FIN7 bezeichnet eine Cyberkriminellen-Gruppe, die sich auf finanziell motivierte Angriffe gegen Unternehmen spezialisiert hat und seit 2013 aktiv ist. Die Angreifer nutzten anfangs pr\u00e4parierte Word-Dokumente in Spear-Phishing-Kampagnen, um Point-of-Sale-Malware in Kassensystemen von Restaurant- und Hotelketten zu platzieren und Zahlungskartendaten im gro\u00dfen Umfang abzugreifen. Ab 2020 verschob sich der Schwerpunkt auf Big Game Hunting: Nach dem Eindringen ins Netzwerk setzten die T\u00e4ter unter anderem die Ransomware REvil und das eigene Ransomware-as-a-Service-Angebot Darkside<\/strong> ein, um L\u00f6segeld zu erpressen. Diese Verlagerung von Kartendiebstahl zu gezielter Erpressung einzelner Gro\u00dfunternehmen unterscheidet die sp\u00e4tere Phase der Gruppe deutlich von der urspr\u00fcnglichen Ausrichtung auf den Einzelhandel.<\/p>\n Ein Versicherer, dessen Netzwerk auf diese Weise kompromittiert wird, kann mit der Verschl\u00fcsselung durch die eingesetzte Ransomware den Zugriff auf Bestands- und Vertragsdaten verlieren, bis eine Wiederherstellung gelingt. Wie lange dieser Ausfall dauert, h\u00e4ngt unter anderem von der Qualit\u00e4t der Datensicherung ab und davon, ob Backups oder Schattenkopien vom Angriff mitverschl\u00fcsselt wurden<\/strong>. F\u00fcr die Schadenbearbeitung bedeutet das im Ernstfall, dass die betroffenen Datenbest\u00e4nde bis zu ihrer Wiederherstellung nicht verf\u00fcgbar sein k\u00f6nnen.<\/p>\n FIN7 funktioniert nach einem mehrstufigen Muster aus Kompromittierung, Datendiebstahl und seit 2020 zus\u00e4tzlich Ransomware-Erpressung. Der Erstzugang erfolgt unter anderem \u00fcber Spear-Phishing-E-Mails mit pr\u00e4parierten Word-Dokumenten, die nach einer Interaktion des Opfers im Hintergrund Schadcode nachladen<\/strong>. Die Nachrichten sind laut SecurityWeek so gestaltet, dass sie f\u00fcr Besch\u00e4ftigte des Zielunternehmens legitim wirken; teils werden sie durch Telefonanrufe zus\u00e4tzlich glaubw\u00fcrdig gemacht. Die Gruppe verschickte zudem pr\u00e4parierte USB-Sticks per Post<\/strong> an potenzielle Opfer. Nach dem Erstzugang bewegen sich die Angreifer lateral durch das Netzwerk, suchen nach wertvollen Systemen wie Kassenl\u00f6sungen oder zentralen Servern und richten dauerhafte Zug\u00e4nge ein.<\/p>\n Im Big-Game-Hunting-Modus setzt die Gruppe nach dieser Vorbereitungsphase Ransomware ein, laut MITRE ATT&CK unter anderem REvil und das eigene RaaS-Angebot Darkside, um Systeme zu verschl\u00fcsseln und ein L\u00f6segeld zu erpressen. FIN7 tritt unter mehreren Aliasnamen wie Carbon Spider, Sangria Tempest oder GOLD NIAGARA<\/strong> auf.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33698","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"FIN7 ist eine Cyberkriminellen-Gruppe, die zun\u00e4chst Point-of-Sale-Malware einsetzte und sp\u00e4ter unter anderem mit REvil L\u00f6segeld erpresste.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"FIN7 ist eine seit 2013 aktive, finanziell motivierte Cyberkriminellen-Gruppe, die zun\u00e4chst Zahlungskartendaten \u00fcber Point-of-Sale-Malware entwendete und sich sp\u00e4ter auf Ransomware-Erpressung gegen Gro\u00dfunternehmen im Rahmen von Big Game Hunting verlagerte.","at_a_glance":[{"bullet":"FIN7 wird im MITRE-ATT&CK-Framework unter der eigenen Kennung G0046 gef\u00fchrt."