FIN7 ist eine seit 2013 aktive, finanziell motivierte Cyberkriminellen-Gruppe, die zunächst Zahlungskartendaten über Point-of-Sale-Malware entwendete und sich später auf Ransomware-Erpressung gegen Großunternehmen im Rahmen von Big Game Hunting verlagerte.
Auf einen Blick
FIN7 wird im MITRE-ATT&CK-Framework unter der eigenen Kennung G0046 geführt.
Im Jahr 2018 wurden mehrere mutmaßliche Mitglieder in unterschiedlichen Ländern verhaftet; 2021 wurden zwei von ihnen in den USA zu Haftstrafen verurteilt.
Die Gruppe tritt unter mehreren Aliasnamen auf, darunter Carbon Spider, Sangria Tempest und GOLD NIAGARA.
Was ist FIN7?
FIN7 bezeichnet eine Cyberkriminellen-Gruppe, die sich auf finanziell motivierte Angriffe gegen Unternehmen spezialisiert hat und seit 2013 aktiv ist. Die Angreifer nutzten anfangs präparierte Word-Dokumente in Spear-Phishing-Kampagnen, um Point-of-Sale-Malware in Kassensystemen von Restaurant- und Hotelketten zu platzieren und Zahlungskartendaten im großen Umfang abzugreifen. Ab 2020 verschob sich der Schwerpunkt auf Big Game Hunting: Nach dem Eindringen ins Netzwerk setzten die Täter unter anderem die Ransomware REvil und das eigene Ransomware-as-a-Service-Angebot Darkside ein, um Lösegeld zu erpressen. Diese Verlagerung von Kartendiebstahl zu gezielter Erpressung einzelner Großunternehmen unterscheidet die spätere Phase der Gruppe deutlich von der ursprünglichen Ausrichtung auf den Einzelhandel.
Ein Versicherer, dessen Netzwerk auf diese Weise kompromittiert wird, kann mit der Verschlüsselung durch die eingesetzte Ransomware den Zugriff auf Bestands- und Vertragsdaten verlieren, bis eine Wiederherstellung gelingt. Wie lange dieser Ausfall dauert, hängt unter anderem von der Qualität der Datensicherung ab und davon, ob Backups oder Schattenkopien vom Angriff mitverschlüsselt wurden. Für die Schadenbearbeitung bedeutet das im Ernstfall, dass die betroffenen Datenbestände bis zu ihrer Wiederherstellung nicht verfügbar sein können.
Wie funktioniert FIN7?
FIN7 funktioniert nach einem mehrstufigen Muster aus Kompromittierung, Datendiebstahl und seit 2020 zusätzlich Ransomware-Erpressung. Der Erstzugang erfolgt unter anderem über Spear-Phishing-E-Mails mit präparierten Word-Dokumenten, die nach einer Interaktion des Opfers im Hintergrund Schadcode nachladen. Die Nachrichten sind laut SecurityWeek so gestaltet, dass sie für Beschäftigte des Zielunternehmens legitim wirken; teils werden sie durch Telefonanrufe zusätzlich glaubwürdig gemacht. Die Gruppe verschickte zudem präparierte USB-Sticks per Post an potenzielle Opfer. Nach dem Erstzugang bewegen sich die Angreifer lateral durch das Netzwerk, suchen nach wertvollen Systemen wie Kassenlösungen oder zentralen Servern und richten dauerhafte Zugänge ein.
Im Big-Game-Hunting-Modus setzt die Gruppe nach dieser Vorbereitungsphase Ransomware ein, laut MITRE ATT&CK unter anderem REvil und das eigene RaaS-Angebot Darkside, um Systeme zu verschlüsseln und ein Lösegeld zu erpressen. FIN7 tritt unter mehreren Aliasnamen wie Carbon Spider, Sangria Tempest oder GOLD NIAGARA auf.
Woran erkenne ich FIN7?
| Signal | Woran erkennbar |
|---|---|
| Spear-Phishing mit Makro-Dokument | E-Mail mit Word-Anhang, der zur Aktivierung von Makros auffordert |
| Kompromittiertes Kassensystem | Ungewöhnliche Prozesse oder Netzwerkverbindungen auf Point-of-Sale-Terminals im Einzelhandel oder in der Gastronomie |
| Ransomware-Payload, etwa REvil oder Darkside | Verschlüsselte Dateien und Lösegeldforderung nach vorheriger Netzwerk-Kompromittierung |
| Mehrere Aliasnamen für dieselbe Gruppe | Sicherheitswarnungen nennen dieselbe Aktivität unter Namen wie Carbon Spider, Sangria Tempest oder GOLD NIAGARA |
Schutz im Ernstfall
Vorbeugen
- Makroausführung in Office-Dokumenten aus externen Quellen standardmäßig deaktivieren.
- Kassensysteme vom übrigen Unternehmensnetzwerk segmentieren.
- Spear-Phishing-Erkennung und Mitarbeiterschulung unternehmensweit stärken.
Was tun im Ernstfall
- Betroffene Systeme vom Netzwerk trennen und nach weiteren dauerhaften Zugängen der Angreifer suchen.
- Vorfall bei zuständiger Behörde melden und forensische Unterstützung einbeziehen.
- Wiederherstellung erst nach Eindämmung und Bereinigung aus geprüften, integren Backups einleiten, sofern verfügbar.
Beispiele aus der Praxis
- FIN7 setzte präparierte Word-Dokumente in Spear-Phishing-Kampagnen ein, um Point-of-Sale-Malware in Kassensystemen von Restaurant- und Hotelketten zu platzieren und Zahlungskartendaten in großem Umfang zu entwenden.
- Im Rahmen von Big Game Hunting setzte die Gruppe nach dem Eindringen in Unternehmensnetzwerke unter anderem die Ransomware REvil ein und forderte Lösegeld.
- Mutmaßliche FIN7-Mitglieder wurden in mehreren Ländern verhaftet und angeklagt, was zeigt, dass sich Ermittlungen gegen die Gruppe über einzelne Landesgrenzen hinaus erstrecken.
- Dringt FIN7 in das Netzwerk eines Versicherers ein, kann die anschließend eingesetzte Ransomware den Zugriff auf Bestands- und Vertragsdaten blockieren, bis eine Wiederherstellung aus Backups gelingt.
Häufiger Irrtum
Mythos „FIN7 ist eine reine Point-of-Sale-Betrugsgruppe, die nur Zahlungskartendaten in Handel und Gastronomie abgreift.“
Richtig Laut MITRE ATT&CK wurde ein Teil von FIN7 über die Tarnfirma Combi Security betrieben; die Gruppe setzte häufig Point-of-Sale-Malware ein und verlagerte ihre Aktivitäten seit 2020 auf Big Game Hunting, unter anderem mit der Ransomware REvil und dem eigenen RaaS-Angebot Darkside; auf Point-of-Sale-Betrug beschränkt ist die Gruppe damit nicht.
