{"id":19196,"date":"2019-05-09T15:02:27","date_gmt":"2019-05-09T13:02:27","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=19196"},"modified":"2019-11-22T12:05:51","modified_gmt":"2019-11-22T10:05:51","slug":"fin7-still-exists","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/fin7-still-exists\/19196\/","title":{"rendered":"Trotz Festnahme der FIN7-Anf\u00fchrer: Angriffe gehen weiter"},"content":{"rendered":"

Im vergangenen Jahr wurden die mutma\u00dflichen Anf\u00fchrer der ber\u00fcchtigten Fin7 \u2013 besser auch unter dem Namen Carbanak-Cybergang bekannt \u2013 festgenommen; Obwohl die Gruppe seitdem als aufgel\u00f6st gilt, sto\u00dfen unsere Experten aktuell noch immer auf Anzeichen, die auf ihre fortbestehende Aktivit\u00e4t hindeuten. Dar\u00fcber hinaus w\u00e4chst die Anzahl der untereinander verkn\u00fcpften Gruppen, die \u00e4hnliche Toolkits und dieselbe Infrastruktur verwenden, stetig. Im Anschluss finden Sie eine Liste der wichtigsten Instrumente und Tricks sowie Ratschl\u00e4ge zum Schutz Ihres Unternehmens.<\/p>\n

FIN7<\/h2>\n

FIN7 greift haupts\u00e4chlich Unternehmen an, um sich Zugang zu Finanzdaten oder der PoS-Infrastruktur einer Organisation zu verschaffen. Dabei funktioniert die Gruppe \u00fcber raffinierte Spear-Phishing-Kampagnen in Verbindung mit ausgefeilten Social-Engineering-Techniken. So tauschen die Angreifer beispielsweise \u00fcber einen bestimmten Zeitraum zun\u00e4chst v\u00f6llig harmlose Nachrichten mit den Opfern aus, bevor sie die sch\u00e4dlichen Dokumente schlie\u00dflich im Anhang versenden.<\/p>\n

In den meisten F\u00e4llen verwendeten die Angreifer b\u00f6sartige Dokumente mit Makros, um Malware auf den Computern der Opfer zu installieren; Die Planung verschiedener Tasks sorgte dann f\u00fcr ihren Fortbestand. Empfangene Module \u2013 bei denen es sich haupts\u00e4chlich um Module zum Sammeln von Informationen, zum Download zus\u00e4tzlicher Malware, zur Aufnahme von Screenshots oder zum Speichern einer weiteren Instanz derselben Malware in der Registrierungsdatenbank handelt \u2013 wurden dann im Systemspeicher selbst ausgef\u00fchrt.<\/p>\n

CobaltGoblin-\/Carbanak-\/EmpireMonkey-Gruppe<\/h2>\n

Andere kriminelle Gruppen verwenden zwar \u00e4hnliche Tools und Techniken, nehmen allerdings andere Zielobjekte ins Visier \u2013 in diesem Fall Banken und Entwickler von Banking- und Geldverarbeitungssoftware. Der Carbanak-Gruppe (sowie auch der CobaltGoblin-Gruppe aka EmpireMonkey) geht es bei den Angriffen haupts\u00e4chlich darum, in den Netzwerken der Opfer Fu\u00df zu fassen und dann interessante Endpunkte mit Informationen zu finden, die dann zu Geld gemacht werden k\u00f6nnen.<\/p>\n

AveMaria-Botnetz<\/h2>\n

AveMaria ist ein neues Botnetz, das zum Informationsdiebstahl verwendet wird. Nach der Infektion eines Ger\u00e4tes, sammelt es alle m\u00f6glichen Anmeldeinformationen von verschiedener Software und Programmen: Browser, E-Mail-Clients, Messenger usw. Dar\u00fcber hinaus fungiert es als Keylogger.<\/p>\n

Um die Nutzlast zu liefern, verwenden die Kriminellen sowohl Spear Phishing\/Social Engineering als auch sch\u00e4dliche Anh\u00e4nge in E-Mail-Nachrichten. Aufgrund der bestehenden \u00c4hnlichkeiten in den Methoden und der C&C-Infrastruktur (Command & Control), vermuten unsere Experten eine enge Verbindung zu FIN7. Ein weiteres Indiz, das f\u00fcr diese Verkn\u00fcpfung spricht, ist die Zielverteilung der hinter den Angriffen stehenden Cyber-Gruppen: 30% der anvisierten Ziele waren kleine bis mittelst\u00e4ndische Unternehmen (Zulieferer oder Dienstleister gr\u00f6\u00dferer Unternehmen); bei weiteren 21% handelte es sich um verschiedene Produktionsunternehmen.<\/p>\n

CopyPaste<\/h2>\n

Unsere Experten haben eine Reihe von Aktivit\u00e4ten entdeckt, die unter dem Decknamen CopyPaste auf Finanzorganisationen und -unternehmen in einem afrikanischen Land abzielen. Auch hier verwendeten die Akteure verschiedene Methoden und Tools, die denen von FIN7 sehr \u00e4hnlich sind. Es besteht allerdings die M\u00f6glichkeit, dass diese Cyberkriminellen lediglich Open-Source-Ver\u00f6ffentlichungen verwendet haben und tats\u00e4chlich nicht mit FIN7 in Verbindung gebracht werden k\u00f6nnen.<\/p>\n

Weitere technische Details finden Sie in unserem Beitrag auf Securelist.com.<\/a><\/p>\n

So sch\u00fctzen Sie sich<\/h2>\n