黑客组织 - FIN7 / Carbanak：披着"销售公司"外衣的金融犯罪机器 | ZapcoMan's world

他们不是国家间谍，也不是敲诈勒索的”小作坊”——他们是一家”公司”：有 HR、有绩效、有销售话术，甚至伪造了渗透测试公司做掩护。
FIN7 与 Carbanak，一支以银行和餐厅为猎物、以”企业化运营”为底色的金融犯罪集团。

---

引言：最像”公司”的犯罪组织

如果说 Lazarus 是”为外汇而生的国家军队”，那么 FIN7 就是”为利润而生的私营企业”。它没有国家背景，没有意识形态，唯一的驱动力是钱——但它的运作方式，却比许多正规公司还要”规范”。

FIN7（又名 Carbanak 团伙、Anunak、Navigator Group、GOLD NIAGARA），是 21 世纪最成功、最高产的金融犯罪组织之一。安全界估计，它窃取过超过 15 亿张支付卡数据，针对全球数百家银行、数千家零售与餐饮企业发动攻击，累计涉案金额超过 10 亿美元。

它与 Lazarus 形成有趣的”双子对照”：

维度	Lazarus（朝鲜）	FIN7（跨国犯罪）
动机	国家外汇	纯利润
背景	国家情报机构	无国家背景的犯罪集团
招牌	加密货币大劫案、破坏性擦除器	支付卡窃取、POS 机攻击、勒索软件
组织形态	情报机构的纪律	公司的绩效文化

一句话定义它：

FIN7 = 一家把”网络盗窃”做成”企业生意”的跨国犯罪集团，用销售话术钓鱼、用绩效管理黑客、用”渗透测试公司”做门面。

---

一、组织概况

属性	信息
代号	FIN7（FireEye/Mandiant 命名）
别名	Carbanak 团伙、Anunak、Navigator Group、GOLD NIAGARA、ITG14、Carbon Spider
首次活动	约 2013 年（Anunak 阶段），2015 年后以 FIN7 名义活跃
归属	无明确国家背景，成员多为俄语区与东欧人，被捕者含乌克兰籍成员
主要目标	银行、零售业、餐饮连锁（POS 系统）、信用卡数据
攻击风格	商业邮件诈骗、社工钓鱼、POS 恶意软件、勒索软件、供应链渗透
标志	极强的话术社工能力 + 成熟的恶意软件工具链

从 Anunak 到 FIN7 的演进

FIN7 并非横空出世，它经历了清晰的”组织升级”：

阶段	时间	特征
Anunak	2013-2014	早期雏形，针对俄罗斯与东欧银行
Carbanak	2014-2016	首次大型金融攻击，直接入侵银行后端，操纵 ATM 吐钞
FIN7	2015 至今	转向零售/餐饮 POS 数据窃取，企业化运营
FIN7 2.0	2020 后	转向勒索软件（DarkSide/BlackMatter 关联），涉足 RaaS

值得一提：安全界普遍认为，FIN7 与后来震惊全球的勒索软件 DarkSide（Colonial Pipeline 事件元凶）存在关联，部分成员来自 FIN7 体系。这也解释了你将在本站另一篇文章中读到的”勒索软件三巨头”里 DarkSide 的”企业基因”。

---

二、攻击时间线

2013      ── Anunak 阶段，攻击东欧银行
     │
2014      ── Carbanak 行动：从银行后端直接窃取约 10 亿美元
     │
2015-2016 ── 转向 POS 终端，攻击美国零售/餐饮连锁
     │
2016-2018 ── 高峰期：数千家门店、超 1500 万张卡数据
     │
2018.08   ── 三名成员被捕（美国起诉），组织重组
     │
2020      ── 转型勒索软件，与 DarkSide/BlackMatter 关联
     │
2021      ── Colonial Pipeline 事件（DarkSide，疑似 FIN7 基因）
     │
2023-2025 ── 持续活跃，针对云环境与供应链

---

三、标志性事件深度拆解

3.1 Carbanak 行动（2014-2016）——直接”钻进”银行后端

这是 FIN7 前身最惊世骇俗的一战，也是历史上首次被发现的大规模”银行内部攻击”。

与传统”偷客户信用卡”不同，Carbanak 直接把矛头指向银行自己的资金系统：

钓鱼邮件（伪装成银行内部文档）
        ↓
在银行员工电脑植入 Carbanak 后门
        ↓
横向移动到支付处理、ATM 控制、SWIFT 等核心系统
        ↓
三种"提款"方式：
   1. 操纵 ATM 在指定时间自动吐钞
   2. 伪造转账指令，向壳账户汇款
   3. 篡改账户余额（虚增数字后套现）
        ↓
资金经多地洗白

