FIN6 Hacker Group nutzt jetzt Ryuk und LockerGoga Ransomware
Die FIN6-Cybercrime-Gruppe war kürzlich dafür bekannt, Einzelhändler nur zu hacken und Zahlungsinformationen von POS-Systemen (Point of Sale) zu stehlen, bis sie ihre Taktik dahingehend weiterentwickelte, dass sie Ransomware einsetzte, um Netzwerke im Internet zu infizieren.
FIN6 hat sich den Ruf erarbeitet, eine der fortschrittlichsten Hacker-Gruppen zu sein, die derzeit im Internet aktiv sind. Ihre Aktivitäten wurden zum ersten Mal im Frühjahr 2016 entdeckt. In einem von FireEye veröffentlichten Bericht wurden die zahlreichen Angriffe und Fähigkeiten der Gruppe von Cyberkriminellen detailliert beschrieben.
Im Jahr 2016 entwickelte FIN6 eine POS-Malware namens Trinity, die sich durch Vielseitigkeit auszeichnet und es ihm ermöglicht, sich in wichtige Einzelhandelsnetzwerke zu hacken und über ihre Systeme zu bewegen. Es gelang ihnen, Trinity auf Computern bereitzustellen, die die POS-Daten dieser Unternehmen verarbeiten, und Zahlungsdaten und Kartendetails zu extrahieren, die sie später auf ihren eigenen Servern verwenden können.
Die Gruppe verdient Geld, indem sie diese gestohlenen Daten und Zahlungsdetails in Hacking-Foren verwendet und damit ihre Einnahmen generiert.
Laut einem kürzlich von FireEye am 5. April veröffentlichten Bericht stellt die Gruppe nun auch Ransomware in einigen dieser gehackten Netzwerke bereit, insbesondere in solchen, die keine POS-Daten verarbeiten.
Die Gruppe arbeitete seit Juli 2018 nicht mehr daran, die LockerGoga- und Ryuk-Ransomware- Stämme fallen zu lassen. Beide waren auf eine Welle von hochrangigen Infektionen ausgerichtet, die sich an große Unternehmen, Regierungsbehörden und dergleichen richteten, wobei Norsk Hydro im Mittelpunkt stand das jüngste Opfer.
IBM, CrowdStrike, Kryptos Logic, Cybereason, FireEye und McAfee kamen zu dem Schluss, dass die Gruppe möglicherweise von außerhalb Russlands operiert und ihre Infrastruktur von anderen Gruppen wie TrickBot und Emotet gemietet wird . Auf diese Weise können sie nach großen Unternehmen suchen, die mit der Malware ihrer Wahl infiziert werden sollen, sei es Ryuk, Trinigy oder LockerGoga.
Wird FIN6 jetzt als Ransomware-First-Gruppe angesehen?
In den jüngsten Berichten über FIN6-Aktivitäten berichtete FireEye über die Änderung der Taktik, die von der Verwendung der Trinity-Malware auf die LockerGoga- und Ryuk-Ransomware übergegangen ist. Was die Analysten bemerkten, aber nicht mit Sicherheit sagen konnten, ist, ob dies der neue Modus Operandi der Gruppe ist oder ob einige der Mitglieder der Gruppe ihr eigenes Ding unabhängig machen.
Trotzdem hat FIN6 es geschafft, dass Unternehmen und Regierungen trotz der jüngsten Entwicklungen auf dem Laufenden bleiben müssen.