Seit seiner Rückkehr tauchte Emotet in mehreren Spam-Kampagnen auf. Mealybug, die Hackergruppe hinter dem Botnetz, hat zahlreiche neue Module entwickelt und bestehende überarbeitet. Die Drahtzieher hinter Emotet haben aus dem Takedown vor zwei Jahren einiges gelernt und viel Zeit darin investiert, die Entdeckung ihres Botnetzes zu verhindern. In seiner letzten Operation wurden Ziele in Italien, Spanien, Japan, Mexiko und Südafrika attackiert. Seit April 2023 sind die Aktivtäten von Emotet eingestellt. Die ESET Forscher vermuten, dass die Hacker nach neuen Angriffsvektoren suchen. Was die Experten seit der Rückkehr festgestellt haben und wie es weitergeht, erläutern sie in ihrer neuesten Analyse auf WeLiveSecurity.
„Emotet verbreitet sich über Spam-Mails. Die Malware kann sensible Informationen von kompromittierten Computern stehlen und Malware von Drittanbietern auf diese übertragen. Die Betreiber von Emotet sind nicht sehr wählerisch, was ihre Ziele angeht. Sie installieren ihre Malware sowohl auf Systemen von Privatpersonen als auch von Unternehmen und größeren Organisationen“, sagt ESET-Forscher Jakub Kaloč, der an der Analyse mitgearbeitet hat.
Emotet musste neuen Angriffsvektor finden
Von Ende 2021 bis Mitte des Jahres 2022 verbreitete sich Emotet hauptsächlich über VBA-Makros in Microsoft Word- und Excel-Dokumenten. Im Juli 2022 änderte Microsoft die Spielregeln für alle Malware-Familien wie Emotet und Qbot - die Phishing-E-Mails mit bösartigen Dokumenten als Verbreitungsmethode verwendet hatten - indem es VBA-Makros in Dokumenten deaktivierte, die aus dem Internet bezogen wurden.
„Die Abschaltung des Hauptangriffsvektors von Emotet veranlasste seine Betreiber, nach neuen Wegen zu suchen, um ihre Ziele zu kompromittieren. Mealybug begann, mit bösartigen LNK- und XLL-Dateien zu experimentieren. Als das Jahr 2022 zu Ende ging, hatten die Betreiber von Emotet jedoch Schwierigkeiten, einen neuen Angriffsvektor zu finden, der so effektiv wie VBA-Makros ist. Im Jahr 2023 führten sie drei verschiedene Malspam-Kampagnen durch, die jeweils einen etwas anderen Weg des Eindringens und eine andere Social Engineering-Technik testeten“, erläutert Kaloč. „Der schrumpfende Umfang der Angriffe und die ständigen Änderungen des Ansatzes könnten jedoch auf Unzufriedenheit mit den Ergebnissen hindeuten.“ Später bettete Emotet einen Köder in Microsoft OneNote ein. Trotz der Warnungen beim Öffnen, dass diese Aktion zu bösartigen Inhalten führen könnte, klickten Nutzer darauf.
Kriminelle entwickeln Emotet weiter
Nach seinem Wiederauftauchen erhielt Emotet mehrere Upgrades. Die bemerkenswertesten Merkmale waren, dass das Botnet sein kryptografisches Schema änderte und mehrere neue Verschleierungen implementierte, um seine Module zu schützen. Die Betreiber von Emotet haben seit ihrer Rückkehr erhebliche Anstrengungen unternommen, um die Überwachung und Verfolgung ihres Botnets zu verhindern. Außerdem haben sie mehrere neue Module implementiert und bestehende Module verbessert, um profitabel zu bleiben.
Emotet wird über Spam-Mails verbreitet. Menschen vertrauen diesen Nachrichten oft, da die Kriminellen erfolgreich mit speziellen Techniken Gesprächsverläufe in E-Mails übernehmen. Vor dem Takedown verwendete Emotet Module, die wir Outlook Contact Stealer und Outlook Email Stealer nennen und die in der Lage waren, E-Mails und Kontaktinformationen aus Outlook zu stehlen. Da jedoch nicht jeder Outlook verwendet, konzentrierte sich Emotet nach der Rückkehr auch auf eine kostenlose alternative E-Mail-Anwendung: Thunderbird. Darüber hinaus begann es, das Google Chrome Credit Card Stealer Modul zu verwenden, das Informationen über Kreditkarten stiehlt, die im Google Chrome Browser gespeichert sind.
Laut ESET Telemetrie und dem Eindruck der Forscher ist es um die Emotet-Botnets seit Anfang April 2023 ruhig geworden. Das ist wahrscheinlich darauf zurückzuführen, dass ein neuer effektiver Angriffsvektor gefunden wurde. Die meisten der von ESET seit Januar 2022 bis heute entdeckten Angriffe zielten auf Japan (43 %), Italien (13 %), Spanien (5 %), Mexiko (5 %) und Südafrika (4 %) ab.
Über Emotet
Emotet ist eine seit 2014 aktive Malware-Familie, die von einer als Mealybug oder TA542 bekannten Cybercrime-Gruppe betrieben wird. Zunächst agierte Emotet als Banking-Trojaner, entwickelte sich aber später zu einem Botnetz, das zu einer der größten Bedrohungen weltweit wurde. Im Januar 2021 wurde Emotet im Rahmen einer internationalen Zusammenarbeit von acht Ländern, die von Europol und Eurojust koordiniert wurde, in einem begrenzten Umfang abgeschaltet. Im November 2021 kehrte Emotet zurück und startete erneut mehrere Spam-Kampagnen. Im April 2023 fanden die Aktivitäten des Schadprogramms ein jähes Ende.
Die gesamte Analyse gibt es auf WeLiveSecurity: www.welivesecurity.com/deutsch/2023/07/06/wie-stehts-eigentlich-um-emotet/