FIN6

APT / EstatalG0037 ↗
Técnicas (MITRE ATT&CK)40
FuenteMITRE ATT&CK
0
También conocido como:ATK88Camouflage TempestG0037GOLD FRANKLINITG08MageCart Group 6Magecart Group 6SKELETON SPIDERSQUID COMETSkeleton SpiderStorm-0538TA4557TAALWhite Giant

Análisis Vexday

FIN6 (também referenciado como Magecart Group 6, ITG08, Skeleton Spider, TAAL e Camouflage Tempest) é um grupo cibercriminoso especializado no roubo de dados de cartões de pagamento para revenda em mercados clandestinos. O grupo tem como alvos prioritários sistemas de ponto de venda (PoS) nos setores de hospitalidade e varejo, conduzindo comprometimentos de forma agressiva e sistemática. Ao grupo são atribuídas 40 técnicas documentadas no MITRE ATT&CK (identificador G0037) e a exploração de 3 CVEs conhecidas.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal65
Impacto: Alto
T1566.001T1047T1547.001T1068T1021.001T1005ENTRYAcceso inicialSpearphishingAttachmentEXECEjecuciónWindows ManagementInstrumentationPERSPersistenciaRegistry Run Keys/ Startup FolderPRIVEscalada de privilegiosExploitation forPrivilege Escalat…LATMovimiento lateralRemote DesktopProtocolCOLLRecolecciónData from LocalSystemEXFILExfiltraciónExfiltration OverUnencrypted Non-C…

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 40

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
Tool
Acceso inicial
Spearphishing AttachmentSpearphishing via Service
Ejecución
Windows Management InstrumentationScheduled TaskCommand and Scripting InterpreterPowerShellWindows Command ShellJavaScriptMalicious FileService Execution
Persistencia
Registry Run Keys / Startup Folder
Escalada de privilegios
Exploitation for Privilege Escalation
Acceso a credenciales
LSASS MemoryNTDSPassword CrackingCredentials from Password StoresCredentials from Web Browsers
Descubrimiento
Remote System DiscoveryNetwork Service DiscoveryDomain Account
Movimiento lateral
Remote Desktop Protocol
Recolección
Data from Local SystemRemote Data StagingAutomated CollectionDatabasesArchive Collected DataArchive via Custom Method
Comando y control
Non-Application Layer ProtocolWeb ServiceProtocol TunnelingAsymmetric Cryptography
Exfiltración
Exfiltration Over Unencrypted Non-C2 Protocol
defense-impairment
Code SigningDisable or Modify Tools
stealth
Command ObfuscationMasquerade Task or ServiceFile DeletionValid AccountsAccess Token Manipulation

Vulnerabilidades explotadas 3

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2013-3660HIGHEPSS 40%KEVCVE-2011-2005HIGHEPSS 32%KEVCVE-2010-4398HIGHEPSS 9%KEV

Infraestructura conocida 1376

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port178.16.52.177:443Cobalt Strikethreatfox
ip:port110.42.255.63:80Cobalt Strikethreatfox
ip:port117.72.159.96:8082Cobalt Strikethreatfox
ip:port117.72.159.96:8088Cobalt Strikethreatfox
ip:port117.72.159.96:5003Cobalt Strikethreatfox
ip:port110.42.255.63:9000Cobalt Strikethreatfox
ip:port110.42.255.63:3000Cobalt Strikethreatfox
ip:port172.93.221.193:22Cobalt Strikethreatfox
md5_hash9717F005C5FB98E08D2AD983D88F94EECobalt Strikethreatfox
md5_hash9460E150E1981D5C165043520C5C12FECobalt Strikethreatfox
md5_hash2d7c8780e97409770a9d4f31c66c9d63Cobalt Strikethreatfox
ip:port172.93.221.193:8080Cobalt Strikethreatfox
ip:port172.93.221.193:443Cobalt Strikethreatfox
ip:port52.141.2.68:8080Cobalt Strikethreatfox
ip:port52.141.2.68:50000Cobalt Strikethreatfox
ip:port172.93.221.193:80Cobalt Strikethreatfox
ip:port52.141.2.68:443Cobalt Strikethreatfox
ip:port52.141.2.68:80Cobalt Strikethreatfox
ip:port149.88.66.234:888Cobalt Strikethreatfox
ip:port149.88.66.234:3306Cobalt Strikethreatfox
ip:port149.88.66.234:9999Cobalt Strikethreatfox
ip:port149.88.66.234:8088Cobalt Strikethreatfox
ip:port149.88.66.234:22Cobalt Strikethreatfox
ip:port149.88.66.234:9200Cobalt Strikethreatfox
ip:port119.29.122.42:53Cobalt Strikethreatfox
domainc2.apamm.kdns.frCobalt Strikethreatfox
ip:port38.190.196.19:22Cobalt Strikethreatfox
ip:port8.163.59.20:8082Cobalt Strikethreatfox
ip:port43.225.157.17:1080Cobalt Strikethreatfox
ip:port47.93.42.22:22Cobalt Strikethreatfox

+1376 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo FIN6 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →