FIN8 Cybercrime Gang nasconde le organizzazioni finanziarie statunitensi con un nuovo malware

Secondo il team di ricerca di Bitdefender che ha individuato il malware per primo, FIN8, una banda di criminali informatici motivata finanziariamente, ha nascosto la rete di un'organizzazione finanziaria statunitense con un nuovo malware chiamato Sardonic. 

Il malware sardonico è in grado di raccogliere informazioni ed eseguire comandi sui dispositivi compromessi.

Secondo i rapporti di cyber intelligence, FIN8 è attivo da gennaio 2016 ed è noto per prendere di mira i settori dell'ospitalità, della ristorazione, della vendita al dettaglio e della sanità con l'obiettivo di rubare i dati delle carte di credito dai sistemi POS. La banda ha utilizzato varie tattiche tra cui malware POS (ad es. BadHatch, PowerSniff, ShellTea e altri), spear-phishing e exploit zero-delay.

Anatomia e tattiche di attacco FIN8 utilizzate. (Bitdefender)

Malware sardonico

FIN8 ha utilizzato un malware chiamato Sardonic, una nuova backdoor basata su C++ che è stata implementata sul sistema di un'organizzazione finanziaria statunitense tramite spear-phishing e ingegneria sociale. La backdoor è ancora in fase di sviluppo e ha le seguenti funzionalità:

• Informazioni sul sistema di raccolta
• La capacità di esecuzione dei comandi su dispositivi compromessi
• Aggiunge un plug-in per eseguire ulteriori payload di malware

Bogdan Botezatu, Direttore del team di ricerca sulle minacce di Bitdefender, ha affermato di aver visto FIN8 eseguire 2 attacchi negli ultimi mesi e ha affermato che si trattava di " un'attività insolitamente alta per un attore di minacce che si prendeva lunghe pause tra un attacco e l'altro. "

Secondo il team di ricerca, Sardonic è una nuova versione di BadHatch Backdoor, che può essere automaticamente rinnovata con nuove funzionalità senza che sia necessario ridistribuire il malware.

Ulteriori indagini sull'attacco alle spalle degli Stati Uniti hanno rivelato che la backdoor è stata implementata nel sistema delle organizzazioni target come parte di un processo in tre fasi che utilizza il caricatore .NET, lo script PowerShell e lo shellcode del downloader.

Il team di ricerca di Bitdefender ha anche scoperto che gli script di PowerShell sono stati copiati manualmente sui dispositivi compromessi, mentre il caricatore .NET è stato distribuito sui dispositivi utilizzando un processo automatizzato.

Bitdefender ha anche rivelato che FIN8 ha provato più volte a fornire la backdoor del malware Sardonic sui controller Windows per spostarsi attraverso la rete dell'organizzazione.

Flusso di esecuzione della backdoor del malware Sardonic (Bitdefender)

Le istituzioni finanziarie avvertite come potenziali bersagli

Le istituzioni finanziarie e le banche sono avvertite di essere in allerta e di controllare regolarmente le loro reti per cercare indicatori noti FIN8 nel caso in cui i loro sistemi siano già compromessi.

Secondo Matt Sanders, direttore della sicurezza di LogRythm, gli ultimi incidenti fanno parte di una sequenza in cui gli istituti finanziari sono presi di mira dai criminali. Lui dice:

"Le banche e altre attività nel settore dei servizi finanziari sono i principali bersagli per gli attacchi informatici con la pletora di informazioni sensibili e dati finanziari contenuti nei loro file, soprattutto quando la maggior parte del mondo è passata all'online banking durante la pandemia".

Ha inoltre sottolineato la vulnerabilità delle banche affermando che le organizzazioni e le aziende finanziarie hanno 300 volte più probabilità di essere prese di mira dai criminali informatici rispetto ad altri settori. Una delle principali minacce sono i vettori di attacco malware.

Sanders ha affermato che le aziende devono essere caute e adottare un " approccio alla sicurezza informatica incentrato sulla sicurezza per risolvere le vulnerabilità. “

"Bitdefender consiglia alle aziende nei verticali di destinazione (vendita al dettaglio, ospitalità, finanza) di verificare potenziali compromessi applicando [gli IoC] alle loro difese EDR, XDR e altre difese di sicurezza".

Bitdefender ha anche raccomandato alcune misure proattive come segue: