Gibt Emotet sein Comeback?

Seit seiner Rückkehr tauchte Emotet in mehreren Spam-Kampagnen auf. Mealybug, die Hackergruppe hinter dem Botnetz, hat zahlreiche neue Module entwickelt und bestehende überarbeitet. In seiner letzten Operation wurden Ziele in Italien, Spanien, Japan, Mexiko und Südafrika attackiert. Seit April 2023 sind die Aktivtäten von Emotet eingestellt. Die ESET Forscher vermuten, dass die Hacker nach neuen Angriffsvektoren suchen.

„Emotet verbreitet sich über Spam-Mails. Die Malware kann sensible Informationen von kompromittierten Computern stehlen und Malware von Drittanbietern auf diese übertragen. Die Betreiber von Emotet sind nicht sehr wählerisch, was ihre Ziele angeht. Sie installieren ihre Malware sowohl auf Systemen von Privatpersonen als auch von Unternehmen und größeren Organisationen“, sagt ESET-Forscher Jakub Kaloc, der an der Analyse mitgearbeitet hat.

Emotet musste neuen Angriffsvektor finden

Von Ende 2021 bis Mitte des Jahres 2022 verbreitete sich Emotet hauptsächlich über VBA-Makros in Microsoft Word- und Excel-Dokumenten. Im Juli 2022 änderte Microsoft die Spielregeln für alle Malware-Familien wie Emotet und Qbot – die Phishing-E-Mails mit bösartigen Dokumenten als Verbreitungsmethode verwendet hatten – indem es VBA-Makros in Dokumenten deaktivierte, die aus dem Internet bezogen wurden.

„Die Abschaltung des Hauptangriffsvektors von Emotet veranlasste seine Betreiber, nach neuen Wegen zu suchen, um ihre Ziele zu kompromittieren. Mealybug begann, mit bösartigen LNK- und XLL-Dateien zu experimentieren. Als das Jahr 2022 zu Ende ging, hatten die Betreiber von Emotet jedoch Schwierigkeiten, einen neuen Angriffsvektor zu finden, der so effektiv wie VBA-Makros ist. Im Jahr 2023 führten sie drei verschiedene Malspam-Kampagnen durch, die jeweils einen etwas anderen Weg des Eindringens und eine andere Social Engineering-Technik testeten“, erläutert Kaloc. „Der schrumpfende Umfang der Angriffe und die ständigen Änderungen des Ansatzes könnten jedoch auf Unzufriedenheit mit den Ergebnissen hindeuten.“ Später bettete Emotet einen Köder in Microsoft OneNote ein. Trotz der Warnungen beim Öffnen, dass diese Aktion zu bösartigen Inhalten führen könnte, klickten Nutzer darauf.

Kriminelle entwickeln Emotet weiter

Nach seinem Wiederauftauchen erhielt Emotet mehrere Upgrades. Die bemerkenswertesten Merkmale waren, dass das Botnet sein kryptografisches Schema änderte und mehrere neue Verschleierungen implementierte, um seine Module zu schützen. Die Betreiber von Emotet haben seit ihrer Rückkehr erhebliche Anstrengungen unternommen, um die Überwachung und Verfolgung ihres Botnets zu verhindern. Außerdem haben sie mehrere neue Module implementiert und bestehende Module verbessert, um profitabel zu bleiben.

Emotet wird über Spam-Mails verbreitet. Menschen vertrauen diesen Nachrichten oft, da die Kriminellen erfolgreich mit speziellen Techniken Gesprächsverläufe in E-Mails übernehmen. Vor dem Takedown verwendete Emotet Module, die wir Outlook Contact Stealer und Outlook Email Stealer nennen und die in der Lage waren, E-Mails und Kontaktinformationen aus Outlook zu stehlen. Da jedoch nicht jeder Outlook verwendet, konzentrierte sich Emotet nach der Rückkehr auch auf eine kostenlose alternative E-Mail-Anwendung: Thunderbird. Darüber hinaus begann es, das Google Chrome Credit Card Stealer Modul zu verwenden, das Informationen über Kreditkarten stiehlt, die im Google Chrome Browser gespeichert sind.