Se ha observado que el actor de amenazas con motivaciones financieras conocido como FIN7 utiliza m\u00faltiples seud\u00f3nimos en varios foros clandestinos para probablemente publicitar una herramienta que se sabe que es utilizada por grupos de ransomware como Black Basta.<\/p>\n
“AvNeutralizer (tambi\u00e9n conocido como AuKill), una herramienta altamente especializada desarrollada por FIN7 para manipular las soluciones de seguridad, se ha comercializado en el mundo criminal clandestino y ha sido utilizada por m\u00faltiples grupos de ransomware”, dijo la empresa de ciberseguridad SentinelOne. dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n FIN7, un grupo de delitos electr\u00f3nicos de origen ruso y ucraniano, ha sido una amenaza persistente desde al menos 2012, cambiando de rumbo desde su objetivo inicial de terminales de puntos de venta (PoS) a actuar como un afiliado de ransomware para bandas ahora desaparecidas como REvil y Conti, antes de lanzar sus propios programas de ransomware como servicio (RaaS) DarkSide y BlackMatter.<\/p>\n El actor de amenazas, que tambi\u00e9n es rastreado bajo los nombres de Carbanak, Carbon Spider, Gold Niagara y Sangria Tempest (anteriormente Elbrus), tiene antecedentes de crear empresas fachada como Combi Security y Bastion Secure para reclutar ingenieros de software involuntarios en esquemas de ransomware con el pretexto de realizar pruebas de penetraci\u00f3n.<\/p>\n A lo largo de los a\u00f1os, FIN7 ha demostrado un alto nivel de adaptabilidad, sofisticaci\u00f3n y experiencia t\u00e9cnica al reestructurar su arsenal de malware (POWERTRASH, DICELOADER (tambi\u00e9n conocido como IceBot, Lizar o Tirion) y una herramienta de prueba de penetraci\u00f3n llamada Core Impact que se entrega a trav\u00e9s del cargador POWERTRASH), a pesar de los arrestos y sentencias de Algunos de sus miembros<\/a>.<\/p>\n Esto se evidencia en las campa\u00f1as de phishing a gran escala llevadas a cabo por el grupo para distribuir ransomware y otras familias de malware mediante el despliegue de miles de dominios “shell” que imitan empresas leg\u00edtimas de medios y tecnolog\u00eda, seg\u00fan un informe reciente de Silent Push.<\/p>\n Alternativamente, estos dominios de shell se han utilizado ocasionalmente en una cadena de redireccionamiento convencional para enviar a los usuarios a p\u00e1ginas de inicio de sesi\u00f3n falsificadas que se hacen pasar por portales de administraci\u00f3n de propiedades.<\/p>\n Estas versiones de typosquat se anuncian en motores de b\u00fasqueda como Google, enga\u00f1ando a los usuarios que buscan software popular para que descarguen una variante cargada de malware. Algunas de las herramientas atacadas incluyen 7-Zip, PuTTY, AIMP, Notepad++, Advanced IP Scanner, AnyDesk, pgAdmin, AutoDesk, Bitwarden, Rest Proxy, Python, Sublime Text y Node.js.<\/p>\n Vale la pena se\u00f1alar que el uso de t\u00e1cticas de malvertising por parte de FIN7 fue destacado previamente por eSentire y Malwarebytes en mayo de 2024, y las cadenas de ataque llevaron a la implementaci\u00f3n de NetSupport RAT.<\/p>\n “FIN7 alquila una gran cantidad de IP dedicadas en varios hosts, pero principalmente en Industrias Stark<\/a>un popular proveedor de alojamiento a prueba de balas que ha sido vinculado a ataques DDoS en Ucrania y en toda Europa”, Silent Push anotado<\/a>.<\/p>\n Los \u00faltimos hallazgos de SentinelOne muestran que FIN7 no solo ha utilizado varias personas en foros de delitos cibern\u00e9ticos para promover la venta de AvNeutralizer, sino que tambi\u00e9n ha improvisado la herramienta con nuevas capacidades.