关键数据：

• 波及全球 30+ 国家、100+ 家银行。
• 单次行动涉案金额最高可达 1000 万美元，累计估计 10 亿美元。
• 攻击者会提前数月潜伏，通过屏幕截图、键盘记录摸清银行内部流程，甚至观察银行员工如何操作以”模仿”正常交易。

Carbanak 的意义在于：它证明银行的核心清算系统并非固若金汤，一个没有国家背景的犯罪团伙，仅凭社工 + 耐心 + 工具，就能”从内部”撬走 10 亿美元。这与 Lazarus 的孟加拉央行劫案互为镜像。

3.2 POS 数据窃取时代（2016-2018）——“卡号收割机”

转向零售后，FIN7 找到了更”可持续”的生意：窃取支付卡数据。

攻击对象以美国连锁餐厅（如 Chipotle、Arby’s、Sonic、Red Robin 等）与零售商为主，手法高度标准化：

1. 社工钓鱼：伪装成合法供应商/总部，向门店员工发送恶意附件
        ↓
2. 植入 POS 恶意软件（如 RawPOS、Pillowmint、BOOSTWRITE）
        ↓
3. 抓取 POS 终端内存中的磁条卡数据（Track 1/Track 2）
        ↓
4. 数据回传 C2，在黑市批量出售
        ↓
5. 买家制作克隆卡、盗刷、变现

数据规模：

• 高峰期攻击了美国 数千家门店，窃取 超过 1500 万张支付卡信息。
• 单次对某连锁餐厅的攻击即可波及数百家分店。

为什么盯上 POS？

• 零售/餐饮门店的网络安全防护远弱于银行，且 POS 终端数量庞大、版本老旧。
• 卡数据在黑市有成熟变现渠道（”carding”灰色产业链）。

3.3 代码级攻击链：BOOSTWRITE 的 DLL 劫持与内存抓卡

FIN7 的技术栈高度模块化，其中 BOOSTWRITE 是其代表性的 POS 恶意软件。我们以它为例，还原一条”从钓鱼到抓卡”的技术链。

第一步：钓鱼投递

FIN7 的社工邮件极具迷惑性，常伪装成供应商、联邦快递、甚至安全公司的合法附件（如 .docm、.js、.7z）：

主题示例："订单确认 - Invoice_#{随机号}"
附件示例："PO_2026.docx"（含宏）、"shipping_details.js"

第二步：宏/脚本执行，释放 DLL

恶意宏或脚本会在目标机器上释放一个看似合法的 DLL，利用 DLL 劫持（DLL Hijacking）或侧加载（Side-Loading）技术，借合法程序之手加载恶意代码：

正常程序（如某系统工具）加载 DLL
        ↓
攻击者将恶意 DLL 放在搜索路径前列，同名覆盖
        ↓
合法程序"无意识地"加载了恶意 DLL
        ↓
恶意 DLL 获得合法进程的签名与信任，绕过检测

第三步：内存抓卡（Memory Scraping）

BOOSTWRITE 的核心功能是从 POS 终端的内存中抓取磁条数据。概念性伪代码如下：

// 伪代码：POS 内存抓卡逻辑（概念还原）
void scrape_memory() {
    // 遍历进程内存，寻找磁条卡 Track 数据特征
    for (proc in enumerate_processes()) {
        mem = read_process_memory(proc);
        // Track 1 以 '%B' 开头，Track 2 以 ';' 开头
        matches = regex_search(mem, "%B[0-9]{13,19}\\^[A-Z]+/[A-Z]+\\^[0-9]{4}");
        for (m in matches) {
            send_to_c2(m);   // 回传卡号、姓名、有效期
        }
    }
}

为什么”内存抓卡”而非”读数据库”？

• 磁条卡数据在刷卡瞬间会以明文形式短暂存在于 POS 进程内存中（用于授权校验）。
• 攻击者抢在数据加密/落盘前，从内存里”截胡”，绕过了加密存储防护。

第四步：C2 回传与销售

窃取的卡数据通过加密通道回传 C2 服务器，随后在黑市（如 Joker’s Stash）批量出售。

这条链的可怕之处在于技术门槛不高、但流程极其成熟——FIN7 把它做成了”流水线”，这也是它能持续多年、偷走千万张卡的根本原因。

---

四、技术武器库与攻击手法

4.1 标志性恶意软件

工具	类型	说明
Carbanak	银行后门	入侵银行后端，操纵 ATM 与转账
RawPOS	POS 恶意软件	早期内存抓卡工具
Pillowmint	POS 恶意软件	后期主力抓卡木马
BOOSTWRITE	POS 恶意软件	含 DLL 劫持的进阶抓卡工具
Griffon	后门	JS 编写的 RAT
Bateleur	后门	模块化后门，含反分析能力
PowerShell Empire	开源 RAT	广泛用于横向移动与驻留
DarkSide/BlackMatter	勒索软件	FIN7 关联的 RaaS 品牌

4.2 招牌攻击手法

「话术型社工」——把钓鱼做成”销售”

FIN7 最令人称道的是其社工话术的专业度。它的钓鱼邮件不是粗糙的群发，而是精心针对目标岗位的定制化内容：

• 伪装成真实供应商，引用真实的采购单号、联系人、历史往来。
• 伪装成联邦快递/USPS，发送”包裹派送失败”通知。
• 甚至主动电话跟进，用真人客服口吻打消受害者疑虑。

有安全研究员评价：FIN7 的钓鱼邮件”读起来像真的”——这正是它能屡屡得手的核心。

「渗透测试公司」门面（Front Company）

为了给恶意活动打掩护，FIN7 曾注册一家名为 “Combi Security” 的”安全公司”，宣称提供渗透测试服务，还在招聘网站上发布”网络安全工程师”岗位。

• 真实目的：招募黑客、洗白工具、制造合法身份。
• 这暴露了现代网络犯罪的”企业化”程度——连”公司门面”都造假。

勒索软件转型（2020 后）

2020 年起，随着 POS 行业 EMV 芯片卡普及导致磁条抓卡收益下降，FIN7 体系转向勒索软件：

• 与 DarkSide（Colonial Pipeline 元凶）、BlackMatter 关联。
• 采用 RaaS（勒索即服务）模式，招募加盟商分成。

这标志着 FIN7 从”偷卡”进化到”勒索”，完成了从金融盗窃到勒索敲诈的赛道切换。

4.3 检测与防御：如何发现 FIN7 的痕迹？

检测维度	关注点	工具/方法
邮件层	伪装供应商的附件、可疑宏	邮件网关、沙箱检测
进程层	DLL 劫持、异常加载路径	Sysmon 事件 7、EDR
POS 层	POS 进程异常内存访问	端点防护、行为基线
网络层	卡数据批量外传、异常 C2	DLP、IDS/防火墙
行为层	大量内存抓取、批量数据回传	UEBA、数据防泄漏

一个实用的检测命令（Windows 侧，排查 DLL 劫持与可疑外联）：

# 检查可疑 DLL 加载（Sysmon 事件 7 思路）
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=7} |
  Where-Object { $_.Message -match 'Temp|AppData|ProgramData' } |
  Select-Object -First 20

# 查看异常对外连接
Get-NetTCPConnection -State Established | Where-Object { $_.RemotePort -eq 443 } |
  Select-Object RemoteAddress, OwningProcess

# 检查 POS 相关进程的内存使用异常
Get-Process | Where-Object { $_.WorkingSet64 -gt 500MB } | Select-Object Name, Id

---

4.4 FIN7 典型 IOC（失陷指标）清单

以下为安全厂商公开披露的 FIN7 关联样例型 IOC（脱敏示例，实际检测请以威胁情报平台为准）：

恶意文件哈希（SHA-256，脱敏示例）：

样本	类型	说明
9f8e7d...（示例）	BOOSTWRITE	DLL 劫持型 POS 抓卡木马
c6b5a4...（示例）	Bateleur	模块化后门
3d2c1b...（示例）	Carbanak	银行后端后门

关联域名/URL（脱敏示例）：

- 伪装成合法供应商的钓鱼域名（如 xxx-supply[.]com）
- 伪装成 Combi Security 招聘站的域名
- C2 回传域名（常使用短生命周期、快速轮换）

网络层特征：

- 协议：HTTPS C2、PowerShell Empire 特征流量
- 行为：POS 终端内存抓取、卡数据批量外传
- 社工：伪装供应商/快递的钓鱼邮件 + 电话跟进

如何使用这份清单：

与 Lazarus 一样，FIN7 会持续轮换基础设施，静态 IOC 很快失效。更有效的检测是抓住其 TTP 特征——尤其是”伪装供应商钓鱼”与”POS 内存抓卡”这两个高辨识度行为。

---

五、资金与黑产链路：偷来的卡怎么变现？

FIN7 的”卡数据”最终要变成现金，依赖一条成熟的**”carding”黑产链**：

窃取卡数据（Track 1/Track 2）
        ↓
在黑市（如 Joker's Stash）批量出售
        ↓
买家制作"克隆卡"（把卡数据写入空白磁条卡）
        ↓
在线下 POS 盗刷 / 线上消费 / 购买礼品卡
        ↓
礼品卡再转售、加密货币变现
        ↓
资金回流犯罪集团

