Grupo Hacker FIN6 agora usando Ryuk e LockerGoga Ransomware

Recentemente, o grupo de cibercrimes do FIN6 era conhecido por hackear os varejistas e roubar informações de pagamento dos sistemas de ponto de venda (POS) até recentemente, quando eles desenvolveram suas táticas para incluir a implantação de ransomware para infectar redes pela Internet.

O FIN6 criou uma reputação de ser um dos grupos mais avançados de hackers atualmente ativos na Internet. Suas atividades foram vistas pela primeira vez em meados de 2016, com um relatório da FireEye publicado para detalhar a ampla gama de ataques e recursos implantados pelo grupo de cibercriminosos.

Em 2016, a FIN6 desenvolveu um mal-intencionado de POS, chamado Trinity, que possuía versatilidade que permite invadir redes de grandes varejistas, movendo-se através de seus sistemas. Eles conseguiram implantar o Trinity em computadores que lidam com os dados de PDV dessas empresas, extraindo dados de pagamento e detalhes de cartão que eles podem usar posteriormente em seus próprios servidores.

O grupo está ganhando dinheiro usando esses dados roubados e detalhes de pagamento em fóruns de hackers, usando isso para gerar receita.

De acordo com um relatório recente publicado em 5 de abril pela FireEye, o grupo agora também está implementando ransomware em algumas dessas redes hackeadas, especificamente aquelas que não lidam com dados de POS.

O grupo não estava trabalhando em abandonar as cepas de ransomware LockerGoga e Ryuk desde julho de 2018, com ambas focadas em uma onda de infecções de alto perfil que foram destinadas a grandes empresas, órgãos governamentais e afins, sendo a Norsk Hydro a vítima mais recente.

IBM, CrowdStrike, Kryptos Logic, Cybereason, FireEye e McAfee chegaram à conclusão de que o grupo pode estar operando fora da Rússia, em algum lugar onde sua infraestrutura é alugada de outros grupos, como TrickBot e Emotet . Isso permite que eles procurem grandes empresas para infectar com seu malware de escolha, seja Ryuk, Trinigy ou LockerGoga.

O FIN6 é considerado um grupo Ransomware-First agora?

Nos relatórios mais recentes sobre as atividades do FIN6, a FireEye relatou a mudança de tática, passando do uso do malware Trinity para o ransomware LockerGoga e Ryuk. O que os analistas notaram, mas não podiam dizer com certeza, é se esse é o novo modus operandi do grupo ou se alguns dos membros do grupo estão fazendo suas próprias coisas de forma independente.

Apesar disso, o FIN6 fez com que as empresas e os governos precisassem ficar na ponta dos pés independentemente, especialmente devido aos recentes desenvolvimentos.