به گزارش کارگروه حملات سایبری سایبربان؛ یک بازیگر مخرب سایبری به زنجیره حملات صورت گرفته از سوی باج افزار RYUK ( از اکتبر 2018 ) ارتباط داده شده است. ظاهرا این بازیگر مخرب همکاری نزدیکی با بازیگران مخرب بدافزار تریک بات دارد و با استفاده از ابزارهایی مانند پی لود Cobalt Strike Beacon با شبکه هدف قربانی دست و پنجه نرم می کند.
شرکت امنیت سایبری Mandiant ( مندینت ) این حملات را به گروه هکری به نام FIN12 ارتباط داده است. اکثر حملات FIN12 که پیش از این با نام UNC1878 شناخته می شد، بر روی سازمان های مراقبت های بهداشتی و درمانی با بودجه بیش از 300 میلیون دلار متمرکز است. این گروه به غیر از بخش بهداشتی و درمانی، حوزه های دیگری شامل حوزه آموزشی، مالی، تولید و فناوری را نیز در آمریکای شمالی، اروپا و آسیا اقیانوسیه مورد هدف سایبری قرار می دهد.
طبق گفته محققین مندینت، FIN12 برای دسترسی به شبکه هدف، بر روی شرکای خود متکی است. یافته های شرکت امنیتی پروف پوینت در ژوئن 2021 حاکی از آن است که مهاجمین برای دسترسی به شبکه هدف، به خریدن دسترسی مهاجمینی که پیش از آن ها موفق به رخنه شده اند، روی آورده اند. به عنوان مثال Ryuk برای آلوده سازی قربانیان خود از امکان دسترسی خانواده های بدافزاری مانند تریک بات و بازا لودر استفاده می کند.
اگرچه تاکتیک FIN12 در اواخر 2019، استفاده از تریک بات و اجرای مراحل انتهایی حمله با استفاده از آن ها بود اما گروه نام برده پس از سال 2019 همواره بر روی پی لودهای Cobalt Strike Beacon متکی بوده است.
FIN12 اولین بازیگر مخرب FIN است که در استفاده از باج افزار تخصص قابل توجهی دارد.
