近日，安全公司Gemini Advisory報道,，黑客組織FIN7假冒網(wǎng)絡安全公司向企業(yè)提供滲透測試“服務”來實施勒索軟件攻擊,。FIN7，又名“Carbanak”,，自2015年首次出現(xiàn)在網(wǎng)絡犯罪領(lǐng)域以來就一直參與網(wǎng)絡攻擊并竊取現(xiàn)金,，包括用MITM中間人攻擊惡意軟件感染ATM提款機。

　　Gemini Advisory研究人員發(fā)現(xiàn)，由于勒索軟件已成為一個有利可圖的領(lǐng)域,，并且FIN7之前有與“Combi Security”等虛假公司合作的經(jīng)驗,，因此該組織成立了一家名為Bastion Secure的“網(wǎng)絡安全公司”來招募合法的IT專家。據(jù)了解,，F(xiàn)IN7每月為其提供800至1200美元,，通過匿名渠道招募 C++、PHP 和 Python程序員,、Windows系統(tǒng)管理員和逆向工程專家,。

　　需要特別注意的是，根據(jù)Bastion Secure的崗位招聘要求,，其真正想招募的其實是滲透測試人員,，因為其要求系統(tǒng)管理員具備能夠繪制受感染公司系統(tǒng)、執(zhí)行網(wǎng)絡偵察以及定位備份服務器和文件的技能（詳情見下圖）,，而所有這些技能都是勒索軟件攻擊實施加密前所必需具備的技能,。

　　Gemini Advisory研究人員向Bastion Secure發(fā)送了一份求職申請并被聘用，研究人員發(fā)現(xiàn)其招聘過程非常典型,，包括面試,、簽訂合同和保密協(xié)議以及基本培訓。但是,，在執(zhí)行實際任務時,，很明顯Bastion Secure正在尋找一些人來進行網(wǎng)絡犯罪活動。比如,，他們?yōu)閱T工提供對企業(yè)網(wǎng)絡的訪問權(quán)限,，并要求新員工收集與企業(yè)管理員帳戶、備份等相關(guān)的信息,。

　　他們還為員工提供Carbanak和Lizar/Tirion這類著名的后開發(fā)工具,，將其偽裝成“命令管理器”，開展?jié)B透測試活動,，然而,，Bastion Secure并沒有提供開展這些滲透測試活動的任何法律文件，因此Gemini Advisory研究人員判斷其通過滲透測試方式侵害受害公司,，并通過非法手段獲取訪問權(quán)限,，實施勒索攻擊活動。

　　除此之外,，Gemini Advisory研究人員還發(fā)現(xiàn)，Bastion Secure的企業(yè)網(wǎng)站包含從其他網(wǎng)站竊取和重新編譯的內(nèi)容,。更可疑的是,，Bastion Secure的企業(yè)網(wǎng)站由某俄羅斯域名注冊商提供，而這是網(wǎng)絡罪犯慣用的方式之一。Gemini Advisory認為,，之所以FIN7通過創(chuàng)建虛假的網(wǎng)絡安全公司來進行勒索攻擊,，因為這比與要求瓜分70%-80%贖金的勒索軟件團伙合作要“劃算”，是一種利用廉價勞動力的“好辦法”,。