黑客组织 FIN7 借用 Google Ads 传播恶意软件
内容提要
黑客组织FIN7滥用Google Ads散播恶意软件NetSupport RAT，冒充知名品牌进行传播。微软和eSentire观察到类似恶意活动，恶意软件会在任务调度程序中注册命令以保持持久性。
延伸解读
FIN7 的演变与当前威胁
FIN7 自 2013 年活跃，最初针对销售终端设备窃取支付数据，后转向通过勒索软件攻击大型公司获取赎金。该组织不断改进战术和恶意软件库，使用 BIRDWATCH、Carbanak 等多种自定义恶意软件。如今，FIN7 专注于网络入侵，通过盗窃、加密数据直接索要钱财或部署勒索软件讹诈受害者。
恶意广告的传播策略
FIN7 滥用 Google Ads 传播恶意软件，冒充 AnyDesk、WinSCP、BlackRock 等知名品牌。用户点击广告访问假冒网站后，会看到弹出消息敦促下载假的浏览器扩展，其中包含执行 PowerShell 脚本的 MSIX 文件。该脚本收集系统信息，并联系远程服务器获取第二个 PowerShell 脚本，最终下载和执行 NetSupport RAT。
MSIX 格式的滥用与规避
微软观察到 FIN7 利用谷歌广告诱导用户下载恶意 MSIX 应用程序包，安装后执行基于 PowerShell 的内存驱动程序 POWERTRASH，用于加载 NetSupport RAT 和 Gracewire。多个威胁攻击者滥用 MSIX 作为分发媒介，原因可能是其能够绕过 Microsoft Defender SmartScreen 等安全机制。
持久化机制与归因差异
赛门铁克指出，恶意软件一旦安装，通常会在任务调度程序中注册命令以保持持久性，即使在删除后也能持续安装新的恶意软件。Malwarebytes 也观察到类似恶意活动，但未将其归咎于 FIN7，这反映了不同安全公司在攻击归因上可能存在差异。
Q&A
FIN7黑客组织是如何利用Google Ads传播恶意软件的？
FIN7黑客组织通过Google Ads冒充知名品牌，诱导用户下载恶意的MSIX应用程序包，从而传播NetSupport RAT恶意软件。
FIN7黑客组织的主要目标是什么？
FIN7最初主要针对销售终端设备窃取支付数据，后来转向通过勒索软件攻击大型公司以获取赎金。
恶意软件NetSupport RAT的功能是什么？
NetSupport RAT是一种远程访问木马，能够收集系统信息并执行远程命令。
FIN7黑客组织的活动对企业用户有什么影响？
FIN7的恶意活动可能导致企业用户的数据被盗取或加密，进而面临勒索和财务损失的风险。
微软是如何发现FIN7的恶意活动的？
微软通过监测网络活动，发现FIN7利用Google Ads诱导用户下载恶意应用程序包，并进行了相关报告。
FIN7黑客组织的攻击手段有哪些变化？
FIN7逐渐改进其战术，采用多种自定义恶意软件，并从最初的支付数据窃取转向勒索软件攻击。
