Emotet-botnätet kommer tillbaka till livet

Ett av de största botnäten stördes och stängdes ner i en internationell brottsbekämpande operation som ägde rum i början av 2021. Nu, mer än ett år senare, visar samma botnät livstecken igen, och det verkar som att det har vuxit en del nya horn och ryggar under den tid den låg i dvala. Botnätet i fråga är det ökända Emotet -botnätverket – ett nät av komprometterade enheter som används för olika skadliga syften.

Vad är Emotet?

Ett botnät kan användas för ett antal skadliga uppgifter av den part som kontrollerar de komprometterade enheterna eller "botarna". När det gäller Emotet användes nätverket för att sprida skadlig programvara och botar hyrdes ut till andra skadliga parter, liknande modellen ransomware-as-a-service, och sålde bara åtkomst till den komprometterade enhetsinfrastrukturen.

Nu har ett forskarteam med säkerhetsföretaget Proofpoint identifierat "lågvolym Emotet-aktivitet" och beskriver den som "drastiskt" annorlunda än det vanliga sättet som Emotet-botnätet drevs på.

Emotet distribueras nu med hjälp av e-postkampanjer. E-postadresserna som de skadliga meddelandena härstammar från verkar vara äventyrade, enligt forskare, eftersom Emotets skräppostmodul inte användes för att skicka ut dem till mottagarna.

Ny skadlig e-postkampanj sprider Emotet

Mejlen var enkla i strukturen - ämnessträngar på ett ord, som "Lön". Detta är ett enkelt men effektivt knep för att väcka offrets uppmärksamhet och få användaren att klicka sig igenom allt som finns i e-postmeddelandet. I det här fallet innehåller e-postmeddelandena bara en enda länk till OneDrive.

OneDrive-länkarna pekar på MS Excel XLL-filer, placerade i ett zip-arkiv. Arkivfilerna och Excel-dokumentet som finns i dem har samma namn som ämnet för posten. I exemplet från Proofpoint hette arkivet "Salary_new.zip" och Excel-filen inuti det - "Salary_and_bonuses-04.01.2022.xll".

När användaren extraherar Excel-filen och försöker öppna den, släpps Emotet och distribueras.

Med tanke på kampanjens lågvolymkaraktär, i motsats till den vanliga aggressiva spammetoden för stora volymer som Emotet tidigare använde, tror forskare att skadlig programvara testar nya tillvägagångssätt och tekniker och testar nya sätt att undvika automatisk upptäckt.