臭名昭著的 FIN7 犯罪团伙是一个网络金融犯罪团伙，他们利用白帽黑客所使用的 Windows 测试工具进行传播一个名为 Lizar 的后门工具。
据 BI.ZONE 网络威胁研究小组称，FIN7 首先会伪装成一个合法的组织，售卖一种安全分析工具。研究人员说：" 这些团伙雇用的员工甚至不知道他们使用的就是一个恶意软件，也不知道他们的雇主是一个的犯罪集团。"
自 2015 年以来，FIN7 将攻击目标锁定在了休闲餐厅、赌场和酒店的销售点系统上。该组织通常使用带有恶意代码的钓鱼文件攻击受害者。
让研究人员感到惊讶的是，该团伙对恶意软件的使用是在不断变化的，他们偶尔还会使用一些从未见过的样本，但他们常用的是 Carbanak 远程访问特洛伊木马（RAT），以前的分析表明，与其他的木马相比，它更加复杂和精密，Carbanak 通常用于侦查和在网络上建立一个立足点。
但最近，BI.ZONE 的研究人员注意到该组织使用了一种称为 Lizar 的新型后门。根据周四发表的一份分析报告，该工具的最新版本从 2 月份以来就一直在使用，它拥有强大的数据检索和横向移动能力。
该公司称："Lizar 是一个多样化的复杂的工具箱。它目前仍然处于开发和测试状态，但它已经被广泛的用于控制受感染的计算机。 "
迄今为止，受害者就已经包含了美国的一家赌博机构、几家教育机构和制药公司、总部设在德国的一家 IT 公司、巴拿马的一家金融机构。
FIN7 的 Lizar 工具包详情
研究人员说，Lizar 工具箱在结构上与 Carbanak 非常相似。它由一个加载器和各种插件组成。它们会一起在受感染的系统上运行，并且还可以组合成 Lizar 僵尸客户端，而后者又可以与远程服务器进行通信。
根据分析，该工具的模块化架构使得其具有很强的可扩展性，并允许所有组件进行独立开发。我们已经检测到了三种攻击工具。DLLs、EXEs 和 PowerShell 脚本，它们可以在 PowerShell 进程的地址空间中执行一个 DLL。
据 BI.ZONE 称，这些插件会从服务器发送到加载器，并在 Lizar 客户端应用程序中执行某种操作时被执行。
研究人员说，Lizar 服务器应用程序是用 .NET 框架编写的，并在远程 Linux 主机上运行。
研究人员解释说：" 在发送到服务器之前，数据会在一个长度为 5 至 15 字节的会话密钥上进行加密，然后在配置中使用指定的密钥（31 字节）进行加密。如果配置中指定的密钥（31 个字节）与服务器上的密钥不匹配，就不会从服务器上接收数据。"
网络犯罪分子冒充安全研究人员
冒充安全机构，传播恶意软件，FIN7 并不是第一次使用这种攻击策略。过去，BI.ZONE 曾观察到它以网络安全公司 Check Point Software 或 Forcepoint 的工具为幌子推送 Carbanak 工具。
今年早些时候，一个名为 Zinc 的朝鲜高级持续性威胁组织（APT）与臭名昭著的 APT Lazarus，发起了两次针对安全研究人员的网络攻击。
今年 1 月，该组织通过 Twitter 和 LinkedIn 以及 Discord 和 Telegram 等其他媒体平台，利用其精心设计的社会工程学攻击工具与研究人员成功建立了信任关系，把自己伪装成是对网络安全感兴趣的研究人员。
具体来说，攻击者首先会通过询问研究人员是否愿意一起合作进行漏洞研究。他们通过发布他们所研究的漏洞的视频来提高自己的可信度。
最终，经过多次交流，攻击者会向目标研究人员提供一个感染了恶意代码的 Visual Studio 项目，该项目还可以在他们的系统上安装一个后门。受害者也可以通过点击一个恶意的 Twitter 链接而被感染。
据 Google TAG 当时称，在这些攻击中被感染的安全研究人员运行的是完全打过补丁的最新版本的 Windows 10 和 Chrome 浏览器，这表明黑客很可能在他们的攻击中使用了 0 day 漏洞。
4 月，Zinc 又开始了攻击活动，使用了一些相同的社会工程学攻击策略，同时增加了一个名为 "SecuriElite " 的假公司的 Twitter 和 LinkedIn 资料，该公司声称是一家位于土耳其的安全公司。该公司声称会提供软件安全评估和漏洞测试服务，并声称要通过 LinkedIn 大量招聘网络安全人员。
