Cybercrime Gang gründet eine Scheinfirma, um Sicherheitsexperten für Cyberangriffe zu rekrutieren

FIN7, eine russische Hacking-Gruppe, gründete Anfang 2021 eine gefälschte Sicherheitsorganisation namens Bastion Secure und nutzte sie, um Cybersicherheitsmitarbeiter anzulocken, einzustellen und sie dann dazu zu bringen, bei Ransomware-Angriffen zu helfen. Das Unternehmen behauptet, Cybersicherheitsdienste für den öffentlichen Sektor und private Organisationen auf der ganzen Welt anzubieten.

Eine Abteilung von Recorded Future, Gemini Advisory, führte eine Untersuchung durch und enthüllte, dass das Unternehmen eine Tarnung für die Hacking-Gruppe FIN7 ist, die die Website von Bastion Secure nutzte, um Stellenanzeigen auf verschiedenen russischen Jobportalen zu veröffentlichen, mit dem Wunsch, Technologiearbeiter für mehrere Positionen zu rekrutieren.

Bild: Der Rekord

Wie aus den Anzeigen auf seiner Website hervorgeht, hat FIN7 PHP-Programmierer, Systemadministratoren, Python, C++ und Reverse Engineers eingestellt.

Einer von Gemini Advisory hat den gesamten Rekrutierungsprozess durchlaufen, um das Unternehmen zu untersuchen, dass alle Personen, die sich beworben haben, einen Interviewprozess mit drei Phasen durchlaufen haben:

Während der Interviewprozess insgesamt etwas zwielichtig wirkte, verriet die letzte Phase es tatsächlich. Gemini Advisory gab an, dass es keine Dokumente gab, die die normalerweise üblichen Penetrationstests in der 3. Phase autorisierten.

Darüber hinaus forderten die Vertreter des Unternehmens die Bewerber auf, nur Tools zu verwenden, die von keiner Sicherheitssoftware erkannt werden, und kritisch nach Dateispeichersystemen und Backups zu suchen, sobald sie auf das Netzwerk des Unternehmens zugreifen.

Laut den Forschern der Gemini Advisory Unit:

„Es wurde sofort klar, dass das Unternehmen in kriminelle Aktivitäten verwickelt war. Die Tatsache, dass die Vertreter von Bastion Secure besonders an Dateisystemen und Backups interessiert waren, signalisiert, dass FIN7 mehr daran interessiert war, Ransomware-Angriffe durchzuführen als [Point-of-Sale]-Infektionen."

Ein Forscher, dem eine Stelle von der Firma Bastion Secure angeboten wurde, analysierte die Tools, die ihnen von der Firma zur Verfügung gestellt wurden. Beide Toolkits Carbanak und Tirion (Lizar) wurden zuvor FIN7 zugeschrieben und beide können verwendet werden, um Ransomware einzusetzen und PoS-Systeme zu hacken. Wir haben kürzlich ähnliche Angriffe von FIN8, FIN7 und FIN6 gesehen. Im September 2021 hintertürte FIN8 US-Finanzorganisationen mit Malware.

FIN7 Cybercrime Group als Darkside Raas-Betreiber identifiziert

Die Tools, die Bastion Secure mit einem Bewerber (Mitglied von Gemini Advisory) geteilt hat, waren mit Malware-Stämmen verknüpft und waren Teil des Arsenals von FIN7, wie Carbanak und Lizar/Tirion. Das Gemini-Mitglied sagte auch, dass die allen Bewerbern zugewiesenen Aufgaben „mit den Schritten übereinstimmten, die zur Vorbereitung eines Ransomware-Angriffs unternommen wurden”.

Laut Gemini Advisory hat das Unternehmen zwei Ransomware-Stämme Ryuk oder REvil installiert, die in den letzten Jahren Teil von FIN7-Cyberangriffen waren.

Laut den Sicherheitsforschern von Microsoft wären neuere Angriffe auf die Ransomware BlackMatter und DarkSide erfolgt. BlackMatter hat kürzlich Olympus, einen Technologiegiganten, und die US-Bauerngenossenschaft New Cooperative Inc. angegriffen .

Darüber hinaus erklärten Microsoft-Vertreter Christopher Glyer und Nick Carr, dass FIN7 nicht nur die DarkSide-Ransomware bereitgestellt, sondern auch Darkside RaaS (Ransomware-as-a-Service) verwaltet habe.

FIN7 hat zuvor Combi Secure betrieben

Die Gründung einer Sicherheitsfirma war keine neue Taktik für FIN7. Sie wandten 2010 die gleiche Taktik an, als sie eine falsche Sicherheitsfirma namens Combi Security gründeten.

Zu dieser Zeit war das Unternehmen jedoch mit der Bereitstellung von Point-of-Sale-Malware beschäftigt. Laut einem Bericht des US -Justizministeriums nutzten sie Combi Security, um Sicherheitsmitarbeiter einzustellen, um verschiedene Netzwerke von Einzelhandelsorganisationen zu durchbrechen, und anschließend PoS-Malware im System installiert, um Kreditkartendaten von Kunden aus den gehackten Netzwerken zu stehlen .

Bild: Der Rekord

Brett Callow, ein Ransomware-Experte bei Emisoft, dass die Entscheidung von FIN7, sich hinter Bastion Secure zu verstecken, wahrscheinlich die unerwünschte Aufmerksamkeit des Gesetzes vermeiden wird. Er sagte weiter:

„Es ist überhaupt nicht überraschend, dass eine Cybercrime-Operation versucht, über ein gefälschtes Unternehmen zu rekrutieren. Die Anstellung im Dark Web ist problematisch und riskant. Ransomware-Banden sind in bestimmten Cybercrime-Foren weniger willkommen als früher, und Bewerber könnten möglicherweise verdeckt arbeitende Strafverfolgungsbeamte sein.”

Laut Gemini Advisory hat der Grund, warum FIN7 so weit ging, nicht nur einmal, sondern zweimal ein Scheinunternehmen zu gründen, mit Geld und Betriebskosten zu tun. Was Callow sagte, macht auch sehr viel Sinn, da die Einstellung aus dem Dark Web riskant ist.

Es ist zweifellos besorgniserregend, da Mitarbeiter hinsichtlich der Art ihrer Arbeit irregeführt werden können und nicht erkennen können, dass sie einem Pentest unterzogen werden.