a datos de inteligencia de amenazas actualizados, para mantenerse al día con las tácticas y herramientas más recientes utilizadas por los ciberdelincuentes.
La versión completa del informe está disponible en Securelist.com.