Carbon Spider (FIN7) APT IOCs - Part 6

Новые доказательства свидетельствуют о том, что группировка FIN7, действующая с 2012 года и являющаяся финансово мотивированной и устойчивой угрозой, использует несколько псевдонимов, чтобы скрыть свою истинную личность и продолжать свои преступные операции на подпольном рынке. Они изначально специализировались на использовании вредоносного ПО для финансовых махинаций в точках продаж, но с 2020 года сместили акцент на операции с вымогательским ПО. Группа создала мошеннические фирмы, чтобы обманывать исследователей и проводить атаки с использованием выкупного ПО.

Оглавление

FIN7 APT

В ходе анализа обнаружена новая версия инструмента AvNeutralizer, который использует ранее неизвестную технику для подделки решений безопасности, используя встроенный в Windows драйвер ProcLaunchMon.sys. Исследователи также обнаружили, что AvNeutralizer был представлен на криминальном подпольном рынке и использовался несколькими группами вымогателей.

Кроме того, проанализирована рекламная деятельность на криминальных форумах, где был продвигаем инструмент AvNeutralizer. На основе объявлений и сообщений на форумах исследователи отследили активность пользователей с псевдонимами "goodsoft", "lefroggy" и "killerAV", которые были связаны с группой FIN7. На форумах были размещены объявления о продаже инструмента AvNeutralizer и программного обеспечения "PentestSoftware". Установлено, что инструмент AvNeutralizer больше не эксклюзивен для группировки Black Basta и, вероятно, продавался на подпольных форумах.

Indicators of Compromise

IPv4

104.193.255.99
108.170.20.89
146.59.217.154
15.235.156.105
162.248.225.148
176.97.75.244
184.95.51.185
185.117.119.108
185.117.88.245
185.16.40.108
185.161.208.45
185.161.210.11
185.172.129.70
185.232.170.205
185.232.170.83
185.234.247.62
185.244.151.114
185.250.151.141
185.250.151.33
185.250.151.60
185.33.87.24
192.248.188.166
193.109.120.69
193.178.210.227
193.233.22.68
193.233.23.158
193.233.23.45
193.233.23.59
193.42.36.231
194.104.136.113
194.180.174.86
194.180.191.85
194.87.191.198
194.87.82.7
195.123.218.99
195.123.240.46
195.123.246.20
195.123.246.46
198.15.119.69
207.246.92.213
208.88.226.158
213.109.192.116
213.109.192.198
217.12.206.176
37.1.210.119
37.157.254.8
45.136.199.128
45.66.249.75
45.82.13.64
45.87.154.208
46.17.107.32
46.17.107.7
5.161.41.51
5.252.177.7
62.233.57.163
62.233.57.19
62.233.57.241
62.233.57.31
65.108.20.101
65.108.20.165
79.141.162.131
80.71.157.173
85.239.54.214
91.149.221.195
91.149.243.129
91.149.253.184
91.193.19.163
91.199.147.152
91.199.147.60
94.140.114.173
94.158.244.107
94.158.244.23
95.123.243.169
95.216.251.213
95.217.102.49
95.217.82.121

URLs

http://193.178.210.227/work_53.bin_m7.ps1
http://45.87.154.208/icsnd3b_64refl.ps1
http://45.87.154.208/work_53m8.ps1

