Gli hacker di FIN7 usano il malware PILLOWMINT per raschiare i dati delle carte
Il gruppo di hacker FIN7 è uno dei più famosi attori finanziariamente motivati. Sono gli hacker responsabili dello sviluppo e dell'utilizzo di uno dei più pericolosi Trojan bancari, Carbanak. Ovviamente, il gruppo non si basa semplicemente sul vecchio malware per eseguire le proprie operazioni, ma introduce regolarmente nuove famiglie di malware nel proprio arsenale. Una delle recenti aggiunte è il PILLOWMINT, che continua ad essere sottoposto ad aggiornamenti regolari. Il malware PILLOWMINT sembra essere utilizzato esclusivamente dagli hacker FIN7 e non sembra essere condiviso con altri attori delle minacce.
Il vettore di infezione che i criminali utilizzano per distribuire il PILLOWMINT è peculiare. Si affidano a database shim dannosi, che potrebbero essere eseguiti tramite Windows Application Compatibility Framework. Ciò potrebbe consentire agli hacker di ignorare temporaneamente alcune delle funzionalità di sicurezza di Windows.
Cosa fa PILLOWMINT?
Una volta in esecuzione, questo impianto inietterà il suo codice in una copia legittima del processo svchost.exe. Una delle caratteristiche peculiari di questo malware è la sua capacità di registrare la propria attività. È probabile che i criminali stiano recuperando questi registri per scopi di debug, nonché per scoprire come potrebbero ottimizzare ulteriormente il loro attacco. Lo scopo principale del malware è, ovviamente, diverso. Ha la capacità di leggere e raschiare la memoria del computer per cercare informazioni sulla carta di credito. È probabile che ciò implichi che i dispositivi POS (Point-of-Sale) siano l'obiettivo finale di PILLOWMINT.
Oltre al componente di scraping della memoria, il malware ha alcune interessanti funzionalità di autodistruzione. I criminali possono attivare un comando remoto per terminare il processo o per forzarne l'arresto anomalo. È probabile che quest'ultima sia una tecnica di terminazione del backup.
Sembra che gli hacker di FIN7 introducano regolarmente nuovi malware nelle loro campagne. All'inizio del 2021, la banda del crimine informatico FIN7 ha introdotto la Lizar Backdoor .
