FIN7后门工具伪装成白帽工具进行传播

臭名昭著的FIN7犯罪团伙是一个网络金融犯罪团伙，他们利用白帽黑客所使用的Windows测试工具进行传播一个名为Lizar的后门工具。

据BI.ZONE网络威胁研究小组称，FIN7首先会伪装成一个合法的组织，售卖一种安全分析工具。研究人员说："这些团伙雇用的员工甚至不知道他们使用的就是一个恶意软件，也不知道他们的雇主是一个的犯罪集团。"

自2015年以来，FIN7将攻击目标锁定在了休闲餐厅、赌场和酒店的销售点系统上。该组织通常使用带有恶意代码的钓鱼文件攻击受害者。

让研究人员感到惊讶的是，该团伙对恶意软件的使用是在不断变化的，他们偶尔还会使用一些从未见过的样本，但他们常用的是Carbanak远程访问特洛伊木马(RAT)，以前的分析表明，与其他的木马相比，它更加复杂和精密，Carbanak通常用于侦查和在网络上建立一个立足点。

但最近，BI.ZONE的研究人员注意到该组织使用了一种称为Lizar的新型后门。根据周四发表的一份分析报告，该工具的最新版本从2月份以来就一直在使用，它拥有强大的数据检索和横向移动能力。

该公司称："Lizar是一个多样化的复杂的工具箱。它目前仍然处于开发和测试状态，但它已经被广泛的用于控制受感染的计算机。 "

迄今为止，受害者就已经包含了美国的一家赌博机构、几家教育机构和制药公司、总部设在德国的一家IT公司、巴拿马的一家金融机构。

FIN7的Lizar工具包详情

研究人员说，Lizar工具箱在结构上与Carbanak非常相似。它由一个加载器和各种插件组成。它们会一起在受感染的系统上运行，并且还可以组合成Lizar僵尸客户端，而后者又可以与远程服务器进行通信。

根据分析，该工具的模块化架构使得其具有很强的可扩展性，并允许所有组件进行独立开发。我们已经检测到了三种攻击工具。DLLs、EXEs和PowerShell脚本，它们可以在PowerShell进程的地址空间中执行一个DLL。

据BI.ZONE称，这些插件会从服务器发送到加载器，并在Lizar客户端应用程序中执行某种操作时被执行。

研究人员说，Lizar服务器应用程序是用.NET框架编写的，并在远程Linux主机上运行。

研究人员解释说："在发送到服务器之前，数据会在一个长度为5至15字节的会话密钥上进行加密，然后在配置中使用指定的密钥(31字节)进行加密。如果配置中指定的密钥(31个字节)与服务器上的密钥不匹配，就不会从服务器上接收数据。"

网络犯罪分子冒充安全研究人员

冒充安全机构，传播恶意软件，FIN7并不是第一次使用这种攻击策略。过去，BI.ZONE曾观察到它以网络安全公司CheckPointSoftware或Forcepoint的工具为幌子推送Carbanak工具。

今年早些时候，一个名为Zinc的朝鲜高级持续性威胁组织(APT)与臭名昭著的APT Lazarus，发起了两次针对安全研究人员的网络攻击。

今年1月，该组织通过Twitter和LinkedIn以及Discord和Telegram等其他媒体平台，利用其精心设计的社会工程学攻击工具与研究人员成功建立了信任关系，把自己伪装成是对网络安全感兴趣的研究人员。

具体来说，攻击者首先会通过询问研究人员是否愿意一起合作进行漏洞研究。他们通过发布他们所研究的漏洞的视频来提高自己的可信度。

最终，经过多次交流，攻击者会向目标研究人员提供一个感染了恶意代码的VisualStudio项目，该项目还可以在他们的系统上安装一个后门。受害者也可以通过点击一个恶意的Twitter链接而被感染。

据GoogleTAG当时称，在这些攻击中被感染的安全研究人员运行的是完全打过补丁的最新版本的Windows10和Chrome浏览器，这表明黑客很可能在他们的攻击中使用了0day漏洞。

4月，Zinc又开始了攻击活动，使用了一些相同的社会工程学攻击策略，同时增加了一个名为"SecuriElite"的假公司的Twitter和LinkedIn资料，该公司声称是一家位于土耳其的安全公司。该公司声称会提供软件安全评估和漏洞测试服务，并声称要通过LinkedIn大量招聘网络安全人员。