SHA1

043f17d7a0f80ed8383ee251b8071c8c46a625eb
05e9e0005fd38a0f168757637c1719d6303bfbac
07d0c0c315f99c4f1785645ddd4c3fe665c0448c
0aeab70affcab0f1e96c62c25dd41dc32d41e2ea
0b4974c0d0802f6b8befae8d89abba4593756dfa
0e8fe5b9ff59102b42805342897dff1a8f1ae003
1300b157a1ee8f5ecde665a1aa1524facfed31c4
1345492b027142c803990ea77aea08dd57b6f304
15186e9d03600c667bbe4b34c5e1348bfc0a8168
1693ec86bb6de6e0fe64f57484e1ce97bf373081
16c8dde4565958589cd81af33c9f09817216eda0
187546da3f90d17329dd999ea481c3ebe3f99845
19ca1aff37c058971c0880516e00654d1e3d27a1
19f71c7b000f43d6bcbe11234a0e586742b311d1
1c8c903ff1b704236cd061c0b9edcf0a25e5e371
23924e8ebd19be1f05ffed774ec5481503cf4cd5
24786e5000670ac8b51a7292d3d384f39c466880
278b1ee17b057051179bb6302b099cdef3240c84
297e1f284a758847df8596b04a1c7f17241e9072
2fc8b38d3f40d8151ec717c8a8813cf06df90c10
307033dbf90d21522ee6b031856b3faee249ced9
311eaa735f4ae0b34e5943f150db0e796173846c
323e033566d06a2b5e2873fbc2f846d2c768f2e9
32f3e4f9dfeebc4cf078db7b885151d8936504a6
343f15cd30791d8d9809ac471bcd39eee0ae09e2
39d01edefd751a59e17319e81362bca911e80fba
3c3773421709113acf9918cb2dbdd08dd46497c7
3ce8f2ac69e43f556cedd34b8c792e032eb4ee19
3ea2921a3619eaf9a95eb023a22215005924e8bb
3ee8b071c9b844ab643db1a5ca048b482d1adbd3
3f07408a0beb184b30fb6affdf2c57ccc6f99e4d
3f5797defcb57d7dde6eb1d2acf05947b4444260
425222ce8b1c6d6d4eacccb7da64ce6d6a6291ca
45e8cebbd795d02e082fca25515bbf181f851a3c
4625c52e734a51efd431b5ac78c3912eca4cd996
47cf95118d0ec3a50aeb09677f378cac508052a4
4e32f3df7d27c991c0e361670879a266298747a6
52e261a7cab837489dfcb8cd49aaf82ee287968c
58fad3ef8a4f44e973d1609bfd7caf756de98424
5a6c1f0942ceb25e5d3a5f5e777c812c52bf48fc
617627f0dd70011773dd16c6a15a2de2942d34dd
671e195ad9c38bbb4985b8643f4de091c47cdde7
6772e23cfbf42a4aef63bdf7c8844fe61208b628
67ca301c74d2c9e294eedf790f40a9d358dee0f3
6984f06e6485e33f84c0f58fa253509f9a2d46fe
6b406be948fff3a6510345048343abd570fc7fb9
6dfac9c62f35a527a86904b49fe97a0eb9c912be
6fa8b56e1f6067007503e5df351e2e75386ac072
7796f28213916157245b248566fa2a1d4811e66e
7908811e3c071a5b828ee48083fef2eee146f4b9
79d9724d37bfda0bd8cd26ecf50ed07c9d18dd64
7f66fda7b3616ff31739e174b6f177d9eee77584
83082e3843b132e0374f242da42138b35d964759
84f1fd6d0a9ff98c23287c02887811899af4adb7
86533fff7813bc140c89bd2ed09b8484afe7e4ac
8687b6b1508a93556d6e30d14e5c4ee9971f2d80
8857ba79fdefb97ac443a1f3d74b372d19db36a8
88cd32ace737d6dfeb4ffdc299db5a444d113e10
8a03580d29fe1dcc3de9fffaf8960bc339ecd994
8a3ee88e7b64aade814745d76906461a063883ff
8ba2faee8cacf4ca2ae5b83a2c1c78919dc902b8
8ba9ffa31a1403d436df062d5cebee1d20f9b49a
8bf65dbb08bb5c44f869bcc78d4314ccbc1e8d32
8f564864ac8d2b698367da377a32b6ecd2272631
91226772402917f7fbfa203e39c9c5af3494b00b
936447d6a1f69f2b4aaba158504c7b5a09ab6385
95eab0e745e260daaf7022b0c64d25589ead7348
9707e4e4a17039b9401b90bb6f14fa67b7c53415
9a6ca844409c6ba2db25a068de40ccad9c952f3a
9abaa7b590c4fb902834ab16df5fb733eab50721
9d28dec1c9882d72f9a74e3fc4e7bc1804d28a2d
a3be8b29d46db190d51b2e8a67d127175164227c
a672c2c05e72b1d9d61e5977ec5e436bfac9c9b7
acc1c19abf7a649b871a0ec4776271b66b8893fb
ad6bc38913f98c3f4b57d5415ef6e4d3ee35234a
adb6c5607a28f6d60756116c7de91299a1137c83
b21914a068965cb7e715848dedf9399c038da5c2
b5a53f2762b7d7c09ecebe1e0838828d7f42f2bd
c5c1ec58b09ca672d491892469bee92d1e061065
c73cd7c4475a03cbd88942a37ef437487d99e21c
c7dcbfe93a4de0012a261cfc4abdfddb7770ca98
c833e24b5f698103121bd67f05f81f1d633cbbb0
c9a705395fab442261c174021caa9348ebff6b19
cb0da51272207aa98f44d51e79c17033f406cd6a
cc17f8dd1ed74955a9c4d8b5a766ef6a2fa6807d
cc37284c6a387b474d2c714496abcbe415ed74eb
cd1a40c5d624826429b6f403324abc221167704c
dbcdbdf927e351d371606e861cee41bbd2be1d33
dc4f836a7e5658a649a7eeb30107a4ac7fac9e31
df753441c24c5aef920f9f772f81c43c88e595ee
e292ba2cd4fe3afa2d21c4ced23e15df13395bd1
e4074c75993960298838b44855665553709d89dd
e4954f51c545ba7af4e8c670380cfe03b25490e7
f073749b1358017bf0a28f65693765ef6fd0157d
f7b0369169dff3f10e974b9a10ec15f7a81dec54
f9aad333dc17763dfcf33ec13e560a6b89c5d335
fdc5636503862b3cdaa93a48332a4b7c782e2bdf
fe9f23bbeb9737b066675a55aa5b66171c804c37
ff11360f6ad22ba2629489ac286b6fdf4190846e