FIN8 Cybercrime Gang abre puertas traseras a organizaciones financieras de EE. UU. con un nuevo malware
FIN8, una pandilla de ciberdelincuencia con motivaciones financieras, ha entrado en la red de una organización financiera de EE. UU. con un nuevo malware denominado Sardonic, dice el equipo de investigación de Bitdefender que detectó el malware primero.
El malware Sardonic es capaz de recopilar información y ejecutar comandos en los dispositivos comprometidos.
Según los informes de ciberinteligencia, FIN8 ha estado activo desde enero de 2016 y es conocido por apuntar a las industrias de hospitalidad, restaurantes, comercio minorista y atención médica con el objetivo de robar datos de tarjetas de crédito de los sistemas POS. La pandilla ha estado utilizando varias tácticas, incluido el malware POS (por ejemplo, BadHatch, PowerSniff, ShellTea y más), phishing selectivo y vulnerabilidades de cero demora.
Anatomía del ataque FIN8 y tácticas utilizadas. (Bitdefender)
Malware sardónico
FIN8 usó un malware llamado Sardonic, una nueva puerta trasera basada en C++ que se implementó en el sistema de una organización financiera de EE. UU. a través de phishing e ingeniería social. La puerta trasera aún está en desarrollo y tiene la siguiente funcionalidad:
- Información del sistema de cosecha
- La capacidad de ejecución de comandos en dispositivos comprometidos
- Agrega un complemento para ejecutar más cargas útiles de malware
Bogdan Botezatu, director del equipo de investigación de amenazas de Bitdefender, dijo que vieron a FIN8 realizando 2 ataques en los últimos meses y dijo que era una " actividad inusualmente alta para un actor de amenazas que solía tomar largos descansos entre ataques". "
Según el equipo de investigación, Sardonic es una nueva versión de BadHatch Backdoor, que se puede renovar automáticamente con una nueva funcionalidad sin necesidad de volver a implementar el malware.
La investigación adicional sobre el ataque en la parte posterior de los EE. UU. reveló que la puerta trasera se implementó en el sistema de las organizaciones objetivo como parte de un proceso de tres etapas que utiliza el cargador .NET, el script PowerShell y el shellcode del descargador.
El equipo de investigación de Bitdefender también descubrió que los scripts de PowerShell se copiaron manualmente en los dispositivos comprometidos, mientras que el cargador .NET se envió a los dispositivos mediante un proceso automatizado.
Bitdefender también reveló que FIN8 intentó varias veces entregar la puerta trasera del malware Sardonic en los controladores de Windows para moverse a través de la red de la organización.
Flujo de ejecución del backdoor de malware Sardonic (Bitdefender)
Instituciones financieras advertidas como objetivos potenciales
Se advierte a las instituciones financieras y los bancos que estén en alerta máxima y revisen sus redes regularmente para buscar indicadores conocidos de FIN8 en caso de que sus sistemas ya estén comprometidos.
Según Matt Sanders, director de seguridad de LogRythm, los últimos incidentes son parte de una secuencia en la que los delincuentes atacan a las instituciones financieras. Él dice:
“Los bancos y otras empresas en la industria de servicios financieros son los principales objetivos de los ataques cibernéticos con la plétora de información confidencial y datos financieros contenidos en sus archivos, especialmente a medida que una mayor parte del mundo hizo la transición a la banca en línea durante la pandemia".
Además, enfatizó la vulnerabilidad de los bancos y dijo que las organizaciones y empresas financieras tienen 300 veces más probabilidades de ser atacadas por ciberdelincuentes en comparación con otros sectores. Una de las principales amenazas son los vectores de ataque de malware.
Sanders dijo que las empresas deben ser cautelosas y adoptar un ” enfoque de ciberseguridad que priorice la seguridad para resolver las vulnerabilidades”. “
"Bitdefender recomienda que las empresas en los sectores verticales objetivo (minorista, hospitalidad, finanzas) verifiquen posibles compromisos aplicando [los IoC] a su EDR, XDR y otras defensas de seguridad".
Bitdefender también recomendó algunas medidas proactivas de la siguiente manera: