Emotet est une famille de logiciels malveillants active depuis 2014, exploitée par un groupe de cybercriminalité connu sous le nom de Mealybug ou TA542. Bien qu'il ait commencé comme un cheval de Troie bancaire, il a ensuite évolué pour devenir un botnet qui est devenu l'une des menaces les plus répandues dans le monde. Emotet se propage via des spams ; il peut exfiltrer des informations à partir d'ordinateurs compromis et y diffuser des logiciels malveillants tiers. Les opérateurs d'Emotet ne sont pas très pointilleux sur leurs cibles, installant leurs logiciels malveillants sur des systèmes appartenant à des particuliers ainsi qu'à des entreprises et à de plus grandes organisations.

En janvier 2021, Emotet a été la cible d'un takedown à la suite d'un effort de collaboration internationale de huit pays coordonné par Eurojust et Europol. Cependant, malgré cette opération, Emotet a repris vie en novembre 2021.

Figure 1. Chronologie des événements Emotet intéressants depuis son retour

Campagnes de spam

Après le retour suivi de multiples campagnes de spam fin 2021, le début 2022 a continué avec ces tendances et nous nous sommes inscrits plusieurs campagnes de spam lancées par les opérateurs Emotet. Pendant ce temps, Emotet se propageait principalement via des documents Microsoft Word et Microsoft Excel malveillants avec des macros VBA intégrées.

En juillet 2022, Microsoft a changé la donne pour toutes les familles de logiciels malveillants comme Emotet et Qbot - qui avaient utilisé des e-mails de phishing avec des documents malveillants comme méthode de propagation - en désactivant les macros VBA dans les documents obtenus sur Internet. Ce changement a été annoncé par Microsoft au début de l'année et déployé initialement début avril, mais la mise à jour a été annulée en raison des commentaires des utilisateurs. Le déploiement final a eu lieu fin juillet 2022 et, comme le montre la figure 2, la mise à jour a entraîné une baisse significative des compromis Emotet ; nous n'avons pas observé d'activité significative durant l'été 2022.

Figure 2. Tendance de détection Emotet, moyenne mobile sur sept jours

La désactivation du vecteur d'attaque principal d'Emotet a poussé ses opérateurs à rechercher de nouvelles façons de compromettre leurs cibles. Cochenille commencé à expérimenter avec des fichiers LNK et XLL malveillants, mais à la fin de l'année 2022, les opérateurs d'Emotet ont eu du mal à trouver un nouveau vecteur d'attaque qui serait aussi efficace que les macros VBA. En 2023, ils ont mené trois campagnes de spam distinctes, chacune testant une voie d'intrusion et une technique d'ingénierie sociale légèrement différentes. Cependant, la taille réduite des attaques et les changements constants dans l'approche peuvent suggérer une insatisfaction quant aux résultats.

La première de ces trois campagnes s'est déroulée vers le 8 mars^th, 2023, lorsque le botnet Emotet a commencé à distribuer des documents Word, masqués comme des factures, avec des macros VBA malveillantes intégrées. C'était assez étrange car les macros VBA étaient désactivées par Microsoft par défaut, de sorte que les victimes ne pouvaient pas exécuter de code malveillant intégré.

Dans leur deuxième campagne entre le 13 mars^th et 18 Mars^th, les attaquants ont apparemment reconnu ces failles et, en plus d'utiliser l'approche de la chaîne de réponse, ils sont également passés des macros VBA aux fichiers OneNote (ONE) avec des VBScripts intégrés. Si les victimes ouvraient le fichier, elles étaient accueillies par ce qui ressemblait à une page OneNote protégée, leur demandant de cliquer sur un bouton Afficher pour voir le contenu. Derrière cet élément graphique se trouvait un VBScript caché, configuré pour télécharger la DLL Emotet.

Malgré un avertissement OneNote indiquant que cette action pourrait conduire à un contenu malveillant, les gens ont tendance à cliquer sur des invites similaires par habitude et peuvent donc potentiellement permettre aux attaquants de compromettre leurs appareils.

La dernière campagne observée dans la télémétrie ESET a été lancée le 20 mars^th, profitant de la prochaine date d'échéance de l'impôt sur le revenu aux États-Unis. Les e-mails malveillants envoyés par le botnet prétendaient provenir du fisc américain Internal Revenue Service (IRS) et contenaient un fichier d'archive joint nommé W-9 form.zip. Le fichier ZIP inclus contenait un document Word avec une macro VBA malveillante intégrée que la victime visée devait probablement permettre. Outre cette campagne, ciblant spécifiquement les États-Unis, nous avons également observé une autre campagne utilisant l'approche VBScripts et OneNote intégrée qui était en cours au même moment.

Comme le montre la figure 3, la plupart des attaques détectées par ESET visaient le Japon (43 %), l'Italie (13 %), bien que ces chiffres puissent être biaisés par la forte base d'utilisateurs d'ESET dans ces régions. Après avoir retiré ces deux premiers pays (afin de se concentrer sur le reste du monde), dans la figure 4, on peut voir que le reste du monde a également été touché, avec l'Espagne (5 %) à la troisième place suivie du Mexique (5 %) et l'Afrique du Sud (4 %).

Figure 3. Détections Emotet de janvier 2022 à juin 2023

Figure 4. Détections Emotet de janvier 2022 à juin 2023 (JP et IT exclus)

Protection et obfuscation améliorées

Après sa réapparition, Emotet a obtenu plusieurs mises à niveau. La première caractéristique notable est que le botnet a changé son schéma cryptographique. Avant le retrait, Emotet utilisait RSA comme schéma asymétrique principal et après la réapparition, le botnet a commencé à utiliser la cryptographie à courbe elliptique. Actuellement, chaque module Downloader (également appelé module principal) est livré avec deux clés publiques intégrées. L'un est utilisé pour le protocole d'échange de clé Diffie Hellman à courbe elliptique et l'autre est utilisé pour une vérification de signature - Algorithme de signature numérique.

Outre la mise à jour du logiciel malveillant Emotet vers une architecture 64 bits, Mealybug a également mis en place plusieurs nouvelles obfuscations pour protéger ses modules. Le premier obscurcissement notable est l'aplatissement du flux de contrôle, qui peut considérablement ralentir l'analyse et localiser les parties de code intéressantes dans les modules d'Emotet.

Mealybug a également mis en œuvre et amélioré sa mise en œuvre de nombreuses techniques de randomisation, dont les plus notables sont la randomisation de l'ordre des membres de la structure et la randomisation des instructions qui calculent les constantes (les constantes sont masquées).

Une autre mise à jour qui mérite d'être mentionnée s'est produite au cours du dernier trimestre de 2022, lorsque les modules ont commencé à utiliser des files d'attente de minuterie. Avec ceux-ci, la fonction principale des modules et la partie communication des modules ont été définies comme une fonction de rappel, qui est invoquée par plusieurs threads et tout cela est combiné avec l'aplatissement du flux de contrôle, où la valeur d'état qui gère quel bloc de code est à invoquer est partagé entre les threads. Cet obscurcissement s'ajoute à un autre obstacle dans l'analyse et rend le suivi du flux d'exécution encore plus difficile.

De nouveaux modules

Pour rester un logiciel malveillant rentable et répandu, Mealybug a implémenté plusieurs nouveaux modules, illustrés en jaune sur la figure 5. Certains d'entre eux ont été créés comme un mécanisme défensif pour le botnet, d'autres pour une propagation plus efficace du logiciel malveillant, et enfin, un module qui vole des informations pouvant être utilisées pour voler l'argent de la victime.

Figure 5. Les modules les plus fréquemment utilisés d'Emotet. Le rouge existait avant le démontage ; le jaune est apparu après le retour

Thunderbird Email Stealer et Thunderbird Contact Stealer

Emotet se propage via des spams et les gens font souvent confiance à ces e-mails, car Emotet utilise avec succès une technique de détournement de fil de discussion. Avant le retrait, Emotet utilisait des modules que nous appelons Outlook Contact Stealer et Outlook Email Stealer, qui étaient capables de voler des e-mails et des informations de contact à partir d'Outlook. Mais parce que tout le monde n'utilise pas Outlook, après le retrait, Emotet s'est également concentré sur une application de messagerie alternative gratuite - Thunderbird.

Emotet peut déployer un module Thunderbird Email Stealer sur l'ordinateur compromis, qui (comme son nom l'indique) est capable de voler des e-mails. Le module recherche dans les fichiers Thunderbird contenant les messages reçus (au format MBOX) et vole les données de plusieurs champs, notamment l'expéditeur, les destinataires, l'objet, la date et le contenu du message. Toutes les informations volées sont ensuite envoyées à un serveur C&C pour un traitement ultérieur.

En collaboration avec Thunderbird Email Stealer, Emotet déploie également un Thunderbird Contact Stealer, qui est capable de voler les informations de contact de Thunderbird. Ce module recherche également dans les fichiers Thunderbird, cette fois à la recherche des messages reçus et envoyés. La différence est que ce module ne fait qu'extraire des informations du À partir de, À:, CC: ainsi que Cc: champs et crée un graphique interne de qui a communiqué avec qui, où les nœuds sont des personnes, et il y a un avantage entre deux personnes si elles ont communiqué entre elles. Dans l'étape suivante, le module ordonne les contacts volés - en commençant par les personnes les plus interconnectées - et envoie ces informations à un serveur C&C.

Tout cet effort est complété par deux modules supplémentaires (qui existaient déjà avant le retrait) - le module MailPassView Stealer et le module Spammer. MailPassView Stealer abuse d'un outil NirSoft légitime pour la récupération de mot de passe et vole les informations d'identification des applications de messagerie. Lorsque des e-mails volés, des informations d'identification et des informations sur qui est en contact avec qui sont traités, Mealybug crée des e-mails malveillants qui ressemblent à une réponse à des conversations précédemment volées et envoie ces e-mails avec les informations d'identification volées à un module Spammer qui utilise ces informations d'identification pour envoyer réponses malveillantes aux conversations par e-mail précédentes via SMTP.

Voleur de carte de crédit Google Chrome

Comme son nom l'indique, Google Chrome Credit Card Stealer vole des informations sur les cartes de crédit stockées dans le navigateur Google Chrome. Pour ce faire, le module utilise une bibliothèque SQLite3 liée statiquement pour accéder au fichier de base de données Web Data généralement situé dans %LOCALAPPDATA%Données utilisateur GoogleChromeDonnées Web par défaut. Le module interroge la table cartes de crédit en nom_de_carte, mois d'expiration, expiration_annéeet numéro_de_carte_chiffré, contenant des informations sur les cartes de crédit enregistrées dans le profil Google Chrome par défaut. Dans la dernière étape, la valeur card_number_encrypted est déchiffrée à l'aide de la clé stockée dans le %LOCALAPPDATA%GoogleChromeUser DataFichier d'état local et toutes les informations sont envoyées à un serveur C&C.

Modules Systeminfo et Hardwareinfo

Peu de temps après le retour d'Emotet, en novembre 2021, un nouveau module que nous appelons Systeminfo est apparu. Ce module collecte des informations sur un système compromis et les envoie au serveur C&C. Les informations collectées consistent en :

• Sortie du systeminfo commander
• Sortie du ipconfig / all commander
• Sortie du nltest /dclist : commande (supprimée en octobre 2022)
• Liste des processus
• Disponibilité (obtenue via Gettickcount) en secondes (supprimé en octobre 2022)

In Octobre 2022 Les opérateurs d'Emotet ont publié un autre nouveau module que nous appelons Hardwareinfo. Même s'il ne vole pas exclusivement des informations sur le matériel d'une machine compromise, il sert de source d'informations complémentaire au module Systeminfo. Ce module collecte les données suivantes de la machine compromise :

• nom de l'ordinateur
• Nom d'utilisateur
• Informations sur la version du système d'exploitation, y compris les numéros de version majeure et mineure
• Session ID
• Chaîne de marque du processeur
• Informations sur la taille et l'utilisation de la RAM

Les deux modules ont un objectif principal : vérifier si la communication provient d'une victime légitimement compromise ou non. Emotet était, surtout après son retour, un sujet très brûlant dans l'industrie de la sécurité informatique et parmi les chercheurs, alors Mealybug s'est donné beaucoup de mal pour se protéger du suivi et de la surveillance de ses activités. Grâce aux informations collectées par ces deux modules qui non seulement collectent des données, mais contiennent également des astuces anti-pistage et anti-analyse, les capacités de Mealybug à distinguer les vraies victimes des activités des chercheurs de logiciels malveillants ou des bacs à sable ont été considérablement améliorées.

Quelle est la prochaine?

Selon la recherche et la télémétrie d'ESET, les deux époques du botnet sont calmes depuis le début d'avril 2023. Actuellement, il n'est pas clair s'il s'agit encore d'une autre période de vacances pour les auteurs, s'ils ont du mal à trouver un nouveau vecteur d'infection efficace, ou si il y a quelqu'un de nouveau qui exploite le botnet.

Même si nous ne pouvons pas confirmer les rumeurs selon lesquelles une ou les deux Epochs du botnet ont été vendues à quelqu'un en janvier 2023, nous avons remarqué une activité inhabituelle sur l'une des Epochs. La dernière mise à jour du module de téléchargement contenait une nouvelle fonctionnalité, qui enregistre les états internes du module et suit son exécution dans un fichier C:JSmithLoader (Figure 6, Figure 7). Étant donné que ce fichier doit exister pour enregistrer réellement quelque chose, cette fonctionnalité ressemble à une sortie de débogage pour quelqu'un qui ne comprend pas complètement ce que fait le module et comment il fonctionne. De plus, à cette époque, le botnet diffusait également à grande échelle des modules Spammer, considérés comme plus précieux pour Mealybug car, historiquement, ils n'utilisaient ces modules que sur des machines qu'ils considéraient comme sûres.

Figure 6. Journalisation du comportement du module de téléchargement

Figure 7. Journalisation du comportement du module de téléchargement

Quelle que soit l'explication de la raison pour laquelle le botnet est silencieux maintenant, Emotet est connu pour son efficacité et ses opérateurs se sont efforcés de reconstruire et de maintenir le botnet et même d'ajouter quelques améliorations, alors suivez notre blog pour voir ce que l'avenir apportera nous.

IoCs

Fichiers

Réseau

Techniques d'ATT&CK D'ONGLET

Ce tableau a été construit avec Version 12 des techniques d'entreprise MITRE ATT&CK.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Automobile / VE, Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• Décalages de bloc. Modernisation de la propriété des compensations environnementales. Accéder ici.
• La source: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/