Cybersäkerhetsföretaget Mandiant berättade om en aggressivt tjuvjakt ransomware-grupp – FIN12. Gruppen tillskrivs ett ryskt gäng, som aktivt inriktar sig på sjukvården.
FIN12 sägs använda TrickBot eller BazarLoader skadlig kod för första åtkomst till målnätverket, snarare än att träffa offret direkt med inhemska medel. Dessutom tenderar de inte att dumpa stulen data om offret inte betalar, till skillnad från andra hackningsgrupper.
Den ryska Ransomware Group in Wild
Av alla organisationer där ute anses sjukvården vara den mest känsliga eftersom den handlar om patienter. Och ett plötsligt stopp av kritiska tjänster kan kväva alla. Sålunda bildar de sig att vara de lukrativa målen för ransomware-grupper.
Och FIN12 är inte annorlunda, eftersom de främst inriktar sig på sjukvårdstjänster, som rapporterats av Mandiant-forskare. De har också noterat att FIN12:s skadliga aktiviteter mot sjukvårdsindustrin har ökat avsevärt på sistone, eftersom de aggressivt tjuvjagar.
FIN12 tillskrivs en rysk ransomware-grupp, som också är känd som UNC1878och i drift sedan 2018. Den väljer offer baserat på deras intäkter, som minst 300 miljoner dollar för vårdmål, och andra inom utbildnings-, finans-, tillverknings- och tekniksektorerna.
Och istället för att utföra varje enskild uppgift själv, sägs FIN12-gruppen utnyttja accessmäklare kraftigt för snabba affärer. Dessa inkluderar BazarLoader och TrickBot, som utnyttjar kända och okända sårbarheter som innehåller enheter, och väntar på en exploateringsplan.
Om inte, säljer de denna åtkomst till tredje parts ransomware-grupper som ställer in sin nyttolast för ytterligare exploatering – kryptering och utpressning. FIN12 gör samma sak, eftersom de köper åtkomst från TrickBot eller BazarLoader och distribuerar sin nyttolast – som sägs likna Ryuks.
Även om FIN12-gänget är ekonomiskt motiverat, följer de inte andras exemplar som att dumpa stulna data för allmänheten om offret vägrade att betala. Dessutom hittas de använda offentligt tillgängliga offensiva verktyg som Cobalt Strike-fyrar för aktiviteter efter exploatering.
