近日，安全公司Gemini Advisory報道，黑客組織FIN7假冒網(wǎng)絡(luò)安全公司向企業(yè)提供滲透測試“服務(wù)”來實施勒索軟件攻擊。FIN7，又名“Carbanak”，自2015年首次出現(xiàn)在網(wǎng)絡(luò)犯罪領(lǐng)域以來就一直參與網(wǎng)絡(luò)攻擊并竊取現(xiàn)金，包括用MITM中間人攻擊惡意軟件感染ATM提款機。
Gemini Advisory研究人員發(fā)現(xiàn)，由于勒索軟件已成為一個有利可圖的領(lǐng)域，并且FIN7之前有與“Combi Security”等虛假公司合作的經(jīng)驗，因此該組織成立了一家名為Bastion Secure的“網(wǎng)絡(luò)安全公司”來招募合法的IT專家。據(jù)了解，F(xiàn)IN7每月為其提供800至1200美元，通過匿名渠道招募 C++、PHP 和 Python程序員、Windows系統(tǒng)管理員和逆向工程專家。
需要特別注意的是，根據(jù)Bastion Secure的崗位招聘要求，其真正想招募的其實是滲透測試人員，因為其要求系統(tǒng)管理員具備能夠繪制受感染公司系統(tǒng)、執(zhí)行網(wǎng)絡(luò)偵察以及定位備份服務(wù)器和文件的技能（詳情見下圖），而所有這些技能都是勒索軟件攻擊實施加密前所必需具備的技能。
Gemini Advisory研究人員向Bastion Secure發(fā)送了一份求職申請并被聘用，研究人員發(fā)現(xiàn)其招聘過程非常典型，包括面試、簽訂合同和保密協(xié)議以及基本培訓(xùn)。但是，在執(zhí)行實際任務(wù)時，很明顯Bastion Secure正在尋找一些人來進行網(wǎng)絡(luò)犯罪活動。比如，他們?yōu)閱T工提供對企業(yè)網(wǎng)絡(luò)的訪問權(quán)限，并要求新員工收集與企業(yè)管理員帳戶、備份等相關(guān)的信息。
他們還為員工提供Carbanak和Lizar/Tirion這類著名的后開發(fā)工具，將其偽裝成“命令管理器”，開展?jié)B透測試活動，然而，Bastion Secure并沒有提供開展這些滲透測試活動的任何法律文件，因此Gemini Advisory研究人員判斷其通過滲透測試方式侵害受害公司，并通過非法手段獲取訪問權(quán)限，實施勒索攻擊活動。
除此之外，Gemini Advisory研究人員還發(fā)現(xiàn)，Bastion Secure的企業(yè)網(wǎng)站包含從其他網(wǎng)站竊取和重新編譯的內(nèi)容。更可疑的是，Bastion Secure的企業(yè)網(wǎng)站由某俄羅斯域名注冊商提供，而這是網(wǎng)絡(luò)罪犯慣用的方式之一。Gemini Advisory認為，之所以FIN7通過創(chuàng)建虛假的網(wǎng)絡(luò)安全公司來進行勒索攻擊，因為這比與要求瓜分70%-80%贖金的勒索軟件團伙合作要“劃算”，是一種利用廉價勞動力的“好辦法”。
