FIN7 bezeichnet eine Cyberkriminellen-Gruppe, die sich auf finanziell motivierte Angriffe gegen Unternehmen spezialisiert hat und seit 2013 aktiv ist. Die Angreifer nutzten anfangs pr\u00e4parierte Word-Dokumente in Spear-Phishing-Kampagnen, um Point-of-Sale-Malware in Kassensystemen von Restaurant- und Hotelketten zu platzieren und Zahlungskartendaten im gro\u00dfen Umfang abzugreifen. Ab 2020 verschob sich der Schwerpunkt auf Big Game Hunting: Betroffene Unternehmen wurden nach dem Eindringen ins Netzwerk mit der Ransomware REvil konfrontiert<\/strong>, wobei die T\u00e4ter Millionenbetr\u00e4ge als L\u00f6segeld forderten. Diese Verlagerung von Kartendiebstahl zu gezielter Erpressung einzelner Gro\u00dfunternehmen unterscheidet die sp\u00e4tere Phase der Gruppe deutlich von der urspr\u00fcnglichen Ausrichtung auf den Einzelhandel.<\/p>\n Ein Versicherer, dessen Netzwerk auf diese Weise kompromittiert wird, verliert mit der Verschl\u00fcsselung durch die eingesetzte Ransomware den Zugriff auf Bestands- und Vertragsdaten, bis eine Wiederherstellung gelingt. Wie lange dieser Ausfall dauert und welche Systeme betroffen sind, h\u00e4ngt von der Qualit\u00e4t der Datensicherung ab und davon, ob Backups oder Schattenkopien vom Angriff mitverschl\u00fcsselt wurden<\/strong>. F\u00fcr die Schadenbearbeitung bedeutet das im Ernstfall, dass auf die betroffenen Datenbest\u00e4nde erst nach abgeschlossener Wiederherstellung wieder zugegriffen werden kann.<\/p>\n FIN7 funktioniert nach einem mehrstufigen Muster aus Kompromittierung, Datendiebstahl und seit 2020 zus\u00e4tzlich Ransomware-Erpressung. Der Erstzugang erfolgt \u00fcber Spear-Phishing-E-Mails mit pr\u00e4parierten Word-Dokumenten, deren Makros beim \u00d6ffnen im Hintergrund Schadcode nachladen<\/strong>. Die Nachrichten sind dabei inhaltlich auf die jeweilige Zielbranche zugeschnitten, etwa auf Bestellungen oder Reservierungen im Gastgewerbe. Von dort aus bewegen sich die Angreifer lateral durch das Netzwerk, suchen nach wertvollen Systemen wie Kassenl\u00f6sungen oder zentralen Servern und richten dauerhafte Zug\u00e4nge f\u00fcr sp\u00e4tere Kampagnen ein. Bei Kassensystemen zielt die Schadsoftware direkt auf den Arbeitsspeicher der Terminals, wo Kartendaten kurzzeitig unverschl\u00fcsselt vorliegen<\/strong>.<\/p>\n Im Big-Game-Hunting-Modus setzt die Gruppe nach dieser Vorbereitungsphase die Ransomware REvil ein, um Systeme zu verschl\u00fcsseln und ein L\u00f6segeld zu erpressen. FIN7 tritt unter mehreren Aliasnamen wie Carbon Spider, Sangria Tempest oder GOLD NIAGARA<\/strong> auf.<\/p>\nWie funktioniert FIN7?<\/h2>\n
Woran erkenne ich FIN7?<\/h2>\n