เกิดอะไรขึ้นกับ Emotet? | WeLiveSecurity

Emotet เป็นตระกูลมัลแวร์ที่เปิดใช้งานตั้งแต่ปี 2014 ดำเนินการโดยกลุ่มอาชญากรไซเบอร์ที่รู้จักกันในชื่อ Mealybug หรือ TA542 แม้ว่ามันเริ่มต้นจากการเป็นโทรจันธนาคาร แต่ต่อมาก็พัฒนาเป็นบ็อตเน็ตที่กลายเป็นหนึ่งในภัยคุกคามที่แพร่หลายมากที่สุดทั่วโลก Emotet แพร่กระจายผ่านอีเมลสแปม มันสามารถสกัดข้อมูลจากและส่งมัลแวร์ของบุคคลที่สามไปยังคอมพิวเตอร์ที่ถูกบุกรุก ผู้ประกอบการ Emotet ไม่พิถีพิถันกับเป้าหมายมากนัก ติดตั้งมัลแวร์บนระบบที่เป็นของบุคคลเช่นเดียวกับบริษัทและองค์กรขนาดใหญ่

ในเดือนมกราคม 2021 Emotet เป็นเป้าหมายของ จับกุม อันเป็นผลจากความร่วมมือระดับนานาชาติของแปดประเทศที่ประสานงานโดย Eurojust และ Europol อย่างไรก็ตาม แม้จะมีการดำเนินการนี้ Emotet ก็กลับมามีชีวิตอีกครั้งในเดือนพฤศจิกายน 2021

รูปที่ 1 เส้นเวลาของเหตุการณ์ Emotet ที่น่าสนใจตั้งแต่กลับมา

แคมเปญสแปม

หลังจากการกลับมาตามด้วยแคมเปญสแปมหลายรายการในช่วงปลายปี 2021 ต้นปี 2022 ก็ยังคงดำเนินต่อไปด้วยกระแสเหล่านี้และ เราลงทะเบียน แคมเปญสแปมหลายรายการเปิดตัวโดยผู้ให้บริการ Emotet ในช่วงเวลานี้ Emotet แพร่กระจายผ่านเอกสาร Microsoft Word และ Microsoft Excel ที่เป็นอันตรายเป็นหลัก โดยมีมาโคร VBA ฝังอยู่

ในเดือนกรกฎาคม พ.ศ. 2022 Microsoft เปลี่ยนเกมสำหรับตระกูลมัลแวร์ทั้งหมด เช่น Emotet และ Qbot ซึ่งใช้อีเมลฟิชชิ่งที่มีเอกสารที่เป็นอันตรายเป็นวิธีการแพร่กระจาย โดยปิดใช้งานมาโคร VBA ในเอกสารที่ได้รับจากอินเทอร์เน็ต การเปลี่ยนแปลงครั้งนี้คือ ประกาศ โดย Microsoft เมื่อต้นปีและเริ่มใช้งานในช่วงต้นเดือนเมษายน แต่การอัปเดตถูกย้อนกลับเนื่องจากความคิดเห็นของผู้ใช้ การเปิดตัวครั้งสุดท้ายเกิดขึ้นเมื่อปลายเดือนกรกฎาคม 2022 และดังที่เห็นในรูปที่ 2 การอัปเดตส่งผลให้ Emotet ลดลงอย่างมาก เราไม่ได้สังเกตกิจกรรมสำคัญใดๆ ในช่วงฤดูร้อนปี 2022

รูปที่ 2 แนวโน้มการตรวจจับ Emotet ค่าเฉลี่ยเคลื่อนที่ XNUMX วัน

การปิดใช้งานเวกเตอร์โจมตีหลักของ Emotet ทำให้ผู้ปฏิบัติงานมองหาวิธีใหม่ๆ ในการประนีประนอมเป้าหมาย เพลี้ยแป้ง เริ่มทำการทดลอง ด้วยไฟล์ LNK และ XLL ที่เป็นอันตราย แต่ในปี 2022 กำลังจะสิ้นสุดลง เจ้าหน้าที่ Emotet พยายามดิ้นรนเพื่อค้นหาเวกเตอร์การโจมตีใหม่ที่จะมีประสิทธิภาพเทียบเท่ากับมาโคร VBA ในปี 2023 พวกเขาดำเนินการแคมเปญมัลสแปมที่แตกต่างกันสามแคมเปญ โดยแต่ละแคมเปญจะทดสอบช่องทางการบุกรุกและเทคนิควิศวกรรมสังคมที่แตกต่างกันเล็กน้อย อย่างไรก็ตาม ขนาดการโจมตีที่เล็กลงและการเปลี่ยนแปลงแนวทางอย่างต่อเนื่องอาจบ่งบอกถึงความไม่พึงพอใจกับผลลัพธ์ที่ได้

แคมเปญแรกในสามแคมเปญนั้นเกิดขึ้นประมาณวันที่ 8 มีนาคม^thพ.ศ. 2023 เมื่อบ็อตเน็ต Emotet เริ่มแจกจ่ายเอกสาร Word โดยสวมหน้ากากเป็นใบแจ้งหนี้ โดยมีมาโคร VBA ที่เป็นอันตรายฝังอยู่ สิ่งนี้ค่อนข้างแปลกเพราะ Microsoft ปิดใช้งานมาโคร VBA ตามค่าเริ่มต้น ดังนั้นผู้ที่ตกเป็นเหยื่อจึงไม่สามารถเรียกใช้โค้ดอันตรายที่ฝังอยู่ได้

ในแคมเปญที่สองระหว่างวันที่ 13 มีนาคม^th และ 18 มีนาคม^thดูเหมือนว่าผู้โจมตีจะรับทราบถึงข้อบกพร่องเหล่านี้ และนอกเหนือจากการใช้วิธีตอบกลับแบบลูกโซ่แล้ว พวกเขายังเปลี่ยนจากมาโคร VBA เป็นไฟล์ OneNote (ONE) ที่มี VBScripts ฝังอยู่ หากผู้ที่ตกเป็นเหยื่อเปิดไฟล์ พวกเขาจะได้รับการต้อนรับด้วยสิ่งที่ดูเหมือนหน้า OneNote ที่ได้รับการป้องกัน โดยขอให้พวกเขาคลิกปุ่มดูเพื่อดูเนื้อหา เบื้องหลังองค์ประกอบกราฟิกนี้คือ VBScript ที่ซ่อนอยู่ซึ่งตั้งค่าให้ดาวน์โหลด Emotet DLL

แม้จะมีคำเตือนของ OneNote ว่าการกระทำนี้อาจนำไปสู่เนื้อหาที่เป็นอันตราย แต่ผู้คนก็มักจะคลิกที่ข้อความแจ้งที่คล้ายกันตามนิสัย และด้วยเหตุนี้อาจทำให้ผู้โจมตีสามารถประนีประนอมอุปกรณ์ของตนได้

แคมเปญล่าสุดที่พบใน ESET telemetry เปิดตัวเมื่อวันที่ 20 มีนาคม^thใช้ประโยชน์จากวันครบกำหนดภาษีเงินได้ที่กำลังจะมาถึงในสหรัฐอเมริกา อีเมลที่เป็นอันตรายที่บอทเน็ตส่งนั้นแสร้งทำเป็นว่ามาจากสำนักงานสรรพากรของสหรัฐฯ Internal Revenue Service (IRS) และแนบไฟล์เก็บถาวรชื่อ W-9 form.zip ไฟล์ ZIP ที่รวมอยู่มีเอกสาร Word ที่มีมาโคร VBA ที่เป็นอันตรายฝังอยู่ ซึ่งเหยื่ออาจต้องทำ ทำให้สามารถ. นอกจากแคมเปญนี้ที่กำหนดเป้าหมายไปยังสหรัฐอเมริกาโดยเฉพาะแล้ว เรายังสังเกตเห็นอีกแคมเปญหนึ่งที่ใช้แนวทาง VBScripts และ OneNote แบบฝังซึ่งกำลังดำเนินการในเวลาเดียวกัน

