ترویج جرایم سایبری مالی از سوی گروه هکری FIN11

تاکتیک‌های FIN11

Mandiant خانواده‌های کد متفاوتی را کشف کرد که به اعتقاد آنها منحصر به FIN11 است : «FlawedAmmyy»، «FRIENDSPEAK» و «MIXLABEL». این کدها همچنین با «TA505»، مجموعه فعالیت جرایم سایبری همپوشانی دارند، اگرچه تمام حملات TA505 به FIN11 مرتبط نیستند.

این گروه از پرونده‌های مخرب مایکروسافت آفیس برای ارائه فریب‌های مالی متعارف از جمله سفارش فروش، صورتحساب بانکی و فاکتور استفاده می‌کند، اما اخیراً شرکت‌های دارویی را هم با فریب از جمله گزارش تحقیق و حتی تصادف آزمایشگاهی هدف قرار داده است. اسناد بارگیری کننده «FRIENDSPEAK» را ارائه می‌دهند که به نوبه خود پشتیبان «MIXLABEL» را مستقر کرده است.

محققان ماندیانت هشدار دادند که FIN11 به‌سرعت «TTPs» خود را توسعه می‌دهد. بیشترین نگرانی، اقدام به زورگیری ترکیبی است، زیرا به نظر می‌رسد FIN11 از حملات خود درآمدزایی می‌کند. با استفاده از MIXLABEL و FlawedAmmyy این گروه هکری از «SALTLICK» برای غیرفعال کردن «Windows Defender» و از «NAILGUN» برای استقرار بدافزار CLOP استفاده می‌کند. حداقل یکی از سازمان‌های تحت تأثیر CLOP گزارش داد که پس از بازیابی اطلاعات پشتیبان، مجدداً آلوده شده است.

جرمی کِنِلی (Jeremy Kennelly)، مدیر تحلیل در ماندیانت معتقد است که هر گروه FIN ردیابی شده به‌وسیله Mandiant Intelligence، از تاکتیک‌ها، تکنیک‌ها و رویه‌های منحصر به فردی (TTP) استفاده و درنتیجه امکان ردیابی را فراهم می‌کند. به عنوان مثال، « FIN7» یک گروه تهدید است که در طول تاریخ تقریباً منحصراً بر سرقت داده‌های کارت پرداخت از سازمان‌های خرده‌فروشی و مهمان نوازی مستقر در ایالات متحده متمرکز بوده است. برعکس، FIN11 سازمان‌ها را به‌طور گسترده‌تری هم در مناطق جغرافیایی و هم در صنایع مورد هدف قرار داده است و از مجموعه بدافزارهای گسترده‌تر و متنوع‌تری در عملیات خود استفاده می‌کند و به نظر می‌رسد در عملیات‌های اخیر بر نفوذ مالی از طریق توزیع بدافزار پس از مصالحه متمرکز شده است.

نحوه موفقیت FIN11 و نگرانی مدیران ارشد امنیت اطلاعات

 استارک در این زمینه گفت که ارزیابی میزان موفقیت FIN11 دشوار است، زیرا قربانیان باج‌افزار اغلب تصمیم می‌گیرند سازش یا پرداخت‌های بعدی باج را فاش نکنند. با این حال، گروه هکری نبود، باج‌افزار و اخاذی سرقت داده را به عنوان روش اصلی درآمدزایی در نظر نمی‌گرفت. از سال 20187 چندین گروه تهدید شناسایی شده‌اند که به استقرار باج‌افزار پس از مصالحه روی آوردند.

وی ادامه داد :

«در عین حال، تقاضای باج به شدت افزایش یافته است. در ماه اکتبر سال 2020 آنها بیش از 20 میلیون دلار از یک شرکت فناوری آلمانی طلب کردند. در حالیکه ما فرصت تجزیه و تحلیل جزئیات فنی این حملات را نداشتیم، اما همه نفوذهای مربوط به CLOP، که ماندیانت واکنش نشان داده، به FIN11 نسبت داده شده‌اند.»

به گفته پائولو پاسری (Paolo Passeri )، مدیر اطلاعات سایبری در  «Netskope»، ارائه دهنده امنیت ابری، با شیوع بیماری کووید-19 حملات افزایش یافته‌اند. وی اعلام کرد که حتی گروه‌های با انگیزه مالی هم اكنون روی حملات باج‌افزاری نفوذ با زورگیری بیشتر تمركز كرده‌اند. متأسفانه وضعیت همه‌گیری کنونی این حملات را تسهیل می‌کند، زیرا تغییر ناگهانی به سمت دورکاری از سوی بسیاری از سازمان‌ها اثر جانبی افشای خدمات محافظت نشده (مانند RDP) و سرویس‌های ابری با پیکربندی اشتباه، مورد علاقه مهاجمان برای بهره‌برداری، را به همراه دارد.

پاسری توضیح داد که این کشف جدید به‌وسیله FireEye میراث ناپسند گروه‌های FIN را ادامه می‌دهد. این واقعیت که یک گروه FIN اکنون روی حملات باج‌افزاری هدفمند تمرکز کرده، نشان دهنده میزان سودآور بودن این تجارت برای مجرمان سایبری است.

مقابله با تهدیدات FIN

الیوت رُز (Elliot Rose)، رئیس امنیت سایبری در «PA Consulting» گفت که تعیین گروه جدید FIN روند رو به رشد را ادامه می‌دهد. در سال 2018، به دنبال تعدادی از دستگیری‌ها در پرونده FIN7، به نظر می‌رسید که تهدید با این دیدگاه، که روش‌ها با دیگران یا شبکه‌ها به اشتراک گذاشته شده، بسیار گسترده‌تر از حد تصور است.

گروه‌های تهدید FIN، از آنجایی که به‌طور معمول پیچیده‌تر هستند و پاسخ متفاوتی را از تیم‌های امنیتی می‌خواهند، از گروه‌های «APT» متمایز هستند. رُز خاطرنشان کرد که آنها تمایل دارند قربانیان خود را از طریق تجزیه و تحلیل و اسپیر فیشینگ مرتبط، که منجر به نقض جدی اطلاعات شده است، هدف قرار دهند و از طریق شرکت‌های جعلی بی‌گناهان را به عنوان آزمایش کنندگان و توسعه دهندگان قلم ثبت نام می‌کنند تا به آنها در زمینه جنایی کمک کنند.

به گفته رُز، این بدان معنی است که آموزش کارمندان در کنار فناوری در مقابله با تهدیدها نقشی اساسی دارد. باید به آنها گفت که بسیار مراقب آنچه در شبکه‌های اجتماعی می‌گذارند، باشند یا از کلیک کردن روی پیوندهای ایمیل یا افشای اطلاعات برای هر کسی که مطمئن نیستند، خودداری کنند. فکر کردن قبل از کلیک، یک دفاع کلیدی است!

انگیزه‌های گروه‌های FIN نیز اساساً متفاوت است.

رُز اظهار داشت :

«حملات دولتی برای ایجاد اختلال یا سرقت آی‌پی و انگیزه این گروه‌ها سود مالی است. این واقعیت که بسیاری از کشورهای مستقل مشترک‌المنافع کار می‌کنند، بر نیاز به سطح قابل توجهی از همکاری‌های بین‌المللی در اجرای قانون تأکید دارد.»