L’acteur de la menace motiv\u00e9e par des raisons financi\u00e8res connu sous le nom de FIN7 a \u00e9t\u00e9 observ\u00e9 en utilisant plusieurs pseudonymes sur plusieurs forums clandestins pour probablement faire la publicit\u00e9 d’un outil connu pour \u00eatre utilis\u00e9 par des groupes de ransomware comme Black Basta.<\/p>\n
\u00ab AvNeutralizer (alias AuKill), un outil hautement sp\u00e9cialis\u00e9 d\u00e9velopp\u00e9 par FIN7 pour alt\u00e9rer les solutions de s\u00e9curit\u00e9, a \u00e9t\u00e9 commercialis\u00e9 dans le milieu criminel et utilis\u00e9 par de nombreux groupes de ransomware \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SentinelOne dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n FIN7, un groupe de cybercriminalit\u00e9 d’origine russe et ukrainienne, constitue une menace persistante depuis au moins 2012, passant d’un ciblage initial des terminaux de point de vente (PoS) \u00e0 une activit\u00e9 d’affili\u00e9 de ransomware pour des gangs aujourd’hui disparus tels que REvil et Conti, avant de lancer ses propres programmes de ransomware en tant que service (RaaS) DarkSide et BlackMatter.<\/p>\n L’acteur de la menace, qui est \u00e9galement suivi sous les noms de Carbanak, Carbon Spider, Gold Niagara et Sangria Tempest (anciennement Elbrus), a pour habitude de cr\u00e9er des soci\u00e9t\u00e9s \u00e9crans comme Combi Security et Bastion Secure pour recruter des ing\u00e9nieurs logiciels involontaires dans des projets de ransomware sous pr\u00e9texte de tests de p\u00e9n\u00e9tration.<\/p>\n Au fil des ann\u00e9es, FIN7 a d\u00e9montr\u00e9 un haut niveau d’adaptabilit\u00e9, de sophistication et d’expertise technique en r\u00e9organisant son arsenal de logiciels malveillants – POWERTRASH, DICELOADER (alias IceBot, Lizar ou Tirion) et un outil de test de p\u00e9n\u00e9tration appel\u00e9 Core Impact qui est fourni via le chargeur POWERTRASH – malgr\u00e9 les arrestations et les condamnations de certains de ses membres<\/a>.<\/p>\n Ceci est d\u00e9montr\u00e9 par les campagnes de phishing \u00e0 grande \u00e9chelle entreprises par le groupe pour diffuser des ransomwares et d’autres familles de logiciels malveillants en d\u00e9ployant des milliers de domaines \u00ab shell \u00bb qui imitent des entreprises de m\u00e9dias et de technologie l\u00e9gitimes, selon un r\u00e9cent rapport de Silent Push.<\/p>\n Alternativement, ces domaines shell ont \u00e9t\u00e9 occasionnellement utilis\u00e9s dans une cha\u00eene de redirection conventionnelle pour envoyer les utilisateurs vers des pages de connexion falsifi\u00e9es qui se font passer pour des portails de gestion immobili\u00e8re.<\/p>\n Ces versions de typosquat sont annonc\u00e9es sur des moteurs de recherche comme Google, incitant les utilisateurs \u00e0 la recherche de logiciels populaires \u00e0 t\u00e9l\u00e9charger une variante contenant des logiciels malveillants. Parmi les outils cibl\u00e9s figurent 7-Zip, PuTTY, AIMP, Notepad++, Advanced IP Scanner, AnyDesk, pgAdmin, AutoDesk, Bitwarden, Rest Proxy, Python, Sublime Text et Node.js.<\/p>\n Il convient de noter que l’utilisation de tactiques de malvertising par FIN7 a d\u00e9j\u00e0 \u00e9t\u00e9 mise en \u00e9vidence par eSentire et Malwarebytes en mai 2024, les cha\u00eenes d’attaque ayant conduit au d\u00e9ploiement de NetSupport RAT.<\/p>\n “FIN7 loue une grande quantit\u00e9 d’adresses IP d\u00e9di\u00e9es sur un certain nombre d’h\u00f4tes, mais principalement sur Stark industries<\/a>un fournisseur d’h\u00e9bergement populaire \u00e0 l’\u00e9preuve des balles qui a \u00e9t\u00e9 li\u00e9 \u00e0 des attaques DDoS en Ukraine et \u00e0 travers l’Europe, “Silent Push not\u00e9<\/a>.<\/p>\n Les derni\u00e8res d\u00e9couvertes de SentinelOne montrent que FIN7 a non seulement utilis\u00e9 plusieurs personnages sur les forums de cybercriminalit\u00e9 pour promouvoir la vente d’AvNeutralizer, mais a \u00e9galement improvis\u00e9 l’outil avec de nouvelles capacit\u00e9s.<\/p>\n Cela est bas\u00e9 sur le fait que plusieurs groupes de ransomware ont commenc\u00e9 \u00e0 utiliser des versions mises \u00e0 jour du programme de d\u00e9gradation EDR \u00e0 partir de janvier 2023, qui \u00e9tait jusque-l\u00e0 exclusivement utilis\u00e9 par le groupe Black Basta.<\/p>\n Antonio Cocomazzi, chercheur chez SentinelLabs, a d\u00e9clar\u00e9 \u00e0 The Hacker News que la publicit\u00e9 d’AvNeutralizer sur des forums clandestins ne devrait pas \u00eatre consid\u00e9r\u00e9e comme une nouvelle tactique de malware-as-a-service (MaaS) adopt\u00e9e par FIN7 sans preuve suppl\u00e9mentaire.<\/p>\n \u00ab FIN7 a l’habitude de d\u00e9velopper et d’utiliser des outils sophistiqu\u00e9s pour ses propres op\u00e9rations \u00bb, a d\u00e9clar\u00e9 Cocomazzi. \u00ab Cependant, vendre des outils \u00e0 d’autres cybercriminels pourrait \u00eatre consid\u00e9r\u00e9 comme une \u00e9volution naturelle de leurs m\u00e9thodes pour se diversifier et g\u00e9n\u00e9rer des revenus suppl\u00e9mentaires. \u00bb<\/p>\n \u00ab Historiquement, FIN7 a utilis\u00e9 des march\u00e9s clandestins pour g\u00e9n\u00e9rer des revenus. Par exemple, le DoJ signal\u00e9<\/a> \u00ab Depuis 2015, FIN7 a r\u00e9ussi \u00e0 voler les donn\u00e9es de plus de 16 millions de cartes de paiement, dont beaucoup ont \u00e9t\u00e9 vendues sur des march\u00e9s clandestins. Bien que cela \u00e9tait plus courant \u00e0 l’\u00e9poque pr\u00e9-ransomware, la publicit\u00e9 actuelle d’AvNeutralizer pourrait signaler un changement ou une expansion de leur strat\u00e9gie. \u00bb<\/p>\n \u00ab Cela pourrait \u00eatre motiv\u00e9 par les protections croissantes fournies par les solutions EDR actuelles par rapport aux syst\u00e8mes AV pr\u00e9c\u00e9dents. \u00c0 mesure que ces d\u00e9fenses se sont am\u00e9lior\u00e9es, la demande d’outils de d\u00e9gradation comme AvNeutralizer a consid\u00e9rablement augment\u00e9, en particulier parmi les op\u00e9rateurs de ransomware. Les attaquants sont d\u00e9sormais confront\u00e9s \u00e0 des d\u00e9fis plus difficiles pour contourner ces protections, ce qui rend ces outils tr\u00e8s pr\u00e9cieux et co\u00fbteux. \u00bb<\/p>\n De son c\u00f4t\u00e9, la version mise \u00e0 jour d’AvNeutralizer utilise des techniques d’anti-analyse et, surtout, exploite un pilote int\u00e9gr\u00e9 \u00e0 Windows appel\u00e9 “ProcLaunchMon.sys<\/a>” en conjonction avec le Explorateur de processus<\/a> Le pilote peut alt\u00e9rer le fonctionnement des solutions de s\u00e9curit\u00e9 et \u00e9chapper \u00e0 la d\u00e9tection. L’outil serait en cours de d\u00e9veloppement actif depuis avril 2022.<\/p>\n Une version similaire de cette approche a \u00e9galement \u00e9t\u00e9 utilis\u00e9e par le groupe Lazarus, la rendant encore plus dangereuse car elle va au-del\u00e0 d’une attaque traditionnelle Bring Your Own Vulnerable Driver (BYOVD) en militarisant un pilote sensible d\u00e9j\u00e0 pr\u00e9sent par d\u00e9faut sur les machines Windows.<\/p>\n Une autre mise \u00e0 jour notable concerne la plateforme Checkmarks de FIN7, qui a \u00e9t\u00e9 modifi\u00e9e pour inclure un module d’attaque par injection SQL automatis\u00e9 pour exploiter les applications publiques.<\/p>\n \u00ab Dans ses campagnes, FIN7 a adopt\u00e9 des m\u00e9thodes d’attaque automatis\u00e9es, ciblant les serveurs publics par le biais d’attaques par injection SQL automatis\u00e9es \u00bb, a d\u00e9clar\u00e9 SentinelOne. \u00ab De plus, le d\u00e9veloppement et la commercialisation d’outils sp\u00e9cialis\u00e9s comme AvNeutralizer au sein de forums criminels clandestins renforcent consid\u00e9rablement l’impact du groupe. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-groupe-FIN7-fait-la-promotion-dun-outil-de-contournement.png\")
<\/a><\/center><\/section>\n