Más de 130 empresas habrían sido vulneradas por el equipo cibercriminal, que también estaría detrás de los robos a bancos en Europa y Centroamérica.

Tras el arresto en 2018 de una serie de presuntos líderes de la notoria ciberpandilla Fin7/Carbanak, se creía que el grupo se había disuelto. Sin embargo, investigadores de la compañía de ciberseguridad Kaspersky Lab han detectado nuevos ataques con el malware GRIFFON por parte de los mismos grupos.

Según expertos, Fin7 podría haber ampliado el número de grupos que funcionan bajo su paraguas e incrementado la complejidad de sus métodos. Incluso, podría haberse posicionado como proveedor legítimo de seguridad con el fin de reclutar empleados profesionales y engañarles para que le ayuden a robar bienes financieros.

Se cree que Fin7 está detrás de los ataques dirigidos a sectores minoristas, restaurantes y hotelería de EE.UU. desde mediados de 2015, trabajando en estrecha colaboración y compartiendo herramientas y métodos con el grupo Carbanak. Si bien Carbanak se enfocaba principalmente en los bancos, Fin7 tenía como principal objetivo las empresas, y potencialmente logró hacerse de millones de dólares en bienes financieros, como credenciales de tarjetas de pago o información de las cuentas en las computadoras de los departamentos financieros. Una vez obtenido lo que necesitaban, los agentes de amenazas transferían dinero a cuentas en el extranjero.

Según Kaspersky Lab, Fin7 ha continuado su actividad a pesar del arresto de sus líderes, implementando campañas complejas de phishing a lo largo de 2018 y distribuyendo malware a cada uno de sus objetivos a través de correos electrónicos especialmente diseñados. En diferentes casos, los operadores intercambiaron mensajes con sus víctimas por varias semanas antes de enviar finalmente los documentos maliciosos como archivos adjuntos. Para fines de 2018 más de 130 compañías podrían haber sido atacadas de esta manera.

La banda cibercriminal también habría anexado nuevos grupos de hackers bajo su método de operación. El uso de la infraestructura compartida y las mismas tácticas, técnicas y procedimientos (TTPs) muestra que Fin7 probablemente esté colaborando con la botnet AveMaria y los grupos conocidos como CobaltGoblin/EmpireMonkey, que se cree están detrás de los robos a bancos en Europa y Centroamérica.

Al mismo tiempo, Fin7 ha creado y operado una empresa falsa que afirma ser proveedora legítima de ciberseguridad con oficinas en toda Rusia. El sitio web de la empresa está inscrito en el servidor que Fin7 utiliza como Centro de Mando y Control (C&C). Esta empresa falsa se ha utilizado para reclutar investigadores independientes de vulnerabilidades, programadores e intérpretes a través de sitios legítimos en línea para búsqueda de empleo. Al parecer, varias de las personas que trabajan en estas empresas falsas no sospechaban que estaban involucradas en un negocio dedicado al ciberdelito, ya que muchas de ellas incluyen en su currículum vitae la experiencia de trabajo en esas organizaciones.