Emotet es una familia de malware activa desde 2014, operada por un grupo de ciberdelincuencia conocido como Mealybug o TA542. Aunque comenzó como un troyano bancario, más tarde se convirtió en una red de bots que se convirtió en una de las amenazas más frecuentes en todo el mundo. Emotet se propaga a través de correos electrónicos no deseados; puede filtrar información y entregar malware de terceros a las computadoras comprometidas. Los operadores de Emotet no son muy exigentes con sus objetivos, ya que instalan su malware en sistemas que pertenecen a individuos, empresas y organizaciones más grandes.

En enero de 2021, Emotet fue objeto de un takedown como resultado de un esfuerzo de colaboración internacional de ocho países coordinados por Eurojust y Europol. Sin embargo, a pesar de esta operación, Emotet volvió a la vida en noviembre de 2021.

Figura 1. Cronología de eventos interesantes de Emotet desde su regreso

Campañas de spam

Después del regreso seguido de múltiples campañas de spam a fines de 2021, el comienzo de 2022 continuó con estas tendencias y nos registramos múltiples campañas de spam lanzadas por los operadores de Emotet. Durante este tiempo, Emotet se propagaba principalmente a través de documentos maliciosos de Microsoft Word y Microsoft Excel con macros VBA integradas.

En julio de 2022, Microsoft cambió el juego para todas las familias de malware como Emotet y Qbot, que habían utilizado correos electrónicos de phishing con documentos maliciosos como método de propagación, al deshabilitar macros VBA en documentos obtenidos de Internet. Este cambio fue anunció por Microsoft a principios de año y se implementó originalmente a principios de abril, pero la actualización se revirtió debido a los comentarios de los usuarios. El lanzamiento final se produjo a fines de julio de 2022 y, como se puede ver en la Figura 2, la actualización resultó en una caída significativa en los compromisos de Emotet; no observamos ninguna actividad significativa durante el verano de 2022.

Figura 2. Tendencia de detección de Emotet, media móvil de siete días

Deshabilitar el principal vector de ataque de Emotet hizo que sus operadores buscaran nuevas formas de comprometer sus objetivos. Cochinilla comencé a experimentar con archivos LNK y XLL maliciosos, pero cuando finalizaba el año 2022, los operadores de Emotet lucharon por encontrar un nuevo vector de ataque que fuera tan efectivo como lo habían sido las macros de VBA. En 2023, realizaron tres campañas de malspam distintivas, cada una de las cuales probó una vía de intrusión y una técnica de ingeniería social ligeramente diferentes. Sin embargo, el tamaño cada vez menor de los ataques y los cambios constantes en el enfoque pueden sugerir insatisfacción con los resultados.

La primera de esas tres campañas sucedió alrededor del 8 de marzo.^thde 2023, cuando la botnet Emotet comenzó a distribuir documentos de Word, enmascarados como facturas, con macros VBA maliciosas incrustadas. Esto fue bastante extraño porque Microsoft deshabilitó las macros de VBA de forma predeterminada, por lo que las víctimas no podían ejecutar código malicioso incrustado.

En su segunda campaña entre el 13 de marzo^th y 18 de marzo^th, los atacantes aparentemente reconocieron estas fallas y, además de usar el enfoque de la cadena de respuesta, también cambiaron las macros de VBA por los archivos de OneNote (ONE) con VBScripts integrados. Si las víctimas abrían el archivo, eran recibidos por lo que parecía una página protegida de OneNote, pidiéndoles que hicieran clic en el botón Ver para ver el contenido. Detrás de este elemento gráfico había un VBScript oculto, configurado para descargar la DLL de Emotet.

A pesar de una advertencia de OneNote de que esta acción podría conducir a contenido malicioso, las personas tienden a hacer clic en indicaciones similares por costumbre y, por lo tanto, pueden permitir que los atacantes comprometan sus dispositivos.

La última campaña observada en telemetría de ESET se lanzó el 20 de marzo^th, aprovechando la próxima fecha de vencimiento del impuesto sobre la renta en los Estados Unidos. Los correos electrónicos maliciosos enviados por la botnet pretendían provenir de la oficina de impuestos de EE. UU. Servicio de Rentas Internas (IRS) y llevaban un archivo adjunto llamado W-9 form.zip. El archivo ZIP incluido contenía un documento de Word con una macro VBA maliciosa incrustada que la víctima probablemente tuvo que habilitar. Aparte de esta campaña, dirigida específicamente a los EE. UU., también observamos otra campaña que usaba VBScripts integrados y el enfoque de OneNote que estaba en marcha al mismo tiempo.

Como se puede ver en la Figura 3, la mayoría de los ataques detectados por ESET estaban dirigidos a Japón (43 %), Italia (13 %), aunque estas cifras pueden estar sesgadas por la sólida base de usuarios de ESET en estas regiones. Después de eliminar esos dos primeros países (para centrarnos en el resto del mundo), en la Figura 4 se puede ver que el resto del mundo también se vio afectado, con España (5%) en el tercer lugar seguido de México (5%). %) y Sudáfrica (4%).

Figura 3. Detecciones de Emotet de enero de 2022 a junio de 2023

Figura 4. Detecciones de Emotet de enero de 2022 a junio de 2023 (JP e IT excluidos)

Protección mejorada y ofuscaciones

Después de su reaparición, Emotet obtuvo múltiples actualizaciones. La primera característica notable es que la botnet cambió su esquema criptográfico. Antes del desmantelamiento, Emotet usaba RSA como su esquema asimétrico principal y, después de la reaparición, la red de bots comenzó a usar criptografía de curva elíptica. Actualmente, cada módulo Downloader (también llamado módulo principal) viene con dos claves públicas integradas. Uno se usa para el protocolo de intercambio de claves Diffie Hellman de curva elíptica y el otro se usa para una verificación de firma: algoritmo de firma digital.

Además de actualizar el malware Emotet a la arquitectura de 64 bits, Mealybug también ha implementado múltiples ofuscaciones nuevas para proteger sus módulos. La primera ofuscación notable es el aplanamiento del flujo de control, que puede ralentizar significativamente el análisis y localizar partes interesantes del código en los módulos de Emotet.

Mealybug también implementó y mejoró su implementación de muchas técnicas de aleatorización, de las cuales las más notables son la aleatorización del orden de los miembros de la estructura y la aleatorización de instrucciones que calculan constantes (las constantes están enmascaradas).

Una actualización más que vale la pena mencionar ocurrió durante el último trimestre de 2022, cuando los módulos comenzaron a usar colas de temporizador. Con ellos, la función principal de los módulos y la parte de comunicación de los módulos se establecieron como una función de devolución de llamada, que es invocada por múltiples subprocesos y todo esto se combina con el aplanamiento del flujo de control, donde el valor de estado que administra qué bloque de código es a invocar se comparte entre los subprocesos. Esta ofuscación se suma a otro obstáculo en el análisis y dificulta aún más el seguimiento del flujo de ejecución.

Nuevos módulos

Para seguir siendo un malware rentable y prevalente, Mealybug implementó varios módulos nuevos, que se muestran en amarillo en la Figura 5. Algunos de ellos se crearon como un mecanismo defensivo para la botnet, otros para una propagación más eficiente del malware y, por último, pero no menos importante, un módulo que roba información que puede ser utilizada para robar el dinero de la víctima.

Figura 5. Módulos más utilizados de Emotet. Red existía antes del derribo; amarillo apareció después de la remontada

Thunderbird Email Stealer y Thunderbird Contact Stealer

Emotet se propaga a través de correos electrónicos no deseados y las personas a menudo confían en esos correos electrónicos, porque Emotet utiliza con éxito una técnica de secuestro de hilos de correo electrónico. Antes del cierre, Emotet usó módulos que llamamos Outlook Contact Stealer y Outlook Email Stealer, que eran capaces de robar correos electrónicos e información de contacto de Outlook. Pero debido a que no todos usan Outlook, después del derribo, Emotet también se centró en una aplicación de correo electrónico alternativa gratuita: Thunderbird.

Emotet puede implementar un módulo Thunderbird Email Stealer en la computadora comprometida, que (como sugiere el nombre) es capaz de robar correos electrónicos. El módulo busca a través de los archivos de Thunderbird que contienen mensajes recibidos (en formato MBOX) y roba datos de múltiples campos, incluidos el remitente, los destinatarios, el asunto, la fecha y el contenido del mensaje. Toda la información robada se envía luego a un servidor C&C para su posterior procesamiento.

Junto con Thunderbird Email Stealer, Emotet también implementa Thunderbird Contact Stealer, que es capaz de robar información de contacto de Thunderbird. Este módulo también busca a través de los archivos de Thunderbird, esta vez buscando mensajes recibidos y enviados. La diferencia es que este módulo simplemente extrae información del Desde:, A:, CC: y Cc: campos y crea un gráfico interno de quién se comunicó con quién, donde los nodos son personas y hay una ventaja entre dos personas si se comunican entre sí. En el siguiente paso, el módulo ordena los contactos robados -empezando por las personas más interconectadas- y envía esta información a un servidor C&C.

Todo este esfuerzo se complementa con dos módulos adicionales (que ya existían antes del desmantelamiento): el módulo MailPassView Stealer y el módulo Spammer. MailPassView Stealer abusa de una herramienta legítima de NirSoft para recuperar contraseñas y roba credenciales de aplicaciones de correo electrónico. Cuando se procesan correos electrónicos robados, credenciales e información sobre quién está en contacto con quién, Mealybug crea correos electrónicos maliciosos que parecen una respuesta a conversaciones robadas anteriormente y envía esos correos electrónicos junto con las credenciales robadas a un módulo Spammer que usa esas credenciales para enviar respuestas maliciosas a conversaciones de correo electrónico anteriores a través de SMTP.

Ladrón de tarjetas de crédito de Google Chrome

Como sugiere el nombre, Google Chrome Credit Card Stealer roba información sobre las tarjetas de crédito almacenadas en el navegador Google Chrome. Para lograr esto, el módulo utiliza una biblioteca SQLite3 vinculada estáticamente para acceder al archivo de la base de datos de datos web que generalmente se encuentra en %LOCALAPPDATA%GoogleChromeDatos de usuarioDatos web predeterminados. El módulo consulta la tabla. tarjetas de crédito para nombre_de_la_tarjeta, mes de expiración, año_de_caducidady número_de_tarjeta_cifrado, que contiene información sobre las tarjetas de crédito guardadas en el perfil predeterminado de Google Chrome. En el último paso, el valor card_number_encrypted se descifra utilizando la clave almacenada en el %LOCALAPPDATA%GoogleChromeUser DataArchivo de estado local y toda la información se envía a un servidor C&C.

Módulos Systeminfo y Hardwareinfo

Poco después del regreso de Emotet, en noviembre de 2021 apareció un nuevo módulo al que llamamos Systeminfo. Este módulo recopila información sobre un sistema comprometido y la envía al servidor de C&C. La información recopilada consiste en:

• Salida del systeminfo comando
• Salida del ipconfig / all comando
• Salida del más reciente /dclista: comando (eliminado en octubre de 2022)
• Lista de procesos
• Tiempo de actividad (obtenido a través de Gettickcount) en segundos (eliminado en octubre de 2022)

In Octubre 2022 Los operadores de Emotet lanzaron otro nuevo módulo que llamamos Hardwareinfo. Si bien no roba información exclusivamente sobre el hardware de una máquina comprometida, sirve como fuente de información complementaria al módulo Systeminfo. Este módulo recopila los siguientes datos de la máquina comprometida:

• nombre del equipo
• Usuario
• Información de la versión del sistema operativo, incluidos los números de versión principal y secundaria
• ID de sesión
• Cadena de marca de CPU
• Información sobre el tamaño y el uso de la RAM

Ambos módulos tienen un propósito principal: verificar si la comunicación proviene de una víctima legítimamente comprometida o no. Emotet fue, especialmente después de su regreso, un tema realmente candente en la industria de la seguridad informática y entre los investigadores, por lo que Mealybug hizo todo lo posible para protegerse del seguimiento y la supervisión de sus actividades. Gracias a la información recopilada por estos dos módulos que no solo recopilan datos, sino que también contienen trucos anti-seguimiento y anti-análisis, las capacidades de Mealybug para distinguir a las víctimas reales de las actividades o sandboxes de los investigadores de malware mejoraron significativamente.

¿Qué es lo siguiente?

Según la investigación y la telemetría de ESET, ambas épocas de la botnet han estado tranquilas desde principios de abril de 2023. Actualmente no está claro si este es otro tiempo de vacaciones para los autores, si luchan por encontrar un nuevo vector de infección efectivo o si hay alguien nuevo operando la botnet.

Aunque no podemos confirmar los rumores de que uno o ambos Epoch de la botnet se vendieron a alguien en enero de 2023, notamos una actividad inusual en uno de los Epoch. La actualización más reciente del módulo de descarga contenía una nueva funcionalidad, que registra los estados internos del módulo y rastrea su ejecución en un archivo. C:JSmithLoader (Figura 6, Figura 7). Debido a que este archivo debe existir para registrar algo, esta funcionalidad parece una salida de depuración para alguien que no entiende completamente lo que hace el módulo y cómo funciona. Además, en ese momento, la botnet también estaba difundiendo ampliamente los módulos Spammer, que se consideran más preciados para Mealybug porque históricamente usaban estos módulos solo en máquinas que consideraban seguras.

Figura 6. Registro de comportamiento del módulo de descarga

Figura 7. Registro de comportamiento del módulo de descarga

Cualquiera que sea la explicación de por qué la red de bots está silenciosa ahora es cierta, Emotet ha sido conocido por su efectividad y sus operadores hicieron un esfuerzo para reconstruir y mantener la red de bots e incluso agregar algunas mejoras, así que siga nuestro blog para ver qué traerá el futuro. a nosotros.

IoC

archivos

Nuestra red

Técnicas MITRE ATT & CK

Esta tabla fue construida usando Versión 12 de las técnicas empresariales MITRE ATT&CK.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Automoción / vehículos eléctricos, Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• Desplazamientos de bloque. Modernización de la propiedad de compensaciones ambientales. Accede Aquí.
• Fuente: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/