Emotet, le "méchant" botnet est de retour

Posté le: 19-07-2020 11:26:42

Il y a une raison pour laquelle votre boîte de réception contient plus de spam malveillant - Emotet est de retour

Après avoir pris une pause de cinq mois, le botnet revient avec une brève poussée d'activité.

Emotet, le botnet le plus coûteux et le plus destructeur du monde, est revenu vendredi d'une interruption de cinq mois avec une explosion de spam malveillant visant à propager une porte dérobée qui installe des ransomwares, des chevaux de Troie de fraude bancaire et d'autres logiciels malveillants malveillants.

Le botnet a envoyé 250000 messages au cours de la journée, principalement à des personnes aux États-Unis et au Royaume-Uni, a déclaré à Ars Sherrod DeGrippo, directeur principal de la recherche et de la détection des menaces chez la société de sécurité Proofpoint. D'autres chercheurs ont déclaré que des cibles étaient également situées au Moyen-Orient, en Amérique du Sud et en Afrique. Le botnet a suivi son schéma caractéristique d'envoi d'un document malveillant ou d'un lien vers un fichier malveillant qui, lorsqu'il est activé, installe la porte dérobée Emotet.

Le botnet a donné ses premières indications d'un retour mardi, avec de petits volumes de messages envoyés.

La résurgence d'Emotet vendredi a également été repérée par le fournisseur d'antivirus Malwarebytes et Microsoft .

Emotet s'est avéré être l'une des menaces les plus ingénieuses pour faire face aux gens ces dernières années. Les e-mails semblent souvent provenir d'une personne avec laquelle la cible a correspondu dans le passé. Les messages malveillants utilisent souvent les lignes d'objet et les corps des fils de discussion précédents auxquels les deux ont participé. Emotet obtient ces informations en collectant les listes de contacts et les boîtes de réception des ordinateurs infectés.

La technique a un double avantage. Il incite la cible à penser que le message peut être digne de confiance, car il provient d'un ami connu, d'une connaissance ou d'un associé qui suit une question précédemment discutée. L'inclusion de contenu authentique rend également plus difficile pour les filtres anti-spam de détecter les e-mails comme malveillants.

Une autre astuce intelligente d'Emotet: il vole les noms d'utilisateur et les mots de passe des serveurs de messagerie sortants. Le botnet utilise ensuite les informations d'identification pour envoyer du courrier à partir de ces serveurs plutôt que de s'appuyer sur sa propre infrastructure. Étant donné que les serveurs de confiance envoient les messages malveillants, ils sont plus difficiles à détecter et à bloquer pour les produits de sécurité.

DeGrippo a déclaré que la dernière fois qu'Emotet s'était montré, c'était au cours d'une course de cinq jours début février, qui avait livré environ 1,8 million de messages. Le botnet est connu pour faire de grandes explosions pendant de courtes périodes, puis se taire pendant des semaines ou des mois à la fois. En septembre dernier, il s'est réveillé d'un sommeil de quatre mois .

Le groupe est connu pour prendre de longues pauses et prendre régulièrement des congés pendant les week-ends et les grandes périodes de vacances. Fidèle à son schéma normal, la dernière activité Emotet s'était complètement arrêtée samedi matin, alors que ce message était en ligne. En plus de permettre à ses employés de maintenir un équilibre sain entre vie professionnelle et vie privée, le calendrier rend les campagnes plus efficaces.

«La clé pour la plupart des auteurs de menaces est de minimiser le temps entre le moment où [le courrier malveillant] arrive dans la boîte de réception et le moment où il est ouvert par la cible.» DeGrippo a expliqué. «Plus ce temps s'écoule, plus le risque pour l'acteur de la menace que sa charge utile ne soit pas livrée en raison des contrôles d'atténuation est grand.»

Les messages Emotet incluent des documents Microsoft Word malveillants ou des fichiers PDF ou des URL qui pointent vers des fichiers Word malveillants. Les documents Word contiennent des macros qui, une fois activées, installent la porte dérobée Emotet. La porte dérobée attend généralement plusieurs jours avant d'installer des logiciels malveillants de suivi, tels que le cheval de Troie bancaire TrickBot ou le ransomware Ryuk .

Les chercheurs ont publié des indicateurs de compromis de l'explosion du message de vendredi ici , ici et ici .

Emotet est un autre rappel que les gens doivent être très méfiants à l'égard des fichiers et des liens envoyés par courrier électronique, en particulier s'ils semblent hors contexte, comme lorsqu'un ami envoie une facture. Les gens doivent se méfier doublement de tout document Word qui nécessite l'activation des macros avant que le contenu puisse être affiché. Il y a rarement une raison pour que les consommateurs utilisent des macros, donc une bonne règle domestique est de ne jamais les activer pour quelque raison que ce soit. Une meilleure politique consiste toujours à ouvrir les documents Word dans Google Docs, ce qui empêche tout logiciel malveillant de s'installer sur l'ordinateur local.

Source (en anglais) :
Il y a une raison pour laquelle votre boîte de réception contient plus de spam malveillant - Emotet est de retour