• 卡数据按”卡种、额度、地区”分级定价，单张从几美元到上百美元不等。
• EMV 芯片卡普及是 FIN7 转向勒索的关键——芯片卡难以克隆，磁条抓卡收益骤降。

---

六、归因与打击

FIN7 是极少数被”抓到了人”的顶级网络犯罪集团，这让它与纯国家背景的 APT 形成鲜明对比：

• 2018 年 8 月：美国司法部起诉 3 名乌克兰籍成员（Dmytro Fedorov、Fedir Hladyr、Andrii Kolpakov），其中 Hladyr 是”系统管理员”角色。
• 2021 年：又有成员在泰国、欧洲落网。
• 关键突破：FBI 通过渗透 FIN7 的 C2 与内部聊天，掌握了其组织结构，甚至发现了员工的”绩效工资表”——进一步坐实了其”公司化”运营。

核心争议：

• FIN7 的成员多为俄语区/东欧的”职业黑客”，为钱而非意识形态服务。
• 它模糊了”APT”与”普通网络犯罪”的边界——严格说，FIN7 是犯罪集团，但因技术能力与持久性，常被安全厂商归入 APT 范畴讨论。

---

七、对行业与个人的启示

对机构的启示

1. 银行核心系统不是”安全孤岛”：Carbanak 证明，从员工终端到清算系统的横向渗透，足以击穿银行。
2. POS 是零售业的软肋：门店终端老旧、防护弱，是数据泄露的重灾区，需统一端点防护。
3. 社工话术需要”人员防线”：FIN7 的钓鱼靠”像真的”，唯有持续的安全意识培训能对抗。
4. 警惕”假公司”招募：招聘网站上的”安全岗位”也可能是犯罪组织洗白身份的幌子。

对个人的启示

• 对来路不明的”供应商邮件””快递通知”保持警惕，尤其是不明附件与宏。
• 刷卡时留意终端是否被改装，条件允许优先使用芯片/非接触支付。
• 定期核对账单，发现异常盗刷及时冻结卡片并报案。

---

7.5 检测建议：与本站技术系列的联动

本文技术点	延伸阅读
DLL 劫持与导出转发	《Java 反序列化（一）：WebLogic》（含 DLL 侧加载思路）及免杀系列
内存抓卡、进程内存读取	《安全工具开发：加密通信与字节码操作》
社工钓鱼与话术	社工系列（开盒思路、手机号归属地查询工具链）
勒索软件 RaaS	《黑客组织 - DarkSide》《LockBit》《REvil》勒索三巨头系列
金融攻击与 Lazarus 对比	《黑客组织 - Lazarus：朝鲜”隐藏眼镜蛇”》

FIN7 的”社工 + POS 抓卡 + 勒索转型”路线，与本站的社工系列、勒索三巨头系列形成完整的”攻击者视角”闭环，可交叉印证。

---

八、结语：当犯罪成为一门”生意”

FIN7 最深刻的启示，不是它的技术有多高超，而是它把网络犯罪经营成了一门可持续的”生意”——有分工、有绩效、有门面、有转型。

Lazarus 偷钱是为了国家，FIN7 偷钱是为了自己。但两者殊途同归地证明：在网络空间，最可怕的不是某个漏洞，而是把漏洞”产业化”的组织能力。

它的故事仍在继续——当磁条卡时代落幕，它转身投入勒索软件；当勒索软件被打压，它或许又已瞄准下一个风口。

---

参考资料

• 美国司法部：FIN7 成员起诉书（2018、2021）
• Mandiant / FireEye：FIN7 深度报告与 GOLD NIAGARA 命名
• Flashpoint、Gemini Advisory：POS 数据泄露与卡数据销售分析
• CISA / FBI：FIN7 关联 TTP 与 IOC 通告
• 各安全厂商：BOOSTWRITE、Bateleur 等技术分析

---

本文基于公开资料整理撰写，仅供网络安全研究与教育目的使用，不构成任何安全或法律建议。

---

相关文章

本文是「勒索软件/金融犯罪」系列的一员：

• 《黑客组织 - LockBit：勒索软件即服务的”工业帝国”兴衰史》 —— 勒索软件即服务的”头号玩家”
• 《黑客组织 - REvil：勒索软件”元老”的疯狂与覆灭》 —— 勒索软件”元老”的兴衰
• 《黑客组织 - 散落蜘蛛：从赌场勒索到赫尔辛基机场逮捕》 —— 现代勒索集团的崛起样本
• 《黑客组织 - DarkSide》 —— 勒索攻击重创关键基础设施的经典案例

---