FIN6

APT / EstatalG0037 ↗
Técnicas (MITRE ATT&CK)40
FuenteMITRE ATT&CK
0
También conocido como:ATK88Camouflage TempestG0037GOLD FRANKLINITG08MageCart Group 6Magecart Group 6SKELETON SPIDERSQUID COMETSkeleton SpiderStorm-0538TA4557TAALWhite Giant

Análisis Vexday

FIN6 (também referenciado como Magecart Group 6, ITG08, Skeleton Spider, TAAL e Camouflage Tempest) é um grupo cibercriminoso especializado no roubo de dados de cartões de pagamento para revenda em mercados clandestinos. O grupo tem como alvos prioritários sistemas de ponto de venda (PoS) nos setores de hospitalidade e varejo, conduzindo comprometimentos de forma agressiva e sistemática. Ao grupo são atribuídas 40 técnicas documentadas no MITRE ATT&CK (identificador G0037) e a exploração de 3 CVEs conhecidas.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal65
Impacto: Alto
T1566.001T1047T1547.001T1068T1021.001T1005ENTRYAcceso inicialSpearphishingAttachmentEXECEjecuciónWindows ManagementInstrumentationPERSPersistenciaRegistry Run Keys/ Startup FolderPRIVEscalada de privilegiosExploitation forPrivilege Escalat…LATMovimiento lateralRemote DesktopProtocolCOLLRecolecciónData from LocalSystemEXFILExfiltraciónExfiltration OverUnencrypted Non-C…

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 40

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
Tool
Acceso inicial
Spearphishing AttachmentSpearphishing via Service
Ejecución
Windows Management InstrumentationScheduled TaskCommand and Scripting InterpreterPowerShellWindows Command ShellJavaScriptMalicious FileService Execution
Persistencia
Registry Run Keys / Startup Folder
Escalada de privilegios
Exploitation for Privilege Escalation
Acceso a credenciales
LSASS MemoryNTDSPassword CrackingCredentials from Password StoresCredentials from Web Browsers
Descubrimiento
Remote System DiscoveryNetwork Service DiscoveryDomain Account
Movimiento lateral
Remote Desktop Protocol
Recolección
Data from Local SystemRemote Data StagingAutomated CollectionDatabasesArchive Collected DataArchive via Custom Method
Comando y control
Non-Application Layer ProtocolWeb ServiceProtocol TunnelingAsymmetric Cryptography
Exfiltración
Exfiltration Over Unencrypted Non-C2 Protocol
defense-impairment
Code SigningDisable or Modify Tools
stealth
Command ObfuscationMasquerade Task or ServiceFile DeletionValid AccountsAccess Token Manipulation

Vulnerabilidades explotadas 3

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2013-3660HIGHEPSS 39%KEV MITRE ATT&CK
CVE-2011-2005HIGHEPSS 32%KEV MITRE ATT&CK
CVE-2010-4398HIGHEPSS 9%KEV MITRE ATT&CK

Infraestructura conocida 2926

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port151.244.228.91:50050Cobalt Strikethreatfox
ip:port153.80.242.105:25Cobalt Strikethreatfox
ip:port153.80.242.105:22Cobalt Strikethreatfox
ip:port141.255.166.178:80Cobalt Strikethreatfox
ip:port141.255.166.178:443Cobalt Strikethreatfox
ip:port153.80.242.105:8447Cobalt Strikethreatfox
ip:port153.80.242.105:8445Cobalt Strikethreatfox
ip:port153.80.242.105:8008Cobalt Strikethreatfox
ip:port159.75.202.228:443Cobalt Strikethreatfox
ip:port141.255.166.178:8080Cobalt Strikethreatfox
ip:port47.95.201.24:9443Cobalt Strikethreatfox
ip:port47.113.98.42:50050Cobalt Strikethreatfox
ip:port223.109.142.7:50050Cobalt Strikethreatfox
ip:port129.204.11.247:50050Cobalt Strikethreatfox
ip:port153.80.242.105:3478Cobalt Strikethreatfox
ip:port153.80.242.105:5349Cobalt Strikethreatfox
ip:port153.80.242.105:2053Cobalt Strikethreatfox
ip:port191.124.5.50:8443Cobalt Strikethreatfox
ip:port153.80.242.105:993Cobalt Strikethreatfox
ip:port153.80.242.105:81Cobalt Strikethreatfox
ip:port82.156.242.28:82Cobalt Strikethreatfox
ip:port154.36.164.137:50050Cobalt Strikethreatfox
ip:port43.139.239.108:443Cobalt Strikethreatfox
ip:port93.185.165.104:22Cobalt Strikethreatfox
ip:port93.185.165.104:80Cobalt Strikethreatfox
ip:port93.185.165.104:443Cobalt Strikethreatfox
ip:port93.185.165.104:8080Cobalt Strikethreatfox
ip:port37.120.238.187:443Cobalt Strikethreatfox
urlhttps://dj7mv481nzu7.cloudfront.net/dp/B07984JN3LCobalt Strikethreatfox
md5_hash7b7b06ea4f414ff9ea691a82e6bc247bCobalt Strikethreatfox

+2926 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo FIN6 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →