Mis Emotetiga on? | WeLiveSecurity

Emotet on alates 2014. aastast aktiivne pahavaraperekond, mida haldab küberkuritegude rühmitus, mida tuntakse Mealybug või TA542 nime all. Kuigi see sai alguse pangandustroojana, arenes see hiljem välja botnetiks, millest sai üks levinumaid ohte kogu maailmas. Emotet levib rämpsposti teel; see võib välja filtreerida teavet ohustatud arvutitest ja toimetada nendesse kolmandate osapoolte pahavara. Emoteti operaatorid ei ole oma sihtmärkide suhtes eriti valivad, paigaldades oma pahavara nii üksikisikutele kui ka ettevõtetele ja suurematele organisatsioonidele kuuluvatesse süsteemidesse.

2021. aasta jaanuaris oli Emoteti sihtmärk a Loobu kaheksa riigi rahvusvahelise koostöö tulemusena, mida koordineerisid Eurojust ja Europol. Kuid hoolimata sellest operatsioonist ärkas Emotet 2021. aasta novembris uuesti ellu.

Joonis 1. Huvitavate Emoteti sündmuste ajaskaala alates selle tagasitulekust

Rämpspostikampaaniad

Pärast tagasitulekut, millele järgnesid mitmed rämpspostikampaaniad 2021. aasta lõpus, jätkus 2022. aasta alguses nende trendidega ja registreerusime mitu Emoteti operaatorite käivitatud rämpspostikampaaniat. Selle aja jooksul levis Emotet peamiselt pahatahtlike Microsoft Wordi ja Microsoft Exceli dokumentide kaudu koos manustatud VBA makrodega.

2022. aasta juulis muutis Microsoft mängu kõigi pahavaraperekondade jaoks, nagu Emotet ja Qbot, mis olid levitamismeetodina kasutanud pahatahtlikke dokumente sisaldavaid andmepüügimeile, keelates Internetist hangitud dokumentides VBA makrod. See muutus oli teatas Microsofti poolt aasta alguses ja see võeti algselt kasutusele aprilli alguses, kuid värskendus tühistati kasutajate tagasiside tõttu. Lõplik kasutuselevõtt toimus 2022. aasta juuli lõpus ja nagu on näha jooniselt 2, vähendas värskendus oluliselt Emoteti kompromisse; me ei täheldanud 2022. aasta suvel märkimisväärset tegevust.

Joonis 2. Emoteti tuvastamise trend, seitsme päeva libisev keskmine

Emoteti peamise ründevektori keelamine pani selle operaatorid otsima uusi viise oma sihtmärkide ohustamiseks. Jahukas hakkas katsetama pahatahtlike LNK- ja XLL-failidega, kuid kui aasta 2022 oli lõppemas, püüdsid Emoteti operaatorid leida uut ründevektorit, mis oleks sama tõhus kui VBA makrod. 2023. aastal viisid nad läbi kolm eristavat rämpspostikampaaniat, millest igaüks katsetas veidi erinevat sissetungimise teed ja sotsiaalse inseneri tehnikat. Rünnakute vähenemine ja pidevad muutused lähenemises võivad aga viidata rahulolematusele tulemustega.

Esimene neist kolmest kampaaniast toimus 8. märtsi paiku^th, 2023, kui Emoteti robotvõrk hakkas levitama arveteks maskeeritud Wordi dokumente koos manustatud pahatahtlike VBA makrodega. See oli üsna veider, kuna Microsoft keelas VBA makrod vaikimisi, nii et ohvrid ei saanud manustatud pahatahtlikku koodi käivitada.

Oma teises kampaanias vahemikus 13. märts^th ja 18. märtsil^th, tundsid ründajad neid vigu ja peale vastuseahela lähenemisviisi lülitusid nad ka VBA makrodelt OneNote'i failidele (ONE) koos manustatud VBScriptidega. Kui ohvrid faili avasid, tervitas neid kaitstud OneNote'i leht, paludes neil sisu vaatamiseks klõpsata nupul Vaata. Selle graafilise elemendi taga oli peidetud VBScript, mis oli seadistatud Emoteti DLL-i allalaadimiseks.

Vaatamata OneNote'i hoiatusele, et see toiming võib viia pahatahtliku sisuni, kipuvad inimesed harjumusest sarnastel viipadel klõpsama ja võivad seega lubada ründajatel oma seadmeid ohustada.

Viimane ESET-i telemeetrias vaadeldud kampaania käivitati 20. märtsil^th, kasutades ära eelseisvat tulumaksu tähtpäeva Ameerika Ühendriikides. Botivõrgu saadetud pahatahtlikud meilid teesklesid, et need pärinevad USA maksuametist Internal Revenue Service (IRS) ja sisaldasid lisatud arhiivifaili nimega W-9 form.zip. Kaasas olev ZIP-fail sisaldas Wordi dokumenti manustatud pahatahtliku VBA-makroga, mille eeldatav ohver ilmselt pidi võimaldama. Lisaks sellele spetsiaalselt USA-le suunatud kampaaniale jälgisime ka teist kampaaniat, mis kasutas manustatud VBScripti ja OneNote'i lähenemist, mis oli samal ajal käimas.

Nagu on näha jooniselt 3, oli enamik ESET-i tuvastatud rünnakutest suunatud Jaapanile (43%) ja Itaaliale (13%), kuigi need arvud võivad olla kallutatud ESET-i tugeva kasutajaskonna tõttu neis piirkondades. Pärast nende kahe parima riigi eemaldamist (et keskenduda ülejäänud maailmale) on jooniselt 4 näha, et löögi sai ka ülejäänud maailm, kolmandal kohal Hispaania (5%), millele järgnes Mehhiko (5 %) ja Lõuna-Aafrika (4%).

Joonis 3. Emoteti tuvastamine jaanuar 2022 – juuni 2023

Joonis 4. Emoteti tuvastamised jaanuar 2022 – juuni 2023 (v.a. JP ja IT)

Täiustatud kaitse ja hägustused

Pärast selle taasilmumist sai Emotet mitu versiooniuuendust. Esimene tähelepanuväärne omadus on see, et botnet vahetas oma krüptograafilist skeemi. Enne eemaldamist kasutas Emotet peamise asümmeetrilise skeemina RSA-d ja pärast taasilmumist hakkas botnet kasutama elliptilise kõvera krüptograafiat. Praegu on igal Downloaderi moodulil (nimetatakse ka põhimooduliks) kaks manustatud avalikku võtit. Ühte kasutatakse elliptilise kõvera Diffie Hellmani võtmevahetusprotokolli jaoks ja teist kasutatakse allkirja kontrollimiseks – digitaalallkirja algoritm.

Lisaks Emoteti pahavara värskendamisele 64-bitisele arhitektuurile on Mealybug rakendanud oma moodulite kaitsmiseks ka mitmeid uusi hägustusi. Esimene tähelepanuväärne hägusus on juhtimisvoo tasandamine, mis võib oluliselt aeglustada analüüsi ja huvitavate koodiosade leidmist Emoteti moodulites.

Mealybug rakendas ja täiustas ka paljude randomiseerimistehnikate rakendamist, millest kõige tähelepanuväärsemad on struktuuriliikmete järjestuse randomiseerimine ja konstante arvutavate käskude randomiseerimine (konstandid on maskeeritud).

Veel üks mainimist vääriv uuendus juhtus 2022. aasta viimases kvartalis, kui moodulid hakkasid taimeri järjekordi kasutama. Nendega seati moodulite põhifunktsioon ja moodulite suhtlusosa tagasihelistamise funktsiooniks, mida kutsutakse välja mitme lõime kaudu ja see kõik on kombineeritud juhtvoo tasandamisega, kus oleku väärtus, mis haldab millist koodiplokki on väljakutsutav on lõimede vahel jagatud. See hägusus lisab analüüsimisel veel ühe takistuse ja muudab täitmisvoo jälgimise veelgi keerulisemaks.

