{"id":523591,"date":"2022-12-22T13:49:33","date_gmt":"2022-12-22T15:49:33","guid":{"rendered":"https:\/\/teknomers.com\/fr\/fin7-cybercrime-syndicate-apparait-comme-un-acteur-majeur-dans-le-paysage-des-ransomwares\/"},"modified":"2022-12-22T13:49:34","modified_gmt":"2022-12-22T15:49:34","slug":"fin7-cybercrime-syndicate-apparait-comme-un-acteur-majeur-dans-le-paysage-des-ransomwares","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/fin7-cybercrime-syndicate-apparait-comme-un-acteur-majeur-dans-le-paysage-des-ransomwares\/","title":{"rendered":"FIN7 Cybercrime Syndicate appara\u00eet comme un acteur majeur dans le paysage des ransomwares"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Une analyse exhaustive de FIN7<\/strong> a d\u00e9masqu\u00e9 la hi\u00e9rarchie organisationnelle du syndicat de la cybercriminalit\u00e9, ainsi que son r\u00f4le d’affili\u00e9 pour le montage d’attaques de ransomwares.<\/p>\n

Il a \u00e9galement r\u00e9v\u00e9l\u00e9 des associations plus profondes entre le groupe et l’\u00e9cosyst\u00e8me de menaces plus large comprenant les familles de ran\u00e7ongiciels DarkSide, REvil et LockBit, aujourd’hui disparues.<\/p>\n

Le groupe de menaces tr\u00e8s actif, \u00e9galement connu sous le nom de Carbanak, est connu pour utiliser un vaste arsenal d’outils et de tactiques pour \u00e9largir ses “horizons de la cybercriminalit\u00e9”, notamment en ajoutant des ransomwares \u00e0 son livre de jeu et en cr\u00e9ant de fausses soci\u00e9t\u00e9s de s\u00e9curit\u00e9 pour inciter les chercheurs \u00e0 mener des attaques de ransomware sous sous couvert de tests d’intrusion.<\/p>\n

Plus de 8 147 victimes ont \u00e9t\u00e9 compromises par l’adversaire \u00e0 motivation financi\u00e8re \u00e0 travers le monde, la majorit\u00e9 des entit\u00e9s \u00e9tant situ\u00e9es aux \u00c9tats-Unis. D’autres pays importants sont la Chine, l’Allemagne, le Canada, l’Italie et le Royaume-Uni.<\/p>\n

Les techniques d’intrusion de FIN7, au fil des ans, se sont diversifi\u00e9es au-del\u00e0 de l’ing\u00e9nierie sociale traditionnelle pour inclure les cl\u00e9s USB infect\u00e9es, la compromission de la cha\u00eene d’approvisionnement logicielle et l’utilisation d’informations d’identification vol\u00e9es achet\u00e9es sur des march\u00e9s clandestins.<\/p>\n

\"La<\/a><\/center><\/div>\n

“Aujourd’hui, son approche initiale consiste \u00e0 s\u00e9lectionner avec soin les entreprises de grande valeur dans le pool de syst\u00e8mes d’entreprise d\u00e9j\u00e0 compromis et \u00e0 les forcer \u00e0 payer des ran\u00e7ons importantes pour restaurer leurs donn\u00e9es ou \u00e0 rechercher des moyens uniques de mon\u00e9tiser les donn\u00e9es et l’acc\u00e8s \u00e0 distance”, PRODAFT m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n

Selon la soci\u00e9t\u00e9 suisse de cybers\u00e9curit\u00e9, il a \u00e9galement \u00e9t\u00e9 observ\u00e9 que les acteurs de la menace militarisent les failles de Microsoft Exchange telles que les failles CVE-2020-0688, CVE-2021-42321, ProxyLogon et ProxyShell dans Microsoft Exchange Server pour prendre pied dans les environnements cibles. .<\/p>\n

\"Syndicat<\/div>\n

Malgr\u00e9 l’utilisation de tactiques de double extorsion, les attaques mont\u00e9es par le groupe ont d\u00e9ploy\u00e9 des portes d\u00e9rob\u00e9es sur les syst\u00e8mes compromis, m\u00eame dans les sc\u00e9narios o\u00f9 la victime a d\u00e9j\u00e0 pay\u00e9 une ran\u00e7on.<\/p>\n

L’id\u00e9e est de revendre l’acc\u00e8s \u00e0 d’autres tenues de ran\u00e7ongiciels et de recibler les victimes dans le cadre de son syst\u00e8me de gain d’argent illicite, soulignant ses tentatives de minimiser les efforts et de maximiser les profits, sans parler de prioriser les entreprises en fonction de leurs revenus annuels, des dates de fondation, et le nombre d’employ\u00e9s.<\/p>\n

Cela “d\u00e9montre un type particulier d’\u00e9tude de faisabilit\u00e9 consid\u00e9r\u00e9e comme un comportement unique parmi les groupes de cybercriminalit\u00e9”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

\"Syndicat<\/div>\n

Autrement dit, le modus operandi de FIN7 se r\u00e9sume \u00e0 ceci : il utilise des services comme Dun & Bradstreet (DNB<\/a>), Crunchbase, Owler et Zoominfo pour pr\u00e9s\u00e9lectionner les entreprises et les organisations avec les revenus les plus \u00e9lev\u00e9s. Il utilise \u00e9galement d’autres plates-formes d’analyse de sites Web telles que MuStat et Similarweb pour surveiller le trafic vers les sites des victimes.<\/p>\n

L’acc\u00e8s initial est ensuite obtenu via l’un des nombreux vecteurs d’intrusion, suivi de l’exfiltration des donn\u00e9es, du cryptage des fichiers et \u00e9ventuellement de la d\u00e9termination du montant de la ran\u00e7on en fonction des revenus de l’entreprise.<\/p>\n

\"Syndicat<\/div>\n

Ces s\u00e9quences d’infection sont \u00e9galement con\u00e7ues pour charger les chevaux de Troie d’acc\u00e8s \u00e0 distance tels que Carbanak, Lizar (alias Tirion) et IceBot<\/a>dont le dernier a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Gemini Advisory, propri\u00e9t\u00e9 de Recorded Future, en janvier 2022.<\/p>\n

D’autres outils d\u00e9velopp\u00e9s par FIN7 comprennent des modules pour automatiser les analyses des serveurs Microsoft Exchange vuln\u00e9rables et d’autres applications Web accessibles au public, ainsi que Cobalt Strike pour la post-exploitation.<\/p>\n

Dans une autre indication que les groupes criminels fonctionnent comme des entreprises traditionnelles, FIN7 suit une structure d’\u00e9quipe compos\u00e9e d’\u00e9quipes de direction de haut niveau, de d\u00e9veloppeurs, de pentesters, d’affili\u00e9s et de marketing, chacun \u00e9tant charg\u00e9 de responsabilit\u00e9s individuelles.<\/p>\n

Alors que deux membres nomm\u00e9s Alex et Rash sont les principaux acteurs derri\u00e8re l’op\u00e9ration, un troisi\u00e8me membre de la direction nomm\u00e9 Sergey-Oleg est charg\u00e9 de d\u00e9l\u00e9guer des t\u00e2ches aux autres associ\u00e9s du groupe et de superviser leur ex\u00e9cution.<\/p>\n

Cependant, il a \u00e9galement \u00e9t\u00e9 observ\u00e9 que les op\u00e9rateurs occupant des postes d’administrateur se livrent \u00e0 la coercition et au chantage pour intimider les membres de l’\u00e9quipe afin qu’ils travaillent davantage et lancent des ultimatums pour “blesser les membres de leur famille en cas de d\u00e9mission ou d’\u00e9vasion de leurs responsabilit\u00e9s”.<\/p>\n

Les r\u00e9sultats surviennent plus d’un mois apr\u00e8s que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SentinelOne a identifi\u00e9 des liens potentiels entre FIN7 et l’op\u00e9ration de ran\u00e7ongiciel Black Basta.<\/p>\n

“FIN7 s’est impos\u00e9 comme un groupe APT extraordinairement polyvalent et bien connu qui cible les entreprises”, a conclu PRODAFT.<\/p>\n

“Leur initiative consiste \u00e0 effectuer des recherches approfondies sur les entreprises en fonction de leurs revenus, du nombre d’employ\u00e9s, du si\u00e8ge social et des informations sur le site Web afin d’identifier les cibles les plus rentables. Bien qu’elles aient des probl\u00e8mes internes li\u00e9s \u00e0 la r\u00e9partition in\u00e9gale des ressources mon\u00e9taires obtenues et \u00e0 des pratiques quelque peu douteuses envers leurs membres. , ils ont r\u00e9ussi \u00e0 \u00e9tablir une forte pr\u00e9sence dans le domaine de la cybercriminalit\u00e9.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n