Principais conclusões
- O Emotet é um malware do tipo trojanidentificado pela primeira vez em 2014, originalmente criado para roubar informações financeiras e bancárias de sistemas infectados.
- Com o tempo, o Emotet evoluiu de um trojan bancário para uma plataforma de distribuição de malware usada para disseminar outros softwares maliciosos, incluindo outros trojans bancários e ransomware.
- O Emotet é distribuído principalmente por meio de e-mails de spam que contêm anexos ou links maliciosos, muitas vezes disfarçados como mensagens legítimas, tais como faturas, detalhes de pagamento ou notificações de envio.
- O malware utiliza técnicas avançadas de evasão, incluindo a detecção de máquinas virtuais e ambientes de sandbox, o que lhe permite permanecer inativo para evitar análises e detecção.
- O Emotet possui capacidades semelhantes às de um worm, que lhe permitem propagar-se pelas redes e comunicar-se com servidores de comando e controle para receber atualizações, instalar malware adicional e extrair dados roubados
O que é Emotet?
O Trojan bancário Emotet foi identificado pela primeira vez por pesquisadores de segurança em 2014. O Emotet foi originalmente projetado como um malware bancário que tentava entrar furtivamente em seu computador e roubar informações confidenciais e privadas. Versões posteriores do software adicionaram serviços de spam e de entrega de malware, incluindo outros cavalos de Troia bancários.
O Emotet usa uma funcionalidade que ajuda o software a evitar a detecção por alguns produtos antimalware. O Emotet usa recursos semelhantes aos de um worm para ajudar a se espalhar para outros computadores conectados. Isso ajuda na distribuição do malware. Essa funcionalidade levou o Departamento de Segurança Interna a concluir que o Emotet é um dos malwares mais caros e destrutivos, afetando setores governamentais e privados, indivíduos e organizações, e custando mais de US$ 1 milhão por incidente para ser limpo.
O Emotet é um cavalo de Troia que se espalha principalmente por meio de e-mails de spam(malspam). A infecção pode chegar por meio de um script malicioso, arquivos de documentos habilitados para macro ou links maliciosos. Os e-mails do Emotet podem conter uma marca conhecida, projetada para parecer um e-mail legítimo. O Emotet pode tentar persuadir os usuários a clicar nos arquivos maliciosos usando uma linguagem tentadora sobre "Sua fatura", "Detalhes de pagamento" ou possivelmente uma remessa futura de empresas de encomendas conhecidas.
O Emotet passou por algumas iterações. As primeiras versões eram apresentadas como um arquivo JavaScript malicioso. As versões posteriores evoluíram para usar documentos habilitados para macro para recuperar a carga útil do vírus dos servidores de comando e controle (C&C) executados pelos atacantes.
O Emotet usa uma série de truques para tentar evitar a detecção e a análise. Em particular, o Emotet sabe se está sendo executado dentro de uma máquina virtual (VM) e ficará inativo se detectar um ambiente sandbox, que é uma ferramenta que os pesquisadores de segurança cibernética usam para observar o malware em um espaço seguro e controlado.
O Emotet também usa servidores C&C para receber atualizações. Isso funciona da mesma forma que as atualizações do sistema operacional do seu PC e pode ocorrer sem problemas e sem nenhum sinal externo. Isso permite que os atacantes instalem versões atualizadas do software, instalem malware adicional, como outros cavalos de Troia bancários, ou atuem como um depósito de informações roubadas, como credenciais financeiras, nomes de usuário e senhas e endereços de e-mail.
Como o Emotet se espalha?
O principal método de distribuição do Emotet é por meio de malspam. O Emotet invade sua lista de contatos e se envia para seus amigos, familiares, colegas de trabalho e clientes. Como esses e-mails são provenientes de sua conta de e-mail sequestrada, eles não se parecem tanto com spam e os destinatários, sentindo-se seguros, ficam mais inclinados a clicar em URLs ruins e baixar arquivos infectados.
Se uma rede conectada estiver presente, o Emotet se espalha usando uma lista de senhas comuns, adivinhando seu caminho para outros sistemas conectados em um ataque de força bruta. Se a senha do importantíssimo servidor de recursos humanos for simplesmente "senha", é provável que o Emotet chegue até lá.
Os pesquisadores inicialmente pensaram que o Emotet também se espalhou usando as vulnerabilidades EternalBlue/DoublePulsar, que foram responsáveis pelos ataques WannaCry e NotPetya. Sabemos agora que esse não é o caso. O que levou os pesquisadores a essa conclusão foi o fato de que o TrickBot, um cavalo de Troia frequentemente disseminado pelo Emotet, faz uso da exploração EternalBlue para se disseminar em uma determinada rede. Foi o TrickBot, e não o Emotet, que se aproveitou das vulnerabilidades EternalBlue/DoublePulsar.
Qual é o histórico do Emotet?
Identificado pela primeira vez em 2014, o Emotet continua infectando sistemas e prejudicando os usuários até hoje, e é por isso que ainda estamos falando sobre ele, ao contrário de outras tendências de 2014 (Ice Bucket Challenge, alguém?).
A primeira versão do Emotet foi projetada para roubar detalhes de contas bancárias por meio da interceptação do tráfego da Internet. Pouco tempo depois, uma nova versão do software foi detectada. Essa versão, batizada de Emotet versão dois, veio com vários módulos, incluindo um sistema de transferência de dinheiro, um módulo de malspam e um módulo bancário que tinha como alvo bancos alemães e austríacos.
"As versões atuais do cavalo de Troia Emotet incluem a capacidade de instalar outros malwares nas máquinas infectadas. Esse malware pode incluir outros cavalos de Troia bancários ou serviços de entrega de malspam."
Em janeiro de 2015, uma nova versão do Emotet apareceu em cena. A versão três continha modificações furtivas projetadas para manter o malware fora do radar e adicionou novos alvos bancários suíços.
Avançando para 2018, as novas versões do cavalo de Troia Emotet incluem a capacidade de instalar outros malwares nas máquinas infectadas. Esse malware pode incluir outros cavalos de Troia e ransomware. Por exemplo, um ataque do Emotet em julho de 2019 em Lake City, Flórida, custou à cidade US$ 460.000 em pagamentos de ransomware, de acordo com o Gizmodo. Uma análise do ataque descobriu que o Emotet serviu apenas como vetor inicial de infecção. Uma vez infectado, o Emotet baixou outro cavalo de Troia bancário conhecido como TrickBot e o ransomware Ryuk.
Após um período relativamente discreto durante a maior parte de 2019, Emotet retornou com força total. Em setembro de 2019, Malwarebytes Labs Relatamos uma campanha de spam impulsionada por botnet , direcionada a vítimas alemãs, polonesas, italianas e inglesas, com assuntos cuidadosamente elaborados, como "Aviso de Remessa de Pagamento" e "Fatura Vencida". Abrir o documento infectado do Microsoft Word inicia uma macro, que por sua vez baixa o Emotet de sites WordPress comprometidos.
Quem é o alvo do Emotet?
Todo mundo é um alvo para o Emotet. Até o momento, o Emotet atacou indivíduos, empresas e entidades governamentais nos Estados Unidos e na Europa, roubando logins bancários, dados financeiros e até carteiras de Bitcoin.
Um ataque notável do Emotet à cidade de Allentown, PA, exigiu ajuda direta da equipe de resposta a incidentes da Microsoft para ser limpo e, segundo consta, custou à cidade mais de US$ 1 milhão para ser corrigido.
Agora que o Emotet está sendo usado para baixar e distribuir outros cavalos de Troia bancários, a lista de alvos é potencialmente ainda mais ampla. As primeiras versões do Emotet foram usadas para atacar clientes de bancos na Alemanha. Versões posteriores do Emotet visavam organizações no Canadá, no Reino Unido e nos Estados Unidos.
"Um ataque notável do Emotet à cidade de Allentown, PA, exigiu ajuda direta da equipe de resposta a incidentes da Microsoft para ser limpo e, segundo consta, custou à cidade mais de US$ 1 milhão para ser corrigido."
Como posso me proteger do Emotet?
Você já está dando o primeiro passo para proteger a si mesmo e aos seus usuários do Emotet ao aprender como o Emotet funciona. Aqui estão algumas etapas adicionais que você pode seguir:
- Mantenha seu computador/dispositivos atualizados com os patches mais recentes da Microsoft. Windows O TrickBot é frequentemente distribuído como um payload secundário do Emotet, e sabemos que o TrickBot depende do Windows A vulnerabilidade do EternalBlue permite que os cibercriminosos a explorem, portanto, corrija-a antes que possam tirar proveito dela.
- Não faça download de anexos suspeitos nem clique em um link de aparência duvidosa. O Emotet não conseguirá se estabelecer inicialmente em seu sistema ou rede se você evitar esses e-mails suspeitos. Dedique um tempo para instruir seus usuários sobre como identificar o malspam.
- Eduque a si mesmo e aos seus usuários sobre como criar uma senha forte. Enquanto estiver fazendo isso, comece a usar a autenticação de dois fatores.
- Você pode se proteger e proteger seus usuários do Emotet com um programa robusto de cibersegurança que inclui proteção em várias camadas. Malwarebytes Produtos comerciais e de consumo premium detectam e bloqueiam o Emotet em tempo real.
Como posso remover o Emotet?
Se você suspeita que já foi infectado pelo Emotet, não se desespere. Se o seu computador estiver conectado a uma rede, isole-o imediatamente. Uma vez isolado, proceda à aplicação de patches e à limpeza do sistema infectado. Mas você ainda não terminou. Devido à forma como o Emotet se espalha pela sua rede, um computador limpo pode ser reinfectado ao ser conectado novamente a uma rede infectada. Limpe cada computador da sua rede individualmente. É um processo tedioso, mas as soluções empresariais Malwarebytes podem facilitar, isolando e corrigindo endpoints infectados e oferecendo proteção proativa contra futuras infecções por Emotet.