Uued moodulid

Kasumlikuks ja levinud pahavara säilitamiseks juurutas Mealybug mitu uut moodulit, mis on näidatud joonisel 5 kollasena. Mõned neist loodi botneti kaitsemehhanismiks, teised pahavara tõhusamaks levitamiseks ja lõpuks, kuid mitte vähem tähtsaks mooduliks. mis varastab teavet, mida saab kasutada ohvri raha varastamiseks.

Joonis 5. Emoteti kõige sagedamini kasutatavad moodulid. Punane oli olemas enne mahavõtmist; kollane ilmus pärast tagasitulekut

Thunderbirdi e-posti varastaja ja Thunderbirdi kontaktide varastaja

Emotet levib rämpsposti teel ja inimesed usaldavad neid kirju sageli, kuna Emotet kasutab edukalt meililõime kaaperdamise tehnikat. Enne eemaldamist kasutas Emotet mooduleid, mida nimetame Outlooki kontaktide varaseks ja Outlooki meilivaragiks, mis suutsid varastada Outlookist e-kirju ja kontaktteavet. Kuna aga mitte kõik ei kasuta Outlooki, keskendus Emotet pärast eemaldamist ka tasuta alternatiivsele meilirakendusele – Thunderbirdile.

Emotet võib ohustatud arvutisse juurutada Thunderbird Email Stealeri mooduli, mis (nagu nimigi ütleb) on võimeline e-kirju varastama. Moodul otsib Thunderbirdi faile, mis sisaldavad vastuvõetud sõnumeid (MBOX-vormingus) ja varastab andmeid mitmelt väljalt, sealhulgas sõnumi saatja, saajad, teema, kuupäev ja sisu. Seejärel saadetakse kogu varastatud teave edasiseks töötlemiseks C&C serverisse.

Koos Thunderbird Email Stealeriga juurutab Emotet ka Thunderbird Contact Stealeri, mis on võimeline varastama Thunderbirdi kontaktteavet. See moodul otsib ka Thunderbirdi faile, otsides seekord nii vastuvõetud kui ka saadetud sõnumeid. Erinevus seisneb selles, et see moodul võtab lihtsalt teabe välja From:, to:, CC: ja Cc: väljad ja loob sisemise graafiku, kes kellega suhtles, kus sõlmed on inimesed ja kahe inimese vahel on serv, kui nad omavahel suhtlesid. Järgmises etapis tellib moodul varastatud kontaktid – alustades kõige omavahel seotud inimestest – ja saadab selle teabe C&C serverisse.

Kogu seda pingutust täiendavad kaks lisamoodulit (mis eksisteerisid juba enne eemaldamist) – MailPassView Stealeri moodul ja rämpsposti moodul. MailPassView Stealer kuritarvitab seaduslikku NirSofti tööriista parooli taastamiseks ja varastab meilirakenduste mandaate. Kui varastatud e-kirju, mandaate ja teavet selle kohta, kes kellega suhtleb, töödeldakse, loob Mealybug pahatahtlikud meilid, mis näevad välja nagu vastus varem varastatud vestlustele, ja saadab need meilid koos varastatud mandaatidega rämpsposti moodulisse, mis kasutab neid mandaate saatmiseks. pahatahtlikud vastused eelmistele meilivestlustele SMTP kaudu.

Google Chrome'i krediitkaardivaras

Nagu nimigi ütleb, varastab Google Chrome Credit Card Stealer teavet Google Chrome'i brauseris salvestatud krediitkaartide kohta. Selle saavutamiseks kasutab moodul staatiliselt lingitud SQLite3 teeki juurdepääsuks Web Data andmebaasi failile, mis tavaliselt asub %LOCALAPPDATA%GoogleChrome'i kasutajaandmedDefaultveebiandmed. Moodul küsib tabelit krediitkaardid eest kaardi_nimi, aegumise_kuu, aegumise_aastaja kaardi_number_krüptitud, mis sisaldab teavet Google Chrome'i vaikeprofiilile salvestatud krediitkaartide kohta. Viimases etapis dekrüpteeritakse väärtus card_number_encrypted, kasutades faili salvestatud võtit %LOCALAPPDATA%GoogleChromeUser DataLocal State'i fail ja kogu teave saadetakse C&C serverisse.

