Reden wir über Emotet-Malware
Vielleicht haben Sie schon von Emotet in den Nachrichten gehört. Was ist das? Ein altägyptischer König oder die Lieblings-Emo-Band deiner Teenager-Schwester? Wir fürchten nein.
Der Banking-Trojaner Emotet wurde erstmals 2014 von Sicherheitsforschern entdeckt. Emotet war ursprünglich als Banking-Malware konzipiert, die versuchte, sich auf Ihren Computer zu schleichen und sensible und private Daten zu stehlen. In späteren Versionen der Software wurden Spamming- und Malware-Lieferdienste hinzugefügt, darunter auch andere Banking-Trojaner.
Emotet nutzt Funktionen, mit denen die Software die Erkennung durch einige Anti-Malware-Produkte umgehen kann. Emotet nutzt wurmartige Fähigkeiten, um sich auf andere verbundene Computer zu verbreiten. Dies hilft bei der Verbreitung der Malware. Diese Funktionalität hat das Department of Homeland Security zu der Schlussfolgerung veranlasst, dass Emotet eine der kostspieligsten und zerstörerischsten Malwares ist, die Regierungen und private Sektoren, Einzelpersonen und Organisationen beeinträchtigt und deren Beseitigung mehr als 1 Million Dollar pro Vorfall kostet.
Emotet-Produkte für die Cybersicherheit
Für Unternehmen
Malwarebytes Endpunkt-Erkennung und -Reaktion
Malwarebytes Endpunkt-Schutz
Malwarebytes Incident Response
Was ist Emotet?
Emotet ist ein Trojaner, der hauptsächlich durch Spam-E-Mails(Malspam) verbreitet wird. Die Infektion kann entweder über ein bösartiges Skript, makroaktivierte Dokumentdateien oder einen bösartigen Link erfolgen. Emotet-E-Mails können ein vertrautes Branding enthalten, das wie eine seriöse E-Mail aussehen soll. Emotet kann versuchen, Benutzer zum Anklicken der schädlichen Dateien zu verleiten, indem er verlockende Formulierungen über "Ihre Rechnung", "Zahlungsdetails" oder möglicherweise eine bevorstehende Sendung von bekannten Paketdiensten verwendet.
Emotet hat mehrere Iterationen durchlaufen. Frühe Versionen erschienen als bösartige JavaScript-Datei. Spätere Versionen nutzten makroaktivierte Dokumente, um die Nutzlast des Virus von Command-and-Control-Servern (C&C) der Angreifer abzurufen.
Emotet verwendet eine Reihe von Tricks, um eine Entdeckung und Analyse zu verhindern. Insbesondere weiß Emotet, ob es in einer virtuellen Maschine (VM) ausgeführt wird, und legt sich schlafen, wenn es eine Sandbox-Umgebung erkennt. Dies ist ein Werkzeug, das Cyber-Sicherheitsforscher verwenden, um Malware in einem sicheren, kontrollierten Bereich zu beobachten.
Emotet verwendet auch C&C-Server, um Updates zu erhalten. Dies funktioniert auf die gleiche Weise wie die Betriebssystem-Updates auf Ihrem PC und kann nahtlos und ohne äußere Anzeichen erfolgen. Auf diese Weise können die Angreifer aktualisierte Versionen der Software installieren, zusätzliche Malware wie andere Banking-Trojaner einschleusen oder als Abladeplatz für gestohlene Informationen wie Finanzdaten, Benutzernamen und Kennwörter sowie E-Mail-Adressen dienen.
Emotet Nachrichten
- Emotet ist zurück und verschwendet keine Zeit
- Emotet wird über bösartige Windows App Installer-Pakete verbreitet
- TrickBot hilft Emotet, von den Toten aufzuerstehen
- Aufräumen nach Emotet: die Strafverfolgungsakte
- Malware-Analyse: Entschlüsselung von Emotet, Teil 2
- Malware-Analyse: Entschlüsselung von Emotet, Teil 1
Wie verbreitet sich Emotet?
Die Hauptverbreitungsmethode für Emotet ist Malspam. Emotet plündert Ihre Kontaktliste und sendet sich selbst an Ihre Freunde, Familie, Kollegen und Kunden. Da diese E-Mails von Ihrem gekaperten E-Mail-Konto stammen, sehen sie weniger wie Spam aus, und die sich sicher fühlenden Empfänger sind eher geneigt, auf schlechte URLs und herunterladen infizierte Dateien zu klicken.
Wenn ein angeschlossenes Netzwerk vorhanden ist, verbreitet sich Emotet mithilfe einer Liste gängiger Kennwörter und errät seinen Weg zu anderen angeschlossenen Systemen in einem Brute-Force-Angriff. Wenn das Passwort für den wichtigen Server der Personalabteilung einfach "password" lautet, ist es wahrscheinlich, dass Emotet seinen Weg dorthin findet.
Forscher dachten zunächst, Emotet verbreite sich auch über die Schwachstellen EternalBlue/DoublePulsar, die für die Angriffe WannaCry und NotPetya verantwortlich waren. Wir wissen jetzt, dass dies nicht der Fall ist. Was die Forscher zu dieser Schlussfolgerung führte, war die Tatsache, dass TrickBot, ein Trojaner, der häufig von Emotet verbreitet wird, die EternalBlue-Schwachstelle nutzt, um sich in einem bestimmten Netzwerk zu verbreiten. Es war TrickBot, nicht Emotet, der die EternalBlue/DoublePulsar-Schwachstellen ausnutzte.
Was ist die Geschichte von Emotet?
Emotet wurde erstmals 2014 identifiziert und infiziert bis heute Systeme und schädigt Nutzer. Deshalb sprechen wir immer noch darüber, im Gegensatz zu anderen Trends aus dem Jahr 2014 (Ice Bucket Challenge oder was?).
Die erste Version von Emotet wurde entwickelt, um durch das Abfangen des Internetverkehrs Bankdaten zu stehlen. Kurze Zeit später wurde eine neue Version der Software entdeckt. Diese Version mit der Bezeichnung Emotet Version zwei enthielt mehrere Module, darunter ein Geldtransfersystem, ein Malspam-Modul und ein Banking-Modul, das auf deutsche und österreichische Banken abzielte.
"Aktuelle Versionen des Emotet-Trojaners bieten die Möglichkeit, andere Malware auf infizierten Computern zu installieren. Zu dieser Malware können andere Banking-Trojaner oder Malspam-Dienste gehören."
Im Januar 2015 erschien eine neue Version von Emotet auf der Bildfläche. Version drei enthielt Stealth-Modifikationen, um die Malware unter dem Radar fliegen zu lassen, und fügte neue Ziele für Schweizer Banken hinzu.
Spulen wir ins Jahr 2018 vor - neue Versionen des Emotet-Trojaners bieten die Möglichkeit, andere Malware auf infizierten Computern zu installieren. Zu dieser Malware können auch andere Trojaner und Ransomware gehören. Ein Beispiel: Ein Emotet-Angriff auf Lake City, Florida, im Juli 2019 kostete die Stadt 460.000 US-Dollar an Ransomware-Zahlungen, wie Gizmodo berichtet. Eine Analyse des Angriffs ergab, dass Emotet nur als anfänglicher Infektionsvektor diente. Nach der Infektion lud Emotet einen anderen Banking-Trojaner namens TrickBot und die Ryuk-Ransomware herunter.
Nachdem es die meiste Zeit des Jahres 2019 relativ ruhig war, meldete sich Emotet stark zurück. Im September 2019berichtete Malwarebytes Labs über eine Botnet-gesteuerte Spam-Kampagne, die auf deutsche, polnische, italienische und englische Opfer abzielte, mit raffiniert formulierten Betreffzeilen wie "Payment Remittance Advice" und "Overdue invoice". Das Öffnen des infizierten Microsoft Word-Dokuments löst ein Makro aus, das wiederum Emotet von kompromittierten WordPress-Seiten herunterlädt .
An wen richtet sich Emotet?
Jeder ist ein Ziel für Emotet. Bislang hat Emotet Einzelpersonen, Unternehmen und Regierungsstellen in den USA und Europa angegriffen und Bankanmeldungen, Finanzdaten und sogar Bitcoin-Wallets gestohlen.
Ein bemerkenswerter Emotet-Angriff auf die Stadt Allentown, PA, erforderte direkte Hilfe von Microsofts Incident-Response-Team, um ihn zu bereinigen, und kostete die Stadt Berichten zufolge mehr als 1 Mio. $, um ihn zu beheben.
Da Emotet nun auch für herunterladen und andere Banking-Trojaner verwendet wird, ist die Liste der Ziele möglicherweise noch breiter. Frühe Versionen von Emotet wurden verwendet, um Bankkunden in Deutschland anzugreifen. Spätere Versionen von Emotet zielten auf Organisationen in Kanada, dem Vereinigten Königreich und den Vereinigten Staaten ab.
"Ein bemerkenswerter Emotet-Angriff auf die Stadt Allentown, PA, erforderte direkte Hilfe von Microsofts Incident-Response-Team, um ihn zu bereinigen, und kostete die Stadt Berichten zufolge mehr als 1 Mio. $."
Wie kann ich mich vor Emotet schützen?
Sie haben bereits den ersten Schritt getan, um sich und Ihre Benutzer vor Emotet zu schützen, indem Sie sich über die Funktionsweise von Emotet informiert haben. Hier sind ein paar weitere Schritte, die Sie unternehmen können:
- Halten Sie Ihre Computer/Endpunkte mit den neuesten Patches für Microsoft Windows auf dem neuesten Stand. TrickBot wird oft als sekundäre Emotet-Nutzlast ausgeliefert, und wir wissen, dass TrickBot auf die Windows EternalBlue-Schwachstelle angewiesen ist, um seine schmutzige Arbeit zu verrichten, also patchen Sie diese Schwachstelle, bevor die Cyberkriminellen sie ausnutzen können.
- Klicken Sie nicht auf herunterladen auf verdächtige Anhänge oder einen dubios aussehenden Link. Wenn Sie diese verdächtigen E-Mails vermeiden, kann Emotet nicht in Ihrem System oder Netzwerk Fuß fassen. Nehmen Sie sich die Zeit, Ihre Benutzer darin zu schulen, wie sie Malspam erkennen können.
- Bringen Sie sich und Ihren Nutzern bei, wie man ein sicheres Passwort erstellt. Und wenn Sie schon dabei sind, sollten Sie eine Zwei-Faktor-Authentifizierung verwenden.
- Sie können sich und Ihre Benutzer vor Emotet mit einem robusten Cybersicherheitsprogramm schützen, das einen mehrschichtigen Schutz umfasst. Malwarebytes Business- und Premium Consumer-Produkte erkennen und blockieren Emotet in Echtzeit.
Wie kann ich Emotet entfernen?
Wenn Sie den Verdacht haben, dass Sie bereits mit Emotet infiziert sind, sollten Sie nicht ausrasten. Wenn Ihr Computer mit einem Netzwerk verbunden ist, isolieren Sie ihn sofort. Sobald er isoliert ist, sollten Sie das infizierte System patchen und reinigen. Aber Sie sind noch nicht fertig. Aufgrund der Art und Weise, wie sich Emotet über Ihr Netzwerk verbreitet, kann ein bereinigter Computer erneut infiziert werden, wenn er wieder an ein infiziertes Netzwerk angeschlossen wird. Säubern Sie jeden Computer in Ihrem Netzwerk nacheinander. Das ist ein mühsamer Prozess, aber die Unternehmenslösungen vonMalwarebytes können ihn erleichtern, indem sie infizierte Endpunkte isolieren und bereinigen und proaktiven Schutz vor künftigen Emotet-Infektionen bieten.
Wenn Wissen die halbe Miete ist, gehen Sie auf die Seite Malwarebytes Labs und erfahren Sie mehr darüber, wie Emotet sich der Entdeckung entzieht und wie der Code von Emotet funktioniert.