FIN7-Hacker verwenden die PILLOWMINT-Malware, um Kartendaten zu kratzen
Die Hackergruppe FIN7 ist einer der renommiertesten finanziell motivierten Akteure. Sie sind die Hacker, die für die Entwicklung und den Einsatz des gefährlichsten Banking-Trojaners Carbanak verantwortlich sind. Natürlich verlässt sich die Gruppe nicht nur auf alte Malware, um ihre Operationen auszuführen – sie führen regelmäßig neue Malware-Familien in ihr Arsenal ein. Eine der jüngsten Ergänzungen ist die PILLOWMINT, die weiterhin regelmäßig aktualisiert wird. Die PILLOWMINT-Malware wird anscheinend ausschließlich von den FIN7-Hackern verwendet und scheint nicht mit anderen Bedrohungsakteuren geteilt zu werden.
Der Infektionsvektor, den die Kriminellen verwenden, um die PILLOWMINT einzusetzen, ist eigenartig. Sie verlassen sich auf bösartige Shim-Datenbanken, die über das Windows Application Compatibility Framework laufen könnten. Dies kann es den Hackern ermöglichen, einige der Windows-Sicherheitsfunktionen vorübergehend zu umgehen.
Was macht PILLOWMINT?
Nach der Ausführung injiziert dieses Implantat seinen Code in eine legitime Kopie des svchost.exe-Prozesses. Eine der besonderen Eigenschaften dieser Malware ist ihre Fähigkeit, ihre eigenen Aktivitäten zu protokollieren. Es ist wahrscheinlich, dass die Kriminellen diese Protokolle zu Debugging-Zwecken abrufen und um herauszufinden, wie sie ihren Angriff weiter optimieren können. Der Hauptzweck der Malware ist natürlich ein anderer. Es hat die Fähigkeit, den Speicher des Computers zu lesen und zu kratzen, um nach Kreditkarteninformationen zu suchen. Dies bedeutet wahrscheinlich, dass Point-of-Sale-Geräte (PoS) das ultimative Ziel von PILLOWMINT sind.
Neben der Memory-Scraping-Komponente verfügt die Malware über einige interessante Selbstzerstörungsfunktionen. Die Kriminellen können einen Remote-Befehl auslösen, um den Prozess zu beenden oder zum Absturz zu bringen. Letzteres ist wahrscheinlich eine Sicherungsbeendigungstechnik.
Die FIN7-Hacker scheinen regelmäßig neue Malware in ihre Kampagnen einzuführen. Anfang 2021 führte die FIN7 Cybercrime Gang die Lizar Backdoor ein .
