Ny Emotet-kampagne udnytter makroer i Microsoft OneNote-filer

Emotet går igen i naturen

Efter et kort fravær, den berygtede Emotet malware bliver igen spredt, denne gang gennem Microsoft OneNote-vedhæftede filer for at undgå makrobaserede sikkerhedskontroller og infiltrere systemer.

Hvad er Emotet?

Sammenfattende, Emotet er en sofistikeret “alt-i-én malware” bruges af trusselsgrupper til at downloade yderligere malware og stjæle data ved at opsnappe netværkstrafik, eller for at melde inficerede enheder til deres botnet-netværk. Malwaren har været aktiv siden 2014 og er blevet brugt til at målrette både enkeltpersoner og organisationer, samt offentlige netværk. Det blev oprindeligt skabt som en banktrojaner og menes at være af østeuropæisk oprindelse.

Sidste år, AdvIntel udgav en rapport, der afslører det over hele kloden, 1,267,598 Emotet-infektioner blev identificeret, med store stigninger i månederne februar og marts, samt juni og juli. Den ondsindede software blev brugt af post-Conti ransomware-bander som Quantum og BlackCat.

Emotet er tilbage igen, Brug af Microsoft OneNote-filer

Dette år, efter at have været fraværende i tre måneder, Emotet dukkede op igen i sidste uge, da botnettet Epoch 4 udsendt ondsindede e-mails med inficerede Office-makroer. På trods af at vedhæftningen er meget stor i størrelsen, det var overraskende at se, at Emotet brugte det samme angrebsformat.

Microsoft har implementeret et system til blokering af makroer fra downloadede dokumenter siden sidste sommer, tvinger kriminelle til at genoverveje deres metoder til at levere malware via malspam. Som et resultat, andre kriminelle bander begyndte at bruge Microsoft OneNote-dokumenter. Det ser ud til, at Emotet i øjeblikket følger trop.

OneNote-filen ser ud til at være enkel, men er faktisk en smart måde at socialt udvikle brugere med en falsk notifikation, der hævder, at dokumentet er sikret. Når du bliver bedt om at dobbeltklikke på knappen Vis, offeret dobbeltklikker ubevidst på en indlejret script-fil i stedet for.

Efter en vellykket installation, Emotet vil derefter interagere med sine kommando- og kontrolservere for at få yderligere instruktioner.

Også selvom Emotet har haft pauser i aktiviteten, og blev endda helt lukket ned af retshåndhævelsen, det er fortsat en alvorlig trussel, der beviser, hvordan sofistikerede sociale ingeniør-tricks fortsat har høje infektionsrater. Selvom makroer i sidste ende kan blive forældede, de vil hurtigt våben en anden populær platform til at bryde både organisationer og enkeltpersoner.