BSI warnt vor Emotet-Angriffswelle

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer neuen Angriffswelle auf Basis des Trojaners Emotet. Als Lockmittel verwenden die Angreifer das neue Buch von Edward Snowden „Permanent Record„.

Beim Öffnen des Dokuments werden die Opfer aufgefordert, den Inhalt mit einer gelben Sicherheitswarnung zu aktivieren. Sobald das Opfer diese Schaltfläche betätigt, wird ein bösartiger Makrocode ausgeführt. Dieser löst einen PowerShell-Befehl aus, der die Emotet-Malware nachlädt. Nach der Infektion versucht das Gerät, einen der vielen Command and Control Servern (C2) von Emotet zu erreichen. Die Sicherheitsforscher von Malwarebytes bemerkten bereits vor wenigen Tagen, dass das Emotet-Botnet anfing, mit den C2 Kontakt aufzunehmen.

Malwarebytes Sicherheitsforscher entdeckten Spam-E-Mails in Englisch, Italienisch, Spanisch, Deutsch und Französisch, die behaupteten, eine Kopie von Snowdens Buch in Word-Form zu enthalten. Cyber-Kriminelle sind dafür bekannt, dass sie aus Nachrichtenereignisse für Cyber-Angriffe und andere Social Engineering Zwecke Kapital schlagen wollen.

Vor wenigen Tagen registrierte Malwarebytes einen erhöhten Traffic zu Emotet-Command und Control Servern (Bild: Malwarebytes).

Emotet wird immer wieder verwendet

Eine ähnliche Emotet-Angriffswelle zielte im Februar auf Kunden von Microsoft und im Dezember auf Kunden der Deutschen Telekom. An die Mails waren gefälschte Rechnungen als Word-Dateien angehängt, die Makros enthielten. Ließen Empfänger deren Ausführung zu, mussten sie mit der Installation von Malware rechnen. Schadsoftware konnte sich auch einhandeln, wer auf in einem angehängten PDF-Dokument enthaltene Links klickte.

Die Telekom empfahl die sofortige Löschung verdächtiger Mails, ohne auf Links innerhalb einer solchen Nachricht zu klicken. Während sie im Fall einer bereits erfolgten Infektion die Säuberung mit einer Software wie EU-Cleaner empfahl, ging das BSI für Bürger in einer aktuellen Information zur Schadsoftware Emotet weiter und riet, einen infizierten Rechner neu aufzusetzen.

Bereinigungsversuche bleiben laut BSI in der Regel erfolglos und bergen die Gefahr, dass Teile der Schadsoftware auf dem System verbleiben. Darüber hinaus meldete das BSI (Bundesamt für Sicherheit in der Informationstechnik), dass Emotet ganze Unternehmensnetzwerke lahmlegt. An Unternehmen und Institutionen richten sich die empfohlenen Maßnahmen zum Schutz vor Emotet, die das BSI im Rahmen der Allianz für Cyber-Sicherheit aussprach.

Im Januar berichtete Ciscos Sicherheitssparte Talos von mehreren aktuellen Malwarekampagnen, in deren Mittelpunkt an E-Mails angehängte Microsoft-Word-Dateien stehen, in denen bösartige Makros für den Download von Emotet eingebettet sind. Laut Talos setzen die Hintermänner Emotet inzwischen ein, um modulare Schadsoftware auszuliefern. Neben Banking-Trojanern können das auch andere Bedrohungen wie etwa Ransomware sein. Die Auswahl der Module erfolgt offenbar nach den jeweils besten Aussichten, mit den infizierten Systemen Geld zu verdienen. Emotet begann einst als reiner Banking-Trojaner, hat sich aber in den letzten Jahren immer weiter entwickelt und fiel in jüngerer Zeit durch zahlreiche gezielte Infektionen mit Ryuk-Ransomware auf.