<\/p>\n Esto se basa en el hecho de que varios grupos de ransomware comenzaron a utilizar versiones actualizadas del programa de deterioro de EDR a partir de enero de 2023, que hasta entonces era utilizado exclusivamente por el grupo Black Basta.<\/p>\n El investigador de SentinelLabs Antonio Cocomazzi dijo a The Hacker News que la publicidad de AvNeutralizer en foros clandestinos no deber\u00eda tratarse como una nueva t\u00e1ctica de malware como servicio (MaaS) adoptada por FIN7 sin evidencia adicional.<\/p>\n “FIN7 tiene un historial de desarrollo y uso de herramientas sofisticadas para sus propias operaciones”, dijo Cocomazzi. “Sin embargo, la venta de herramientas a otros cibercriminales podr\u00eda verse como una evoluci\u00f3n natural de sus m\u00e9todos para diversificarse y generar ingresos adicionales”.<\/p>\n “Hist\u00f3ricamente, FIN7 ha utilizado mercados clandestinos para generar ingresos. Por ejemplo, el Departamento de Justicia reportado<\/a> que desde 2015, FIN7 rob\u00f3 con \u00e9xito datos de m\u00e1s de 16 millones de tarjetas de pago, muchas de las cuales se vendieron en mercados clandestinos. Si bien esto era m\u00e1s com\u00fan en la era anterior al ransomware, el anuncio actual de AvNeutralizer podr\u00eda indicar un cambio o expansi\u00f3n en su estrategia”.<\/p>\n “Esto podr\u00eda deberse a las mayores protecciones que ofrecen las soluciones EDR actuales en comparaci\u00f3n con los sistemas antivirus anteriores. A medida que estas defensas han mejorado, la demanda de herramientas de desactivaci\u00f3n como AvNeutralizer ha crecido significativamente, especialmente entre los operadores de ransomware. Los atacantes ahora enfrentan desaf\u00edos m\u00e1s dif\u00edciles para eludir estas protecciones, lo que hace que dichas herramientas sean muy valiosas y costosas”.<\/p>\n Por su parte, la versi\u00f3n actualizada de AvNeutralizer emplea t\u00e9cnicas anti-an\u00e1lisis y, lo m\u00e1s importante, aprovecha un controlador integrado de Windows llamado “ProcLaunchMon.sys<\/a>” en conjunci\u00f3n con el Explorador de procesos<\/a> controlador para manipular el funcionamiento de las soluciones de seguridad y evadir la detecci\u00f3n. Se cree que la herramienta ha estado en desarrollo activo desde abril de 2022.<\/p>\n El Grupo Lazarus tambi\u00e9n ha utilizado una versi\u00f3n similar de este enfoque, haci\u00e9ndolo a\u00fan m\u00e1s peligroso ya que va m\u00e1s all\u00e1 de un ataque tradicional de Traiga su propio controlador vulnerable (BYOVD) al convertir en arma un controlador susceptible que ya est\u00e1 presente de manera predeterminada en las m\u00e1quinas con Windows.<\/p>\n Otra actualizaci\u00f3n notable se refiere a la plataforma Checkmarks de FIN7, que ha sido modificada para incluir un m\u00f3dulo de ataque de inyecci\u00f3n SQL automatizado para explotar aplicaciones p\u00fablicas.<\/p>\n “En sus campa\u00f1as, FIN7 ha adoptado m\u00e9todos de ataque automatizados, que apuntan a servidores p\u00fablicos mediante ataques de inyecci\u00f3n SQL automatizados”, afirm\u00f3 SentinelOne. “Adem\u00e1s, el desarrollo y la comercializaci\u00f3n de herramientas especializadas como AvNeutralizer en foros clandestinos delictivos mejoran significativamente el impacto del grupo”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-grupo-FIN7-anuncia-una-herramienta-para-eludir-la-seguridad.png\")
<\/a><\/center><\/section>\n