FIN6

APT / EstatalG0037 ↗
Técnicas (MITRE ATT&CK)40
FonteMITRE ATT&CK
0
Também conhecido como:ATK88Camouflage TempestG0037GOLD FRANKLINITG08MageCart Group 6Magecart Group 6SKELETON SPIDERSQUID COMETSkeleton SpiderStorm-0538TA4557TAALWhite Giant

Análise Vexday

FIN6 (também referenciado como Magecart Group 6, ITG08, Skeleton Spider, TAAL e Camouflage Tempest) é um grupo cibercriminoso especializado no roubo de dados de cartões de pagamento para revenda em mercados clandestinos. O grupo tem como alvos prioritários sistemas de ponto de venda (PoS) nos setores de hospitalidade e varejo, conduzindo comprometimentos de forma agressiva e sistemática. Ao grupo são atribuídas 40 técnicas documentadas no MITRE ATT&CK (identificador G0037) e a exploração de 3 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal65
Impacto: Alto
T1566.001T1047T1547.001T1068T1021.001T1005ENTRYAcesso inicialSpearphishingAttachmentEXECExecuçãoWindows ManagementInstrumentationPERSPersistênciaRegistry Run Keys/ Startup FolderPRIVEscalada de privilégioExploitation forPrivilege Escalat…LATMovimento lateralRemote DesktopProtocolCOLLColetaData from LocalSystemEXFILExfiltraçãoExfiltration OverUnencrypted Non-C…

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 40

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
Tool
Acesso inicial
Spearphishing AttachmentSpearphishing via Service
Execução
Windows Management InstrumentationScheduled TaskCommand and Scripting InterpreterPowerShellWindows Command ShellJavaScriptMalicious FileService Execution
Persistência
Registry Run Keys / Startup Folder
Escalada de privilégio
Exploitation for Privilege Escalation
Acesso a credenciais
LSASS MemoryNTDSPassword CrackingCredentials from Password StoresCredentials from Web Browsers
Descoberta
Remote System DiscoveryNetwork Service DiscoveryDomain Account
Movimento lateral
Remote Desktop Protocol
Coleta
Data from Local SystemRemote Data StagingAutomated CollectionDatabasesArchive Collected DataArchive via Custom Method
Comando e controle
Non-Application Layer ProtocolWeb ServiceProtocol TunnelingAsymmetric Cryptography
Exfiltração
Exfiltration Over Unencrypted Non-C2 Protocol
defense-impairment
Code SigningDisable or Modify Tools
stealth
Command ObfuscationMasquerade Task or ServiceFile DeletionValid AccountsAccess Token Manipulation

Vulnerabilidades exploradas 3

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2013-3660HIGHEPSS 39%KEV MITRE ATT&CK
CVE-2011-2005HIGHEPSS 32%KEV MITRE ATT&CK
CVE-2010-4398HIGHEPSS 9%KEV MITRE ATT&CK

Infraestrutura conhecida 2941

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port144.172.68.200:80Cobalt Strikethreatfox
ip:port144.172.68.200:8080Cobalt Strikethreatfox
ip:port153.80.242.105:2080Cobalt Strikethreatfox
ip:port153.80.242.105:2096Cobalt Strikethreatfox
ip:port144.172.68.200:443Cobalt Strikethreatfox
domainagent.cloudfiledisk.comCobalt Strikethreatfox
ip:port156.254.20.47:5998Cobalt Strikethreatfox
ip:port153.80.242.105:8443Cobalt Strikethreatfox
ip:port153.80.242.105:143Cobalt Strikethreatfox
ip:port153.80.242.105:8081Cobalt Strikethreatfox
ip:port95.102.34.46:9090Cobalt Strikethreatfox
ip:port191.124.5.229:8080Cobalt Strikethreatfox
ip:port191.124.5.50:443Cobalt Strikethreatfox
ip:port191.124.5.50:8080Cobalt Strikethreatfox
ip:port191.124.5.50:80Cobalt Strikethreatfox
ip:port151.244.228.91:50050Cobalt Strikethreatfox
ip:port153.80.242.105:25Cobalt Strikethreatfox
ip:port153.80.242.105:22Cobalt Strikethreatfox
ip:port141.255.166.178:80Cobalt Strikethreatfox
ip:port141.255.166.178:443Cobalt Strikethreatfox
ip:port153.80.242.105:8447Cobalt Strikethreatfox
ip:port153.80.242.105:8445Cobalt Strikethreatfox
ip:port153.80.242.105:8008Cobalt Strikethreatfox
ip:port159.75.202.228:443Cobalt Strikethreatfox
ip:port141.255.166.178:8080Cobalt Strikethreatfox
ip:port47.95.201.24:9443Cobalt Strikethreatfox
ip:port47.113.98.42:50050Cobalt Strikethreatfox
ip:port223.109.142.7:50050Cobalt Strikethreatfox
ip:port129.204.11.247:50050Cobalt Strikethreatfox
ip:port153.80.242.105:3478Cobalt Strikethreatfox

+2941 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo FIN6 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →