L'Emotet Botnet torna a la vida
Una de les botnets més grans es va interrompre i es va tancar en una operació internacional d'aplicació de la llei que va tenir lloc a principis del 2021. Ara, més d'un any després, la mateixa botnet torna a donar senyals de vida, i sembla que ha crescut una mica. noves banyes i espines en el moment en què va estar latent. La botnet en qüestió és la infame xarxa de robots Emotet : una xarxa de dispositius compromesos utilitzats per a diferents propòsits maliciosos.
Què és Emotet?
Una botnet es pot utilitzar per a una sèrie de tasques malicioses per part de la part que controla els dispositius compromesos o "bots". En el cas d'Emotet, la xarxa es va utilitzar per difondre programari maliciós i es van llogar robots a altres parts malicioses, de manera similar al model de ransomware com a servei, només venint accés a la infraestructura del dispositiu compromesa.
Ara, un equip d'investigació amb la firma de seguretat Proofpoint ha identificat "activitat d'Emotet de baix volum", descrivint-la com a "dràsticament" diferent de la forma habitual en què funcionava la botnet Emotet .
Emotet es distribueix ara mitjançant campanyes de correu electrònic. Segons els investigadors, les adreces de correu electrònic de les quals provenen els missatges maliciosos semblen estar compromeses perquè el mòdul de correu brossa Emotet no es va utilitzar per enviar-los als destinataris.
La nova campanya de correu electrònic maliciós difon Emotet
Els correus electrònics tenien una estructura senzilla: cadenes d'assumptes d'una paraula, com ara "Salari". Aquest és un truc senzill però eficaç per cridar l'atenció de les víctimes i fer que l'usuari faci clic a tot el que contingui el correu electrònic. En aquest cas, els correus electrònics contenen només un únic enllaç a OneDrive.
Els enllaços de OneDrive apunten a fitxers MS Excel XLL, col·locats en un arxiu zip. Els fitxers d'arxiu i el document d'Excel que hi conté s'anomenen de la mateixa manera que l'assumpte del correu. A l'exemple proporcionat per Proofpoint, l'arxiu s'anomenava "Salary_new.zip" i el fitxer d'Excel al seu interior: "Salary_and_bonuses-04.01.2022.xll".
Un cop l'usuari extreu el fitxer d'Excel i intenta obrir-lo, Emotet es deixa anar i es desplega.
Atesa la naturalesa de baix volum de la campanya, en contrast amb l'enfocament habitual de correu brossa agressiu de gran volum utilitzat anteriorment per Emotet, els investigadors creuen que els operadors de programari maliciós estan provant nous enfocaments i tècniques i estan provant noves maneres d'evitar la detecció automatitzada.