Hackers FIN7 usam o malware PILLOWMINT para raspar dados do cartão
O grupo de hackers FIN7 é um dos mais renomados atores com motivação financeira. Eles são os hackers responsáveis pelo desenvolvimento e uso de um dos mais perigosos Trojans bancários, o Carbanak. Obviamente, o grupo não depende apenas de malware antigo para executar suas operações - eles regularmente apresentam novas famílias de malware em seu arsenal. Uma das adições recentes é o PILLOWMINT, que continua a passar por atualizações regulares. O Malware PILLOWMINT parece ser usado exclusivamente pelos hackers FIN7 e não parece ser compartilhado com outros atores de ameaças.
O vetor de infecção que os criminosos usam para implantar o PILLOWMINT é peculiar. Eles dependem de bancos de dados de shims maliciosos, que podem ser executados por meio do Windows Application Compatibility Framework. Isso pode permitir que os hackers ignorem temporariamente alguns dos recursos de segurança do Windows.
O que o PILLOWMINT faz?
Uma vez executado, este implante injeta seu código em uma cópia legítima do processo svchost.exe. Uma das características peculiares desse malware é a capacidade de registrar sua própria atividade. É provável que os criminosos estejam buscando esses logs para fins de depuração, bem como para descobrir como eles poderiam otimizar ainda mais seu ataque. O objetivo principal do malware é, obviamente, diferente. Ele tem a capacidade de ler e raspar a memória do computador para procurar informações de cartão de crédito. É provável que isso implique que os dispositivos de ponto de venda (PoS) sejam o alvo final da PILLOWMINT.
Além do componente de remoção de memória, o malware tem alguns recursos interessantes de autodestruição. Os criminosos podem acionar um comando remoto para encerrar o processo ou forçá-lo a travar. É provável que a última seja uma técnica de encerramento de backup.
Os hackers do FIN7 parecem introduzir regularmente novos malwares em suas campanhas. No início de 2021, a Gangue do Crime Cibernético FIN7 apresentou o Lizar Backdoor .
