《电子技术应用》
您所在的位置:首页 > 通信与网络 > 业界动态 > FIN7利用Windows 11的发布进行攻击

FIN7利用Windows 11的发布进行攻击

2021-10-20
来源:嘶吼专业版
关键词: Windows11 FIN7 攻击

  FIN7这个金融网络犯罪团伙又回来了,他们利用以新版本的Windows为主题的Word文档进行攻击,其中还附加了恶意的javascript脚本。

  安全人员观察到该团伙在最近的一次攻击活动中,利用了六个不同的文件,都提到了 Windows 11 Alph这个微软即将推出的Windows 11操作系统的内部预览版本。

  6月下旬,Windows 11 Alpha被发布到了该计算机巨头的开发者渠道中,它在技术人员中引起了很大的轰动,因为它提供了Windows11预览版。同时,官方在今年秋季才会正式推出Windows 11正式版。

  FIN7的攻击者们希望利用这一点,通过电子邮件将该主题的文件提供给位于加州的销售点供应商Clearmind以及其他目标,所有的这些文件都带有恶意的Visual Basic(VBA)宏。

  感染链是从一个带有诱惑性图像的微软Word文档开始的,它告诉读者它是用Windows 11 Alpha制作的,该图片中的内容要求用户启用编辑以查看更多内容。

  一旦编辑被启用,就会执行一个VBA宏,从。doc文件内的一个隐藏表格中获取编码值,并用一个XOR键对其进行解密。同时将创建一个脚本,对目标进行各种信息的检查。

  它首先检查目标系统的语言,如果发现是俄语、乌克兰语或其他任何的东欧语言,脚本将终止运行。

  该脚本还会检查是否存在虚拟机,以确保它没有在沙盒环境中被运行分析,如果发现了,将终止文件的运行。然后,它会查看目标是否在销售点(PoS)服务提供商的域名clearmind.com上。如果是,它将继续进行检查。

  Clearmind域名这个攻击目标很符合FIN7的操作方式。作为一家位于加州的零售和酒店业PoS技术供应商,如果感染成功了,那么该集团将会获得大量的支付卡数据,随后在地下市场上出售这些信息。

  研究人员指出,如果这个检查结果符合攻击条件,该脚本会将一个名为 “word_data.js ”的JavaScript文件丢入TEMP文件夹,该文件一旦被解析运行,它就会变成FIN7的JavaScript后门,该组织自2018年以来就一直在采用该技术。从那里,FIN7就可以进一步渗透到受害者的机器中,窃取数据并进行网络侦察,然后进行横向移动。

  FIN7(又名Carbanak Group或Navigator Group)是一个著名的威胁攻击组织,至少从2015年开始就一直在作案。该团伙通常会使用带有恶意软件的网络钓鱼文件攻击受害者,然后渗透到系统中,窃取银行卡数据并进行出售。该团伙一直在调整新的恶意软件库,它同时还针对休闲餐厅、赌场和酒店的PoS系统进行攻击。自2020年以来,该团伙还增加了勒索软件和数据泄露攻击,利用ZoomInfo服务来根据收入情况选择目标进行攻击。

  目前该集团已经引起了美国司法部的注意,美国司法部认为FIN7窃取了超过1500万条支付卡记录,造成了超过10亿美元的损失。据司法部称,仅在美国,该组织就破坏了47个州和哥伦比亚特区的组织网络,司法部在6月以盗窃支付卡的罪名判处一名攻击者7年监禁和250万美元罚款,其他人员的逮捕和定罪同样也在困扰着政府。

  然而,严格的法律并没有使该组织停止攻击。一个月后,它又回来了,以涉及杰克-丹尼尔斯威士忌的酒业公司的法律投诉为诱饵,成功地攻击了多家律师事务所。

  FIN7是最臭名昭著的网络金融犯罪组织之一,因为他们通过众多技术和攻击面窃取了大量的敏感数据。尽管政府在全力的逮捕和判刑,包括所谓的更高级别的成员,目前该集团仍然像以前一样活跃。美国检察官认为该集团人数约为70人,这意味着该集团很可能会弥补人员上的损失,因为可能会有其他的外部人员加入。



电子技术图片.png

本站内容除特别声明的原创文章之外,转载内容只为传递更多信息,并不代表本网站赞同其观点。转载的所有的文章、图片、音/视频文件等资料的版权归版权所有权人所有。本站采用的非本站原创文章及图片等内容无法一一联系确认版权者。如涉及作品内容、版权和其它问题,请及时通过电子邮件或电话通知我们,以便迅速采取适当措施,避免给双方造成不必要的经济损失。联系电话:010-82306118;邮箱:aet@chinaaet.com。