اختبار مصرح به وهجوم حقيقي
في واقعة نشرتها FireEye عام 2019، كانت مؤسسة هندسية تجري اختبار اختراق مصرحًا به عندما ظهر نشاط لمهاجم حقيقي في شبكتها. احتاج المحققون إلى فصل أدوات المختبرين عن خطوات FIN6. وكان وجود المجموعة لافتًا لأن المؤسسة لا تعالج بيانات بطاقات دفع، وهي المجال الذي اشتهرت فيه عملياتها سابقًا. بدأ المسار من نظام مكشوف للإنترنت، ثم استُخدمت بيانات اعتماد مسروقة للتحرك بين الأجهزة عبر RDP، خدمة سطح المكتب البعيد. وسط نشاط أمني مشروع وآخر عدائي، أصبحت هوية الجلسة وما فعلته بعد الدخول أهم من مجرد العثور على أداة اختبار اختراق.
تسلل أُوقف في بدايته
تتبع الفريق أدوات مثل Cobalt Strike و Metasploit، وهي منصات يمكن استخدامها في اختبارات أمنية مشروعة ويُساء استخدامها في الهجمات. ساعدت سجلات النظام وآثار تصفح المجلدات على إعادة بناء الحركة. كان التحقيق قد التقط العملية في مرحلة مبكرة، فتمكن المدافعون من قطعها قبل أثرها اللاحق المحتمل. ربطت FireEye هذه الواقعة بتحول رصدته لدى بعض نشاط FIN6 نحو عمليات تنتهي ببرامج فدية. هنا تبرز نهاية محددة ومهمة: لم تنتظر المؤسسة تشفير ملفاتها حتى تصبح الحادثة مرئية؛ كشف التحليل التسلل وهو لا يزال يوسع قدرته على التحرك داخل الشبكة.
طلب وظيفة ينتظر الرد
وفي أكتوبر 2023، رصدت Proofpoint نشاطًا تحت اسم TA4557 يستهدف مسؤولي التوظيف برسائل من متقدمين مزعومين. تصل الرسالة الأولى كسؤال عادي عن وظيفة، ثم يأتي رابط السيرة بعد رد الموظف. وفي بعض حملات نوفمبر، طُلب من المتلقي زيارة النطاق الموجود في عنوان البريد بدل إرسال رابط قابل للنقر. كانت الخطوة تستدرج الموظف إلى إكمال تواصل بدأ بصورة مألوفة. وإذا وصل إلى الموقع المناسب، قاده الملف الذي ينزّله إلى More_eggs، باب خلفي يستطيع التعرف إلى الجهاز واستقبال برامج لاحقة. تصف Proofpoint تداخلًا تاريخيًا بين هذا النشاط و FIN6، مع احتفاظها بتسميتها البحثية المستقلة.
السيرة التي تتبدل بحسب زائرها
في يونيو 2025، وثقت DomainTools مواقع سير ذاتية نسبت استخدامها إلى FIN6، مستضافة على بنية AWS السحابية. فحصت الصفحات بيئة الزائر قبل عرض محتواها: يمكن لأداة تحليل أو اتصال معروف بخدمات VPN أن يرى سيرة نصية بريئة، بينما يتلقى زائر مستوفٍ للشروط اختبار CAPTCHA ثم ملفًا مضغوطًا. يفسر هذا الاختلاف لماذا قد يبدو الرابط سليمًا في فحص ويقود إلى برنامج خبيث في زيارة أخرى. لم يكن اختيار مسؤول التوظيف تفصيلًا عابرًا؛ فقراءة ملفات الغرباء جزء من عمله. وقد حولت الحملة هذه المهمة المهنية المتكررة إلى فرصة لإنشاء موطئ قدم داخل المؤسسة.