},{"bullet":"Im Jahr 2018 wurden mehrere mutma\u00dfliche Mitglieder in unterschiedlichen L\u00e4ndern verhaftet; 2021 wurden zwei von ihnen in den USA zu Haftstrafen verurteilt."},{"bullet":"Die Gruppe tritt unter mehreren Aliasnamen auf, darunter Carbon Spider, Sangria Tempest und GOLD NIAGARA."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"FIN7 setzte pr\u00e4parierte Word-Dokumente in Spear-Phishing-Kampagnen ein, um Point-of-Sale-Malware in Kassensystemen von Restaurant- und Hotelketten zu platzieren und Zahlungskartendaten in gro\u00dfem Umfang zu entwenden."},{"example":"Im Rahmen von Big Game Hunting setzte die Gruppe nach dem Eindringen in Unternehmensnetzwerke unter anderem die Ransomware REvil ein und forderte L\u00f6segeld."},{"example":"Mutma\u00dfliche FIN7-Mitglieder wurden in mehreren L\u00e4ndern verhaftet und angeklagt, was zeigt, dass sich Ermittlungen gegen die Gruppe \u00fcber einzelne Landesgrenzen hinaus erstrecken."},{"example":"Dringt FIN7 in das Netzwerk eines Versicherers ein, kann die anschlie\u00dfend eingesetzte Ransomware den Zugriff auf Bestands- und Vertragsdaten blockieren, bis eine Wiederherstellung aus Backups gelingt."}],"misconception":[{"myth":"FIN7 ist eine reine Point-of-Sale-Betrugsgruppe, die nur Zahlungskartendaten in Handel und Gastronomie abgreift.","reality":"Laut MITRE ATT&CK wurde ein Teil von FIN7 \u00fcber die Tarnfirma Combi Security betrieben; die Gruppe setzte h\u00e4ufig Point-of-Sale-Malware ein und verlagerte ihre Aktivit\u00e4ten seit 2020 auf Big Game Hunting, unter anderem mit der Ransomware REvil und dem eigenen RaaS-Angebot Darkside; auf Point-of-Sale-Betrug beschr\u00e4nkt ist die Gruppe damit nicht."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33642,33690,33644,33639,33670],"pillar_link":null,"sources":[{"publisher":"","name":"FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046","url":"https:\/\/attack.mitre.org\/groups\/G0046\/","doc_type":"","group":"used"},{"publisher":"","name":"REvil, Software S0496","url":"https:\/\/attack.mitre.org\/software\/S0496\/","doc_type":"","group":"used"},{"publisher":"","name":"Three Ukrainians Arrested for Hacking Over 100 US Companies","url":"https:\/\/www.securityweek.com\/three-ukrainians-arrested-hacking-over-100-us-companies\/","doc_type":"2018","group":"used"},{"publisher":"","name":"Member of FIN7 Cybercrime Gang Sentenced to Prison in U.S.","url":"https:\/\/www.securityweek.com\/member-fin7-cybercrime-gang-sentenced-prison-us\/","doc_type":"2021","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert FIN7?<\/h2>\n
Woran erkenne ich FIN7?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Spear-Phishing mit Makro-Dokument<\/td>\n E-Mail mit Word-Anhang, der zur Aktivierung von Makros auffordert<\/td>\n<\/tr>\n \n Kompromittiertes Kassensystem<\/td>\n Ungew\u00f6hnliche Prozesse oder Netzwerkverbindungen auf Point-of-Sale-Terminals im Einzelhandel oder in der Gastronomie<\/td>\n<\/tr>\n \n Ransomware-Payload, etwa REvil oder Darkside<\/td>\n Verschl\u00fcsselte Dateien und L\u00f6segeldforderung nach vorheriger Netzwerk-Kompromittierung<\/td>\n<\/tr>\n \n Mehrere Aliasnamen f\u00fcr dieselbe Gruppe<\/td>\n Sicherheitswarnungen nennen dieselbe Aktivit\u00e4t unter Namen wie Carbon Spider, Sangria Tempest oder GOLD NIAGARA<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n