Le botnet Emotet revient à la vie
L'un des plus grands botnets a été interrompu et fermé lors d'une opération internationale d'application de la loi qui a eu lieu au début de 2021. Aujourd'hui, plus d'un an plus tard, le même botnet montre à nouveau des signes de vie, et il semble qu'il ait pris de l'ampleur. de nouvelles cornes et épines pendant qu'il dormait. Le botnet en question est le tristement célèbre réseau de bots Emotet - un réseau d'appareils compromis utilisés à différentes fins malveillantes.
Qu'est-ce qu'Emotet ?
Un botnet pourrait être utilisé pour un certain nombre de tâches malveillantes par la partie contrôlant les appareils compromis ou "bots". Dans le cas d'Emotet, le réseau a été utilisé pour diffuser des logiciels malveillants et des bots ont été loués à d'autres parties malveillantes, similaires au modèle de ransomware-as-a-service, ne vendant que l'accès à l'infrastructure de l'appareil compromis.
Maintenant, une équipe de recherche avec la société de sécurité Proofpoint a identifié une "activité Emotet à faible volume", la décrivant comme "radicalement" différente de la manière habituelle dont le botnet Emotet était exploité.
Emotet est maintenant distribué à l'aide de campagnes par e-mail. Les adresses e-mail d'où proviennent les messages malveillants semblent être compromises, selon les chercheurs, car le module de spam Emotet n'a pas été utilisé pour les envoyer aux destinataires.
Une nouvelle campagne d'e-mails malveillants se propage Emotet
Les e-mails étaient de structure simple - des chaînes d'objet d'un mot, telles que "Salaire". Il s'agit d'une astuce simple mais efficace pour attirer l'attention de la victime et inciter l'utilisateur à cliquer sur tout ce qui est contenu dans l'e-mail. Dans ce cas, les e-mails ne contiennent qu'un seul lien vers OneDrive.
Les liens OneDrive pointent vers des fichiers MS Excel XLL, placés dans une archive zip. Les fichiers d'archives et le document Excel qu'ils contiennent portent tous le même nom que l'objet du courrier. Dans l'exemple fourni par Proofpoint, l'archive s'appelait "Salary_new.zip" et le fichier Excel à l'intérieur - "Salary_and_bonuses-04.01.2022.xll".
Une fois que l'utilisateur extrait le fichier Excel et tente de l'ouvrir, Emotet est supprimé et déployé.
Compte tenu de la nature à faible volume de la campagne, contrairement à l'approche habituelle de spam agressif à haut volume utilisée par Emotet auparavant, les chercheurs pensent que les opérateurs de logiciels malveillants testent de nouvelles approches et techniques et testent de nouvelles façons d'éviter la détection automatisée.