Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
FIN7
FIN7, también rastreado como Carbon Spider, GOLD NIAGARA, Sangria Tempest y ITG14, es un grupo cibercriminal con motivación financiera que ha estado activo desde aproximadamente 2015. Originario de Europa del Este, sus operaciones se centran fuertemente en el robo de datos de tarjetas de pago mediante la vulneración de sistemas POS, el despliegue de ransomware y tácticas de extorsión. Sus técnicas y estructura organizacional en constante evolución los distinguen como uno de los sindicatos cibercriminales más sofisticados de la actualidad.
Perfil del actor de amenazas
FIN7
País de origen
Aunque las operaciones de FIN7 están ampliamente vinculadas a individuos de Europa del Este, en particular Ucrania y Rusia, la naturaleza exacta de cualquier patrocinio estatal sigue sin estar clara. A diferencia de los grupos de amenaza persistente avanzada (APT) respaldados por estados, las actividades de FIN7 tienen motivación financiera, sin vínculos evidenciales directos con mandatos gubernamentales.
Miembros
Se desconoce el número exacto de integrantes de FIN7, aunque la evidencia revela una estructura sofisticada que imita a la de organizaciones legítimas. Los miembros cumplen distintos roles, como desarrolladores, administradores y reclutadores, con incentivos basados en el desempeño. El grupo se ha disfrazado mediante empresas fachada como Combi Security, presentada como una firma legítima de pruebas de penetración, con un sitio web corporativo que incluso listaba organizaciones víctimas reales de EE. UU. como supuestos clientes, para reclutar hackers sin que supieran que participaban en trabajo criminal. La escala de la actividad confirmada del grupo refleja una profundidad operativa considerable: para el momento de las acusaciones de 2018, FIN7 había vulnerado redes informáticas en 47 estados de EE. UU., robando más de 15 millones de registros de tarjetas de clientes de más de 6.500 terminales de punto de venta individuales en más de 3.600 ubicaciones comerciales distintas.
Liderazgo
La estructura de liderazgo interno de FIN7 ha quedado parcialmente al descubierto gracias a acciones de las fuerzas del orden. En agosto de 2018, el Departamento de Justicia de EE. UU. (DOJ) desselló tres acusaciones federales contra ciudadanos ucranianos que ocupaban roles sénior. Cada uno fue acusado de 26 cargos de delitos graves, incluidos conspiración, fraude electrónico, intrusión informática, fraude con dispositivos de acceso y robo de identidad agravado. Pese a estos arrestos, FIN7 continuó sus operaciones, lo que demuestra la resiliencia del grupo y la profundidad de sus integrantes más allá de estas personas.
TTPs de FIN7
tácticas
Los objetivos principales del grupo se centran en obtener ganancias financieras mediante el robo de tarjetas de pago y operaciones de ransomware. Su estrategia de selección de blancos suele enfocarse en industrias con sistemas POS o altos volúmenes de transacciones con tarjetas de crédito o débito, como el retail, la hospitalidad y los restaurantes.
técnicas
Sus técnicas incluyen campañas de spear phishing con ingeniería social personalizada para obtener acceso inicial. Estos correos a menudo se disfrazan de correspondencia relacionada con negocios y, en ocasiones, van seguidos de llamadas telefónicas para aumentar la credibilidad. También emplean campañas de malvertising, aprovechando anuncios falsos para atraer víctimas, y usan malware para infiltrarse en los sistemas y llevar a cabo la exfiltración de datos.
Procedimientos
FIN7 es conocido por implementar malware personalizado y adaptado como Carbanak, NetSupport RAT, POWERTRASH y DICELOADER. Usan estas herramientas para escalar privilegios, moverse lateralmente por las redes y atacar sistemas de puntos de venta. Recientemente, han evolucionado para realizar actividades de ransomware, donde el robo de datos y las demandas de rescate se combinan para amplificar la extorsión financiera.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Entre sus ciberataques importantes, destacan las filtraciones entre 2017 y 2018 dirigidas a grandes cadenas de alimentos y comercio minorista, donde se robaron extensos datos de POS en miles de ubicaciones a nivel nacional. Desde aproximadamente 2020, FIN7 ha evolucionado de forma considerable sus operaciones hacia el big game hunting ransomware, pasando del robo oportunista de tarjetas a intrusiones dirigidas de alto valor. El grupo ha sido vinculado a operaciones que involucran REvil, DarkSide, BlackMatter y Cl0p ransomware, además de operar su propia infraestructura de ransomware. Este cambio elevó de forma significativa el perfil de amenaza de FIN7, al combinar su experiencia comprobada en acceso inicial y sus herramientas Carbanak/DICELOADER con la implementación de ransomware y la doble extorsión para aumentar la presión financiera sobre las víctimas. Ahora, organizaciones más allá del comercio minorista y la hotelería tradicionales entran en su mira, incluidos manufactura, tecnología y servicios financieros.
Aplicación de la ley y arrestos
Los organismos encargados de hacer cumplir la ley, incluido el Departamento de Justicia de EE. UU. (DOJ), ha logrado avances en la lucha contra FIN7. En agosto de 2018, el DOJ hizo públicas las acusaciones contra tres miembros sénior: Fedir Hladyr, Dmytro Fedorov y Andrii Kolpakov, todos ciudadanos ucranianos arrestados en distintos países de Europa (Alemania, Polonia y España, respectivamente) y extraditados para enfrentar cargos en una corte federal de EE. UU. en Seattle. Cada uno enfrentó 26 cargos por delitos graves. Hladyr posteriormente se declaró culpable y fue sentenciado a 10 años de prisión federal en 2021. Los procesos de Fedorov y Kolpakov continuaron por separado. Sin embargo, pese a estos arrestos, FIN7 siguió operando de forma evidente, lanzó nuevas campañas de ransomware y reclutó nuevos miembros para reemplazar a los detenidos, lo que demuestra la resiliencia del grupo, la profundidad de sus miembros y una estructura descentralizada que va mucho más allá de cualquier persona arrestada.
Cómo defenderte de FIN7
1
Implementa una capacitación sólida para los empleados sobre cómo reconocer el phishing.
2
Segmenta las redes para aislar los sistemas críticos, como las redes de puntos de venta (POS).
3
Mantén actualizadas las herramientas de Detección y respuesta para endpoints (EDR).
4
Aplica parches con regularidad a las vulnerabilidades en el software y los sistemas.
Las soluciones de detección y respuesta para endpoints administrados de Huntress pueden detectar malware utilizado por FIN7, monitorear comportamientos anómalos de red y fortalecer las defensas contra phishing y otras técnicas de acceso inicial.
Referencias
- https://www.intel471.com/blog/threat-hunting-case-study-uncovering-fin7
- https://www.intel471.com/blog/threat-hunting-case-study-uncovering-fin7
- https://attack.mitre.org/groups/G0046/
- https://www.lawfaremedia.org/article/document-justice-department-unseals-indictments-three-members-international-cybercrime-group-fin7
