FIN7

Quién es

FIN7 es un grupo de cibercrimen con motivación financiera, activo desde 2013. MITRE ATT&CK lo sigue como G0046, y otros equipos de inteligencia lo llaman Carbon Spider, ELBRUS, GOLD NIAGARA, ITG14 o Sangria Tempest. Una parte del grupo operó desde una empresa fachada, Combi Security. Se le relaciona con el grupo Carbanak, pero como varias bandas usan el malware del mismo nombre, MITRE los sigue por separado.

Cómo entra

Sobre todo por correo dirigido: adjuntos y ligas maliciosas hechos a la medida de quien los recibe, después de estudiar la organización y los puestos que le interesan. También explota aplicaciones expuestas a internet y ha comprometido la cadena de suministro de software. Prepara su infraestructura con dominios y servicios web propios.

Qué hace una vez dentro

Ejecuta su código con PowerShell, JavaScript, Visual Basic, WMI y tareas programadas, y se esconde con ofuscación, nombres que imitan servicios legítimos y carga de código en memoria. Se mueve por la red con RDP, SSH y VNC y roba credenciales con Kerberoasting y herramientas como Mimikatz. Desde 2020 su negocio es la extorsión: usó el ransomware REvil y operó su propio servicio de ransomware, Darkside.

A quién ataca

Comercio minorista, restaurantes, hotelería, software, consultoría, servicios financieros, equipo médico, servicios en la nube, medios, alimentos y bebidas, transporte, farmacéutica y servicios públicos, sobre todo en Estados Unidos. En nuestra base no hay víctimas publicadas en México atribuidas a FIN7.

Técnicas de MITRE ATT&CK

Fuente: MITRE ATT&CK v20, grupo G0046.

Arsenal

En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.

Villanos relacionados

Fuentes

• MITRE ATT&CK v20, grupo G0046