Emotet é uma família de malware ativa desde 2014, operada por um grupo de cibercrime conhecido como Mealybug ou TA542. Embora tenha começado como um trojan bancário, mais tarde evoluiu para uma botnet que se tornou uma das ameaças mais prevalentes em todo o mundo. O Emotet se espalha por e-mails de spam; ele pode exfiltrar informações e distribuir malware de terceiros para computadores comprometidos. Os operadores do Emotet não são muito exigentes quanto aos seus alvos, instalando seu malware em sistemas pertencentes a indivíduos, empresas e organizações maiores.

Em janeiro de 2021, o Emotet foi alvo de uma takedown como resultado de um esforço internacional de colaboração de oito países coordenado pela Eurojust e Europol. No entanto, apesar desta operação, o Emotet voltou à vida em novembro de 2021.

Figura 1. Linha do tempo de eventos interessantes do Emotet desde seu retorno

Campanhas de spam

Após o retorno seguido por várias campanhas de spam no final de 2021, o início de 2022 continuou com essas tendências e nós registramos várias campanhas de spam lançadas por operadores Emotet. Durante esse tempo, o Emotet estava se espalhando principalmente por meio de documentos maliciosos do Microsoft Word e do Microsoft Excel com macros VBA incorporadas.

Em julho de 2022, a Microsoft mudou o jogo para todas as famílias de malware como Emotet e Qbot – que usavam e-mails de phishing com documentos maliciosos como método de propagação – desativando macros VBA em documentos obtidos na Internet. Essa mudança foi anunciou pela Microsoft no início do ano e implantado originalmente no início de abril, mas a atualização foi revertida devido ao feedback do usuário. O lançamento final ocorreu no final de julho de 2022 e, como pode ser visto na Figura 2, a atualização resultou em uma queda significativa nos comprometimentos do Emotet; não observamos nenhuma atividade significativa durante o verão de 2022.

Figura 2. Tendência de detecção de emotet, média móvel de sete dias

Desativar o principal vetor de ataque do Emotet fez com que seus operadores procurassem novas maneiras de comprometer seus alvos. Mealybug começou a experimentar com arquivos LNK e XLL maliciosos, mas quando o ano de 2022 estava terminando, os operadores do Emotet lutavam para encontrar um novo vetor de ataque que fosse tão eficaz quanto as macros VBA. Em 2023, eles executaram três campanhas distintas de malspam, cada uma testando uma via de invasão e uma técnica de engenharia social ligeiramente diferentes. No entanto, a diminuição do tamanho dos ataques e as constantes mudanças na abordagem podem sugerir insatisfação com os resultados.

A primeira dessas três campanhas aconteceu por volta de 8 de março^th, 2023, quando o botnet Emotet começou a distribuir documentos do Word, mascarados como faturas, com macros VBA maliciosas incorporadas. Isso era bastante estranho porque as macros VBA eram desativadas pela Microsoft por padrão, então as vítimas não podiam executar códigos maliciosos incorporados.

Em sua segunda campanha entre 13 de março^th e 18 Março^th, os invasores aparentemente reconheceram essas falhas e, além de usar a abordagem de cadeia de resposta, também mudaram de macros VBA para arquivos OneNote (ONE) com VBScripts incorporados. Se as vítimas abrissem o arquivo, elas eram recebidas pelo que parecia ser uma página protegida do OneNote, pedindo que clicassem em um botão Exibir para ver o conteúdo. Atrás desse elemento gráfico havia um VBScript oculto, configurado para baixar o Emotet DLL.

Apesar de um aviso do OneNote de que essa ação pode levar a conteúdo malicioso, as pessoas tendem a clicar em prompts semelhantes por hábito e, portanto, podem permitir que os invasores comprometam seus dispositivos.

A última campanha observada na telemetria ESET foi lançada em 20 de março^th, aproveitando a próxima data de vencimento do imposto de renda nos Estados Unidos. Os e-mails maliciosos enviados pelo botnet fingiam vir do Internal Revenue Service (IRS) do escritório de impostos dos EUA e carregavam um arquivo anexado chamado W-9 form.zip. O arquivo ZIP incluído continha um documento do Word com uma macro VBA maliciosa incorporada que a vítima provavelmente teve que permitir. Além desta campanha, direcionada especificamente para os EUA, também observamos outra campanha usando VBScripts incorporados e abordagem OneNote que estava em andamento na mesma época.

Como pode ser visto na Figura 3, a maioria dos ataques detectados pela ESET foram direcionados ao Japão (43%), Itália (13%), embora esses números possam ser influenciados pela forte base de usuários da ESET nessas regiões. Depois de retirar esses dois primeiros países (para focar no resto do mundo), na Figura 4 pode ser visto que o resto do mundo também foi atingido, com a Espanha (5%) em terceiro lugar seguida pelo México (5%) %) e África do Sul (4%).

Figura 3. Detecções de Emotet Jan 2022 – Jun 2023

Figura 4. Detecções de Emotet Jan 2022 – Jun 2023 (JP e IT excluídos)

Proteção aprimorada e ofuscações

Após seu reaparecimento, o Emotet recebeu várias atualizações. A primeira característica notável é que o botnet trocou seu esquema criptográfico. Antes da queda, o Emotet usava RSA como seu esquema assimétrico primário e, após o reaparecimento, o botnet começou a usar criptografia de curva elíptica. Atualmente, todo módulo Downloader (também chamado de módulo principal) vem com duas chaves públicas incorporadas. Um é usado para o protocolo de troca de chaves Diffie Hellman da curva elíptica e o outro é usado para uma verificação de assinatura – algoritmo de assinatura digital.

Além de atualizar o malware Emotet para a arquitetura de 64 bits, o Mealybug também implementou vários novos ofuscamentos para proteger seus módulos. A primeira ofuscação notável é o nivelamento do fluxo de controle, que pode retardar significativamente a análise e localizar partes interessantes do código nos módulos do Emotet.

Mealybug também implementou e melhorou sua implementação de muitas técnicas de randomização, das quais as mais notáveis ​​são a randomização da ordem dos membros da estrutura e a randomização de instruções que calculam constantes (as constantes são mascaradas).

Mais uma atualização que vale a pena mencionar aconteceu durante o último trimestre de 2022, quando os módulos começaram a usar filas de timer. Com eles, a função principal dos módulos e a parte de comunicação dos módulos foram definidas como uma função de retorno de chamada, que é invocada por vários threads e tudo isso é combinado com o nivelamento do fluxo de controle, onde o valor do estado que gerencia qual bloco de código é a ser invocado é compartilhado entre as threads. Essa ofuscação se soma a outro obstáculo na análise e dificulta ainda mais o acompanhamento do fluxo de execução.

Novos módulos

Para continuar sendo um malware lucrativo e predominante, o Mealybug implementou vários novos módulos, mostrados em amarelo na Figura 5. Alguns deles foram criados como um mecanismo de defesa para a botnet, outros para uma disseminação mais eficiente do malware e, por último, mas não menos importante, um módulo que rouba informações que podem ser usadas para roubar o dinheiro da vítima.

Figura 5. Módulos mais usados ​​do Emotet. O vermelho existia antes da queda; amarelo apareceu após o retorno

Thunderbird Email Stealer e Thunderbird Contact Stealer

O Emotet se espalha por e-mails de spam e as pessoas geralmente confiam nesses e-mails, porque o Emotet usa com sucesso uma técnica de seqüestro de e-mail. Antes da remoção, o Emotet usava módulos que chamamos de Outlook Contact Stealer e Outlook Email Stealer, que eram capazes de roubar e-mails e informações de contato do Outlook. Mas como nem todo mundo usa o Outlook, após a remoção, o Emotet também se concentrou em um aplicativo de e-mail alternativo gratuito - o Thunderbird.

O Emotet pode implantar um módulo Thunderbird Email Stealer no computador comprometido, que (como o nome sugere) é capaz de roubar e-mails. O módulo pesquisa os arquivos Thunderbird contendo mensagens recebidas (no formato MBOX) e rouba dados de vários campos, incluindo remetente, destinatários, assunto, data e conteúdo da mensagem. Todas as informações roubadas são então enviadas para um servidor C&C para processamento adicional.

Juntamente com o Thunderbird Email Stealer, o Emotet também implanta um Thunderbird Contact Stealer, que é capaz de roubar informações de contato do Thunderbird. Este módulo também pesquisa nos arquivos do Thunderbird, desta vez procurando por mensagens recebidas e enviadas. A diferença é que este módulo apenas extrai informações do Desde:, Até:, CC: e Cc: campos e cria um gráfico interno de quem se comunicou com quem, onde os nós são pessoas e há uma vantagem entre duas pessoas se elas se comunicaram entre si. Na próxima etapa, o módulo ordena os contatos roubados – começando pelas pessoas mais interconectadas – e envia essas informações para um servidor C&C.

Todo este esforço é complementado por dois módulos adicionais (que já existiam antes do takedown) – o módulo MailPassView Stealer e o módulo Spammer. MailPassView Stealer abusa de uma ferramenta NirSoft legítima para recuperação de senha e rouba credenciais de aplicativos de e-mail. Quando e-mails roubados, credenciais e informações sobre quem está em contato com quem são processados, o Mealybug cria e-mails maliciosos que parecem uma resposta a conversas roubadas anteriormente e envia esses e-mails junto com as credenciais roubadas para um módulo Spammer que usa essas credenciais para enviar respostas maliciosas a conversas de e-mail anteriores via SMTP.

Ladrão de cartão de crédito do Google Chrome

Como o nome sugere, o Google Chrome Credit Card Stealer rouba informações sobre cartões de crédito armazenados no navegador Google Chrome. Para conseguir isso, o módulo usa uma biblioteca SQLite3 vinculada estaticamente para acessar o arquivo de banco de dados Web Data geralmente localizado em %LOCALAPPDATA%GoogleChromeUser DataPadrãoDados da Web. O módulo consulta a tabela cartões de crédito para nome_do_cartão, Mês de validade, vencimento_ano e card_number_encrypted, contendo informações sobre cartões de crédito salvos no perfil padrão do Google Chrome. Na última etapa, o valor card_number_encrypted é descriptografado usando a chave armazenada no %LOCALAPPDATA%GoogleChromeUser DataArquivo de estado local e todas as informações são enviadas para um servidor C&C.

Módulos Systeminfo e Hardwareinfo

Logo após o retorno do Emotet, em novembro de 2021 surgiu um novo módulo que chamamos de Systeminfo. Este módulo coleta informações sobre um sistema comprometido e as envia para o servidor C&C. As informações coletadas consistem em:

• Saída do SystemInfo comando
• Saída do ipconfig / all comando
• Saída do nltest /dclista: comando (removido em outubro de 2022)
• Lista de processos
• Tempo de atividade (obtido via Gettickcount) em segundos (removido em outubro de 2022)

In Outubro de 2022 Os operadores do Emotet lançaram outro novo módulo que chamamos de Hardwareinfo. Ainda que não roube exclusivamente informações sobre o hardware da máquina comprometida, ele serve como fonte complementar de informações ao módulo Systeminfo. Este módulo coleta os seguintes dados da máquina comprometida:

• nome do computador
• Nome de Utilizador
• Informações de versão do sistema operacional, incluindo números de versão principal e secundária
• ID da sessão
• Cadeia de marca da CPU
• Informações sobre tamanho e uso da RAM

Ambos os módulos têm um objetivo principal – verificar se a comunicação vem de uma vítima legitimamente comprometida ou não. O Emotet foi, especialmente após seu retorno, um tópico muito importante na indústria de segurança de computadores e entre os pesquisadores, então o Mealybug fez um grande esforço para se proteger do rastreamento e monitoramento de suas atividades. Graças às informações coletadas por esses dois módulos que não apenas coletam dados, mas também contêm truques anti-rastreamento e anti-análise, os recursos do Mealybug para diferenciar vítimas reais de atividades de pesquisadores de malware ou sandboxes foram significativamente aprimorados.

Qual é o próximo?

De acordo com a pesquisa e telemetria da ESET, ambas as épocas da botnet estão silenciosas desde o início de abril de 2023. Atualmente, não está claro se este é mais um período de férias para os autores, se eles lutam para encontrar um novo vetor de infecção eficaz ou se há alguém novo operando o botnet.

Embora não possamos confirmar os rumores de que um ou ambos os Epochs da botnet foram vendidos para alguém em janeiro de 2023, notamos uma atividade incomum em um dos Epochs. A atualização mais recente do módulo downloader continha uma nova funcionalidade, que registra os estados internos do módulo e rastreia sua execução em um arquivo C:JSmithLoader (Figura 6, Figura 7). Como esse arquivo precisa existir para realmente registrar algo, essa funcionalidade parece uma saída de depuração para alguém que não entende completamente o que o módulo faz e como ele funciona. Além disso, naquela época a botnet também estava espalhando amplamente os módulos Spammer, que são considerados mais preciosos para Mealybug porque historicamente eles usavam esses módulos apenas em máquinas que eram consideradas por eles como seguras.

Figura 6. Log do comportamento do módulo downloader

Figura 7. Log do comportamento do módulo downloader

Seja qual for a explicação de por que o botnet está quieto agora é verdade, o Emotet é conhecido por sua eficácia e seus operadores fizeram um esforço para reconstruir e manter o botnet e até mesmo adicionar algumas melhorias, então acompanhe nosso blog para ver o que o futuro trará nós.

IoCs

Arquivos

Network

Técnicas MITER ATT e CK

Esta tabela foi construída usando versão 12 das técnicas empresariais MITRE ATT&CK.

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Automotivo / EVs, Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• BlockOffsets. Modernizando a Propriedade de Compensação Ambiental. Acesse aqui.
• Fonte: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/