Süsteemiinfo ja Riistvarainfo moodulid

Vahetult pärast Emoteti naasmist ilmus 2021. aasta novembris uus moodul, mida kutsume Systeminfoks. See moodul kogub teavet ohustatud süsteemi kohta ja saadab selle C&C serverisse. Kogutud teave koosneb:

• väljund systeminfo käsk
• väljund ipconfig / all käsk
• väljund nltest /dclist: käsk (eemaldatud oktoobris 2022)
• Protsesside loend
• Tööaeg (saadud kaudu GetTickCount) sekundites (eemaldatud 2022. aasta oktoobris)

In oktoober 2022 Emoteti operaatorid andsid välja veel ühe uue mooduli, mida kutsume Hardwareinfoks. Kuigi see ei varasta ainult teavet ohustatud masina riistvara kohta, toimib see Systeminfo mooduli täiendava teabeallikana. See moodul kogub ohustatud masinast järgmisi andmeid:

• arvuti nimi
• kasutajanimi
• Teave OS-i versioonide kohta, sealhulgas peamiste ja väiksemate versioonide numbrid
• Seansi ID
• CPU kaubamärgi string
• Teave RAM-i suuruse ja kasutamise kohta

Mõlemal moodulil on üks peamine eesmärk – kontrollida, kas side pärineb õiguspäraselt ohustatud ohvrilt või mitte. Emotet oli eriti pärast tagasitulekut arvutiturbetööstuses ja teadlaste seas väga kuum teema, nii et Mealybug nägi palju vaeva, et kaitsta end oma tegevuse jälgimise ja jälgimise eest. Tänu nende kahe mooduli kogutud teabele, mis mitte ainult ei kogu andmeid, vaid sisaldavad ka jälgimis- ja analüüsivastaseid nippe, paranes märkimisväärselt Mealybugi võime eristada tõelisi ohvreid pahavarauurijate tegevusest või liivakastidest.

Mis järgmiseks?

ESET-i uuringute ja telemeetria andmetel on botneti mõlemad ajastud olnud vaiksed alates 2023. aasta aprilli algusest. Praegu jääb ebaselgeks, kas see on autorite jaoks järjekordne puhkuseaeg, kas neil on raskusi uue tõhusa nakkusvektori leidmisega või kui robotvõrku haldab keegi uus.

Kuigi me ei saa kinnitada kuulujutte, et 2023. aasta jaanuaris müüdi kellelegi botneti üks või mõlemad ajastud, märkasime ühel ajastul ebatavalist tegevust. Allalaadimismooduli uusim värskendus sisaldas uut funktsiooni, mis logib mooduli siseolekud ja jälgib selle täitmist failini C:JSmithLoader (joonis 6, joonis 7). Kuna see fail peab olema olemas, et midagi reaalselt logida, näeb see funktsioon välja nagu silumisväljund inimesele, kes ei saa täielikult aru, mida moodul teeb ja kuidas see töötab. Veelgi enam, sel ajal levis botnet laialdaselt ka rämpspostimooduleid, mida peetakse Mealybugi jaoks väärtuslikumaks, kuna ajalooliselt kasutasid nad neid mooduleid ainult nende poolt ohututeks peetud masinatel.

Joonis 6. Allalaadimismooduli käitumise logimine

Joonis 7. Allalaadimismooduli käitumise logimine

Ükskõik milline seletus selle kohta, miks botnet praegu vaikne on, vastab tõele, Emotet on olnud tuntud oma tõhususe poolest ning selle operaatorid on teinud jõupingutusi robotivõrgu ümberehitamiseks ja hooldamiseks ning isegi täiustuste lisamiseks, nii et jälgige meie ajaveebi, et näha, mida tulevik toob meie.

IoC-d

Faile

võrk

MITER ATT&CK tehnikad

See laud on ehitatud kasutades versioon 12 MITER ATT&CK ettevõtte tehnikatest.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
• PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
• PlatoESG. Autod/elektrisõidukid, Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
• BlockOffsets. Keskkonnakompensatsiooni omandi ajakohastamine. Juurdepääs siia.
• Allikas: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/