FIN6

APT / EstatalG0037 ↗
Técnicas (MITRE ATT&CK)40
FonteMITRE ATT&CK
0
Também conhecido como:ATK88Camouflage TempestG0037GOLD FRANKLINITG08MageCart Group 6Magecart Group 6SKELETON SPIDERSQUID COMETSkeleton SpiderStorm-0538TA4557TAALWhite Giant

Análise Vexday

FIN6 (também referenciado como Magecart Group 6, ITG08, Skeleton Spider, TAAL e Camouflage Tempest) é um grupo cibercriminoso especializado no roubo de dados de cartões de pagamento para revenda em mercados clandestinos. O grupo tem como alvos prioritários sistemas de ponto de venda (PoS) nos setores de hospitalidade e varejo, conduzindo comprometimentos de forma agressiva e sistemática. Ao grupo são atribuídas 40 técnicas documentadas no MITRE ATT&CK (identificador G0037) e a exploração de 3 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal65
Impacto: Alto
T1566.001T1047T1547.001T1068T1021.001T1005ENTRYAcesso inicialSpearphishingAttachmentEXECExecuçãoWindows ManagementInstrumentationPERSPersistênciaRegistry Run Keys/ Startup FolderPRIVEscalada de privilégioExploitation forPrivilege Escalat…LATMovimento lateralRemote DesktopProtocolCOLLColetaData from LocalSystemEXFILExfiltraçãoExfiltration OverUnencrypted Non-C…

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 40

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
Tool
Acesso inicial
Spearphishing AttachmentSpearphishing via Service
Execução
Windows Management InstrumentationScheduled TaskCommand and Scripting InterpreterPowerShellWindows Command ShellJavaScriptMalicious FileService Execution
Persistência
Registry Run Keys / Startup Folder
Escalada de privilégio
Exploitation for Privilege Escalation
Acesso a credenciais
LSASS MemoryNTDSPassword CrackingCredentials from Password StoresCredentials from Web Browsers
Descoberta
Remote System DiscoveryNetwork Service DiscoveryDomain Account
Movimento lateral
Remote Desktop Protocol
Coleta
Data from Local SystemRemote Data StagingAutomated CollectionDatabasesArchive Collected DataArchive via Custom Method
Comando e controle
Non-Application Layer ProtocolWeb ServiceProtocol TunnelingAsymmetric Cryptography
Exfiltração
Exfiltration Over Unencrypted Non-C2 Protocol
defense-impairment
Code SigningDisable or Modify Tools
stealth
Command ObfuscationMasquerade Task or ServiceFile DeletionValid AccountsAccess Token Manipulation

Vulnerabilidades exploradas 3

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2013-3660HIGHEPSS 40%KEVCVE-2011-2005HIGHEPSS 32%KEVCVE-2010-4398HIGHEPSS 9%KEV

Infraestrutura conhecida 1376

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port178.16.52.177:443Cobalt Strikethreatfox
ip:port110.42.255.63:80Cobalt Strikethreatfox
ip:port117.72.159.96:8082Cobalt Strikethreatfox
ip:port117.72.159.96:8088Cobalt Strikethreatfox
ip:port117.72.159.96:5003Cobalt Strikethreatfox
ip:port110.42.255.63:9000Cobalt Strikethreatfox
ip:port110.42.255.63:3000Cobalt Strikethreatfox
ip:port172.93.221.193:22Cobalt Strikethreatfox
md5_hash9717F005C5FB98E08D2AD983D88F94EECobalt Strikethreatfox
md5_hash9460E150E1981D5C165043520C5C12FECobalt Strikethreatfox
md5_hash2d7c8780e97409770a9d4f31c66c9d63Cobalt Strikethreatfox
ip:port172.93.221.193:8080Cobalt Strikethreatfox
ip:port172.93.221.193:443Cobalt Strikethreatfox
ip:port52.141.2.68:8080Cobalt Strikethreatfox
ip:port52.141.2.68:50000Cobalt Strikethreatfox
ip:port172.93.221.193:80Cobalt Strikethreatfox
ip:port52.141.2.68:443Cobalt Strikethreatfox
ip:port52.141.2.68:80Cobalt Strikethreatfox
ip:port149.88.66.234:888Cobalt Strikethreatfox
ip:port149.88.66.234:3306Cobalt Strikethreatfox
ip:port149.88.66.234:9999Cobalt Strikethreatfox
ip:port149.88.66.234:8088Cobalt Strikethreatfox
ip:port149.88.66.234:22Cobalt Strikethreatfox
ip:port149.88.66.234:9200Cobalt Strikethreatfox
ip:port119.29.122.42:53Cobalt Strikethreatfox
domainc2.apamm.kdns.frCobalt Strikethreatfox
ip:port38.190.196.19:22Cobalt Strikethreatfox
ip:port8.163.59.20:8082Cobalt Strikethreatfox
ip:port43.225.157.17:1080Cobalt Strikethreatfox
ip:port47.93.42.22:22Cobalt Strikethreatfox

+1376 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo FIN6 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →