Emotet, Mealybug veya TA2014 olarak bilinen bir siber suç grubu tarafından işletilen, 542'ten beri aktif olan bir kötü amaçlı yazılım ailesidir. Bir bankacılık truva atı olarak başlamasına rağmen, daha sonra dünya çapında en yaygın tehditlerden biri haline gelen bir botnet'e dönüştü. Emotet spam e-postalar aracılığıyla yayılır; güvenliği ihlal edilmiş bilgisayarlardan bilgi sızdırabilir ve üçüncü taraf kötü amaçlı yazılımları bu bilgisayarlara iletebilir. Emotet operatörleri hedefleri konusunda çok seçici değiller, kötü amaçlı yazılımlarını bireylere, şirketlere ve daha büyük kuruluşlara ait sistemlere yüklüyorlar.

Ocak 2021'de Emotet, bir sökme Eurojust ve Europol tarafından koordine edilen sekiz ülkenin uluslararası, ortak çabasının bir sonucu olarak. Ancak bu operasyona rağmen Emotet, Kasım 2021'de yeniden hayata döndü.

Şekil 1. Geri dönüşünden bu yana ilginç Emotet olaylarının zaman çizelgesi

Spam kampanyaları

2021'in sonunda birden fazla spam kampanyasının takip ettiği geri dönüşün ardından 2022'nin başı bu trendlerle devam etti ve kayıt olduk Emotet operatörleri tarafından başlatılan çoklu spam kampanyaları. Bu süre zarfında Emotet, esas olarak gömülü VBA makroları içeren kötü amaçlı Microsoft Word ve Microsoft Excel belgeleri aracılığıyla yayılıyordu.

Temmuz 2022'de Microsoft, yayma yöntemi olarak kötü amaçlı belgeler içeren kimlik avı e-postalarını kullanan Emotet ve Qbot gibi tüm kötü amaçlı yazılım aileleri için, internetten alınan belgelerde VBA makrolarını devre dışı bırakarak oyunu değiştirdi. Bu değişiklik açıkladı Microsoft tarafından yılın başında ve ilk olarak Nisan başında dağıtıldı, ancak güncelleme kullanıcı geri bildirimleri nedeniyle geri alındı. Nihai sunum, Temmuz 2022'nin sonunda geldi ve Şekil 2'de görülebileceği gibi, güncelleme Emotet tavizlerinde önemli bir düşüşle sonuçlandı; 2022 yazında kayda değer bir hareketlilik gözlemlemedik.

Şekil 2. Duygu algılama eğilimi, yedi günlük hareketli ortalama

Emotet'in ana saldırı vektörünün devre dışı bırakılması, operatörlerinin hedeflerini tehlikeye atmak için yeni yollar aramasına neden oldu. unlu böceği denemeye başladı ancak 2022 yılı sona ererken Emotet operatörleri, VBA makroları kadar etkili olacak yeni bir saldırı vektörü bulmakta zorlandı. 2023'te, her biri biraz farklı bir izinsiz giriş yolunu ve sosyal mühendislik tekniğini test eden üç farklı kötü amaçlı spam kampanyası yürüttüler. Bununla birlikte, saldırıların küçülen boyutu ve yaklaşımdaki sürekli değişiklikler, sonuçlardan memnuniyetsizlik anlamına gelebilir.

Bu üç kampanyadan ilki 8 Mart civarında gerçekleşti.^th2023, Emotet botnet, gömülü kötü amaçlı VBA makroları içeren, fatura olarak maskelenmiş Word belgelerini dağıtmaya başladığında. Bu oldukça garipti, çünkü VBA makroları Microsoft tarafından varsayılan olarak devre dışı bırakıldı, bu nedenle kurbanlar gömülü kötü amaçlı kod çalıştıramadı.

13 Mart arasındaki ikinci kampanyalarında^th ve 18 Mart^th, saldırganlar görünüşe göre bu kusurları kabul ettiler ve yanıt zinciri yaklaşımını kullanmanın yanı sıra, VBA makrolarından gömülü VBScripts içeren OneNote dosyalarına (ONE) geçtiler. Kurbanlar dosyayı açarsa, korumalı bir OneNote sayfası gibi görünen bir şey tarafından karşılandılar ve içeriği görmek için bir Görüntüle düğmesini tıklamalarını istediler. Bu grafik öğesinin arkasında, Emotet DLL'yi indirmek için ayarlanmış gizli bir VBScript vardı.

Bu eylemin kötü amaçlı içeriğe yol açabileceğine dair bir OneNote uyarısına rağmen, insanlar alışkanlıkla benzer istemlere tıklama eğilimindedir ve bu nedenle potansiyel olarak saldırganların cihazlarının güvenliğini aşmasına izin verebilir.

ESET telemetrisinde gözlemlenen son kampanya 20 Mart'ta başlatıldı^th, Amerika Birleşik Devletleri'nde yaklaşan gelir vergisi son ödeme tarihinden yararlanarak. Botnet tarafından gönderilen kötü amaçlı e-postalar, ABD vergi dairesi Internal Revenue Service'ten (IRS) geliyormuş gibi görünüyordu ve ekte W-9 form.zip adlı bir arşiv dosyası taşıyordu. Dahil edilen ZIP dosyası, amaçlanan kurbanın muhtemelen yapmak zorunda kaldığı gömülü kötü amaçlı bir VBA makrosu içeren bir Word belgesi içeriyordu. etkinleştirmek. ABD'ye özel bu kampanya dışında, gömülü VBScripts ve OneNote yaklaşımını kullanan ve aynı zamanda devam eden bir kampanya daha gözlemledik.

Şekil 3'te görülebileceği gibi, ESET tarafından tespit edilen saldırıların çoğu Japonya'yı (%43) ve İtalya'yı (%13) hedef alsa da, bu rakamlar bu bölgelerdeki güçlü ESET kullanıcı tabanı tarafından önyargılı olabilir. Bu ilk iki ülkeyi çıkardıktan sonra (dünyanın geri kalanına odaklanmak için), Şekil 4'te dünyanın geri kalanının da etkilendiği görülebilir, üçüncü sırada İspanya (%5) ve ardından Meksika (%5) gelir. %) ve Güney Afrika (%4).

Şekil 3. İfade algılamaları Ocak 2022 – Haziran 2023

Şekil 4. Emotet tespitleri Ocak 2022 – Haziran 2023 (JP ve IT hariç)

Gelişmiş koruma ve karartmalar

Emotet yeniden ortaya çıktıktan sonra birden çok yükseltme aldı. İlk dikkate değer özellik, botnet'in kriptografik düzenini değiştirmesidir. Yayından kaldırmadan önce Emotet, birincil asimetrik şeması olarak RSA'yı kullandı ve yeniden ortaya çıktıktan sonra botnet, Eliptik eğri kriptografisini kullanmaya başladı. Şu anda her İndirici modülü (Ana modül olarak da adlandırılır) iki katıştırılmış ortak anahtarla birlikte gelir. Biri Eliptik eğri Diffie Hellman anahtar değişim protokolü için, diğeri ise imza doğrulaması için kullanılır - Dijital imza algoritması.

Emotet kötü amaçlı yazılımını 64 bit mimariye güncellemenin yanı sıra Mealybug, modüllerini korumak için çok sayıda yeni gizleme uyguladı. İlk dikkate değer karartma, Emotet'in modüllerinde kodun ilginç kısımlarını bulmayı ve analizi önemli ölçüde yavaşlatabilen kontrol akışı düzleştirmesidir.

Mealybug ayrıca birçok rastgeleleştirme tekniğini uyguladı ve uygulamasını geliştirdi; bunlardan en dikkate değer olanı, yapı üyelerinin sırasının rastgeleleştirilmesi ve sabitleri (sabitler maskelenir) hesaplayan talimatların rastgeleleştirilmesidir.

Modüllerin zamanlayıcı kuyruklarını kullanmaya başladığı 2022'nin son çeyreğinde, bahsetmeye değer bir güncelleme daha gerçekleşti. Bunlarla, modüllerin ana işlevi ve modüllerin iletişim kısmı, birden çok iş parçacığı tarafından çağrılan bir geri arama işlevi olarak ayarlandı ve tüm bunlar, hangi kod bloğunu yöneten durum değerinin olduğu kontrol akışı düzleştirme ile birleştirildi. çağrılacak olan iş parçacığı arasında paylaşılır. Bu şaşırtma, analizde başka bir engel oluşturur ve yürütme akışının izlenmesini daha da zorlaştırır.

Yeni modüller

Mealybug, kârlı ve yaygın kötü amaçlı yazılım olarak kalmak için, Şekil 5'te sarı ile gösterilen birden çok yeni modül uyguladı. Bunlardan bazıları botnet için bir savunma mekanizması, diğerleri kötü amaçlı yazılımın daha verimli yayılması için ve son olarak bir modül kurbanın parasını çalmak için kullanılabilecek bilgileri çalan.

Şekil 5. Emotet'in en sık kullanılan modülleri. Kırmızı, yayından kaldırmadan önce de vardı; geri dönüşten sonra sarı çıktı

Thunderbird E-posta Hırsızı ve Thunderbird İletişim Hırsızı

Emotet, istenmeyen e-postalar aracılığıyla yayılır ve insanlar genellikle bu e-postalara güvenir, çünkü Emotet bir e-posta dizisini ele geçirme tekniğini başarıyla kullanır. Kaldırılmadan önce Emotet, Outlook'tan e-postaları ve iletişim bilgilerini çalabilen Outlook Contact Stealer ve Outlook Email Stealer adını verdiğimiz modüller kullanıyordu. Ancak herkes Outlook kullanmadığından, Emotet kaldırıldıktan sonra ücretsiz bir alternatif e-posta uygulaması olan Thunderbird'e de odaklandı.

Emotet, tehlikeye atılan bilgisayara (adından da anlaşılacağı gibi) e-postaları çalabilen bir Thunderbird E-posta Hırsızı modülü yerleştirebilir. Modül, alınan mesajları (MBOX formatında) içeren Thunderbird dosyalarını arar ve gönderen, alıcılar, konu, tarih ve mesajın içeriği dahil olmak üzere birden çok alandan veri çalar. Çalınan tüm bilgiler daha sonra daha fazla işlenmek üzere bir C&C sunucusuna gönderilir.

Emotet, Thunderbird Email Stealer ile birlikte Thunderbird'den iletişim bilgilerini çalabilen bir Thunderbird Contact Stealer'ı da kullanır. Bu modül aynı zamanda Thunderbird dosyalarını da arar, bu sefer hem alınan hem de gönderilen mesajları arar. Aradaki fark, bu modülün yalnızca bilgileri Tarih aralığı:, için:, CC: ve cc: alanları ve kimin kiminle iletişim kurduğunu, düğümlerin nerede insanlar olduğunu ve birbirleriyle iletişim kuran iki kişi arasında bir kenar olduğunu gösteren dahili bir grafik oluşturur. Bir sonraki adımda, modül, birbirine en çok bağlı olan kişilerden başlayarak çalınan kişileri sıralar ve bu bilgileri bir C&C sunucusuna gönderir.

Tüm bu çaba, iki ek modülle (kaldırmadan önce zaten var olan) tamamlanıyor: MailPassView Stealer modülü ve Spammer modülü. MailPassView Stealer, şifre kurtarma için meşru bir NirSoft aracını kötüye kullanır ve e-posta uygulamalarından kimlik bilgilerini çalar. Çalınan e-postalar, kimlik bilgileri ve kimin kiminle iletişim halinde olduğuyla ilgili bilgiler işlendiğinde, Mealybug daha önce çalınan konuşmalara yanıt gibi görünen kötü amaçlı e-postalar oluşturur ve bu e-postaları çalınan kimlik bilgileriyle birlikte, bu kimlik bilgilerini göndermek için kullanan bir Spammer modülüne gönderir. önceki e-posta konuşmalarına SMTP yoluyla kötü niyetli yanıtlar.

Google Chrome Kredi Kartı Hırsızı

Adından da anlaşılacağı gibi, Google Chrome Credit Card Stealer, Google Chrome tarayıcısında saklanan kredi kartlarıyla ilgili bilgileri çalar. Bunu başarmak için modül, genellikle şu adreste bulunan Web Veri veritabanı dosyasına erişmek için statik olarak bağlantılı bir SQLite3 kitaplığı kullanır: %LOCALAPPDATA%GoogleChromeUser DataDefaultWeb Verileri. Modül tabloyu sorgular kredi kartları için kart_of_ad, son kullanma_ayı, son kullanma_yılı, ve kart_numarası_şifreli, varsayılan Google Chrome profiline kaydedilen kredi kartlarıyla ilgili bilgileri içerir. Son adımda, card_number_encrypted değerinin şifresi, içinde depolanan anahtar kullanılarak çözülür. %LOCALAPPDATA%GoogleChromeUser DataLocal State dosyası ve tüm bilgiler bir C&C sunucusuna gönderilir.

Systeminfo ve Hardwareinfo modülleri

Emotet'in dönüşünden kısa bir süre sonra Kasım 2021'de Systeminfo dediğimiz yeni bir modül karşımıza çıktı. Bu modül, güvenliği ihlal edilmiş bir sistem hakkında bilgi toplar ve bunu C&C sunucusuna gönderir. Toplanan bilgiler şunlardan oluşur:

• çıktısı systeminfo komuta
• çıktısı ipconfig / all komuta
• çıktısı en çok /dlist: komut (Ekim 2022'de kaldırıldı)
• İşlem listesi
• Çalışma süresi (üzerinden elde edilen GetTickCount) saniye cinsinden (Ekim 2022'de kaldırıldı)

In Ekim 2022 Emotet'in operatörleri, Hardwareinfo adını verdiğimiz yeni bir modül daha yayınladı. Güvenliği ihlal edilmiş bir makinenin donanımı hakkında özel olarak bilgi çalmasa da, Systeminfo modülü için tamamlayıcı bir bilgi kaynağı olarak hizmet eder. Bu modül, güvenliği ihlal edilmiş makineden aşağıdaki verileri toplar:

• bilgisayar adı
• Kullanıcı Adı
• Ana ve alt sürüm numaraları dahil olmak üzere işletim sistemi sürüm bilgileri
• Oturum kimliği
• CPU marka dizisi
• RAM boyutu ve kullanımı hakkında bilgi

Her iki modülün de tek bir birincil amacı vardır - iletişimin yasal olarak güvenliği ihlal edilmiş bir kurbandan gelip gelmediğini doğrulamak. Emotet, özellikle geri dönüşünden sonra, bilgisayar güvenliği endüstrisinde ve araştırmacılar arasında gerçekten sıcak bir konuydu, bu yüzden Mealybug, faaliyetlerini izlemekten ve izlemekten kendilerini korumak için büyük çaba sarf etti. Yalnızca veri toplamakla kalmayan, aynı zamanda izleme önleme ve analiz önleme hileleri de içeren bu iki modül tarafından toplanan bilgiler sayesinde, Mealybug'ın gerçek kurbanları kötü amaçlı yazılım araştırmacılarının faaliyetlerinden veya sanal alanlardan ayırt etme yetenekleri önemli ölçüde iyileştirildi.

Sıradaki ne?

ESET araştırmasına ve telemetriye göre, botnet'in her iki Epoch'u da Nisan 2023'ün başından beri sessiz. botnet'i çalıştıran yeni biri var.

Botnet'in Epoch'larından birinin veya her ikisinin Ocak 2023'te birine satıldığına dair söylentileri doğrulayamasak da, Epoch'lardan birinde olağandışı bir aktivite fark ettik. İndirme modülünün en yeni güncellemesi, modülün iç durumlarını günlüğe kaydeden ve yürütülmesini bir dosyaya kadar izleyen yeni bir işlevsellik içeriyordu. C:JSmithYükleyici (Şekil 6, Şekil 7). Bir şeyi gerçekten günlüğe kaydetmek için bu dosyanın mevcut olması gerektiğinden, bu işlevsellik, modülün ne yaptığını ve nasıl çalıştığını tam olarak anlamayan biri için bir hata ayıklama çıktısı gibi görünür. Ayrıca, o zamanlar botnet, Mealybug için daha değerli olduğu düşünülen Spammer modüllerini de yaygın bir şekilde yaydı çünkü tarihsel olarak bu modülleri yalnızca kendileri tarafından güvenli kabul edilen makinelerde kullanıyorlardı.

Şekil 6. İndirici modülünün davranışının günlüğe kaydedilmesi

Şekil 7. İndirici modülünün davranışının günlüğe kaydedilmesi

Botnet'in şu anda neden sessiz olduğuna dair hangi açıklama doğru olursa olsun, Emotet etkinliğiyle biliniyor ve operatörleri botnet'i yeniden inşa etmek ve sürdürmek ve hatta bazı iyileştirmeler eklemek için çaba sarf etti, bu nedenle geleceğin neler getireceğini görmek için blogumuzu takip edin. biz.

IOCs

dosyalar

ağ

MITRE ATT&CK teknikleri

Bu tablo kullanılarak yapılmıştır sürümü 12 MITRE ATT&CK kurumsal teknikleri.

• SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
• PlatoData.Network Dikey Üretken Yapay Zeka. Kendine güç ver. Buradan Erişin.
• PlatoAiStream. Web3 Zekası. Bilgi Genişletildi. Buradan Erişin.
• PlatoESG. Otomotiv / EV'ler, karbon, temiz teknoloji, Enerji, Çevre, Güneş, Atık Yönetimi. Buradan Erişin.
• Blok Ofsetleri. Çevre Dengeleme Sahipliğini Modernleştirme. Buradan Erişin.
• Kaynak: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/