FIN7 黑客组织在暗网上大肆推广反EDR系统工具
内容提要
威胁行为者FIN7在地下论坛上宣传安全绕过工具AvNeutralizer，该工具被多个勒索软件组织使用。FIN7是俄罗斯和乌克兰的电子犯罪团伙，从2012年开始持续威胁，最初针对销售点终端攻击，现已转变为勒索软件附属机构。FIN7使用多个虚假用户名在网络犯罪论坛上推广AvNeutralizer，并对其进行改进。该组织还使用空壳域名进行网络钓鱼活动，诱导用户下载带有恶意软件的变种。FIN7善于利用地下市场创收，窃取支付卡数据并在地下市场出售。AvNeutralizer的更新版本采用反分析技术，利用Windows内置驱动程序篡改安全解决方案。FIN7还在其活动中采用自动化的攻击方法，增强了该组织的影响力。
延伸解读
FIN7 的演变与业务模式
FIN7 自 2012 年起活跃，最初针对销售点终端，后转变为勒索软件附属机构，并推出自己的 RaaS 项目。该组织通过虚假公司招募工程师，并利用地下市场出售窃取的支付卡数据。如今推广 AvNeutralizer 可能标志着其策略的扩展，即通过出售工具实现收入多样化。
AvNeutralizer 的技术特点与风险
AvNeutralizer 的更新版本采用反分析技术，利用 Windows 内置驱动程序和进程资源管理器驱动程序来篡改安全解决方案。这种方法超越了传统的 BYOVD 攻击，将系统默认存在的易受攻击驱动程序作为武器，因此更加危险，增加了防御难度。
对防御者的启示
随着 EDR 解决方案提供越来越强的保护，攻击者绕过这些措施面临更严峻挑战，导致对 AvNeutralizer 等减损工具的需求增长。防御者需关注此类工具在地下市场的流通，并加强检测利用内置驱动程序篡改安全功能的行为。
Q&A
FIN7是什么样的黑客组织？
FIN7是一个源于俄罗斯和乌克兰的电子犯罪团伙，自2012年起持续威胁，最初针对销售点终端攻击，现已转变为勒索软件附属机构。
AvNeutralizer工具的主要功能是什么？
AvNeutralizer是一种安全绕过工具，用于篡改安全解决方案，帮助勒索软件组织绕过防护措施。
FIN7是如何进行网络钓鱼活动的？
FIN7通过使用空壳域名发送恶意软件，诱导用户下载带有恶意软件的变种，进行大规模的网络钓鱼活动。
FIN7如何利用地下市场进行创收？
FIN7通过窃取支付卡数据并在地下市场出售，成功创收，自2015年以来已窃取超过1600万张支付卡数据。
AvNeutralizer的更新版本有哪些新特性？
AvNeutralizer的更新版本采用了反分析技术，利用Windows内置驱动程序篡改安全解决方案的功能，增强了其隐蔽性。
FIN7的自动化攻击方法有什么特点？
FIN7采用自动化的攻击方法，例如自动SQL注入攻击模块，增强了其攻击效率和影响力。