ดังที่เห็นในรูปที่ 3 การโจมตีส่วนใหญ่ที่ตรวจพบโดย ESET มุ่งเป้าไปที่ญี่ปุ่น (43%) อิตาลี (13%) แม้ว่าตัวเลขเหล่านี้อาจมีความลำเอียงจากฐานผู้ใช้ ESET ที่แข็งแกร่งในภูมิภาคเหล่านี้ หลังจากลบสองประเทศแรกออกไปแล้ว (เพื่อโฟกัสไปที่ส่วนที่เหลือของโลก) ในรูปที่ 4 จะเห็นได้ว่าส่วนที่เหลือของโลกก็โดนเช่นกัน โดยสเปน (5%) อยู่ในอันดับที่ 5 ตามมาด้วยเม็กซิโก (4 %) และแอฟริกาใต้ (XNUMX%)

รูปที่ 3 การตรวจจับ Emotet ม.ค. 2022 – มิ.ย. 2023

รูปที่ 4 การตรวจจับ Emotet ม.ค. 2022 – มิ.ย. 2023 (ไม่รวม JP และ IT)

การป้องกันที่ดีขึ้นและการทำให้งงงวย

หลังจากปรากฏตัวอีกครั้ง Emotet ก็ได้รับการอัปเกรดหลายอย่าง คุณลักษณะเด่นประการแรกคือบอตเน็ตเปลี่ยนรูปแบบการเข้ารหัส ก่อนการลบออก Emotet ใช้ RSA เป็นรูปแบบอสมมาตรหลัก และหลังจากการปรากฏขึ้นอีกครั้ง botnet ก็เริ่มใช้การเข้ารหัสแบบ Elliptic curve ปัจจุบันทุกโมดูล Downloader (หรือที่เรียกว่าโมดูลหลัก) มาพร้อมกับกุญแจสาธารณะสองอันในตัว หนึ่งใช้สำหรับโปรโตคอลการแลกเปลี่ยนคีย์ Diffie Hellman เส้นโค้งวงรี และอีกอันใช้สำหรับการตรวจสอบลายเซ็น – อัลกอริทึมลายเซ็นดิจิทัล

นอกเหนือจากการอัปเดตมัลแวร์ Emotet ให้เป็นสถาปัตยกรรม 64 บิตแล้ว Mealybug ยังใช้การทำให้งงงวยใหม่หลายรายการเพื่อปกป้องโมดูล ความยุ่งเหยิงที่โดดเด่นอย่างแรกคือการควบคุมโฟลว์ที่ราบเรียบ ซึ่งอาจทำให้การวิเคราะห์ช้าลงอย่างมาก และการค้นหาส่วนที่น่าสนใจของโค้ดในโมดูลของ Emotet

เพลี้ยแป้งยังใช้และปรับปรุงการใช้เทคนิคการสุ่มหลายอย่าง ซึ่งสิ่งที่น่าสังเกตมากที่สุดคือการสุ่มลำดับของโครงสร้างสมาชิกและการสุ่มคำสั่งที่คำนวณค่าคงที่ (ค่าคงที่ถูกปิดบัง)

อีกหนึ่งการอัปเดตที่ควรค่าแก่การกล่าวถึงเกิดขึ้นในช่วงไตรมาสสุดท้ายของปี 2022 เมื่อโมดูลเริ่มใช้คิวตัวจับเวลา ด้วยสิ่งเหล่านี้ ฟังก์ชันหลักของโมดูลและส่วนการสื่อสารของโมดูลถูกตั้งค่าเป็นฟังก์ชันการเรียกกลับ ซึ่งเรียกใช้โดยเธรดจำนวนมาก และทั้งหมดนี้รวมเข้ากับโฟลว์ควบคุมที่ราบเรียบ โดยที่ค่าสถานะที่จัดการบล็อกของโค้ดคือ ที่จะเรียกใช้ร่วมกันระหว่างเธรด ความยุ่งเหยิงนี้เพิ่มอุปสรรคอีกประการในการวิเคราะห์ และทำให้การติดตามการดำเนินการตามขั้นตอนยากยิ่งขึ้นไปอีก

โมดูลใหม่

เพื่อให้คงไว้ซึ่งผลกำไรและมัลแวร์ที่แพร่หลาย Mealybug ได้ติดตั้งโมดูลใหม่หลายโมดูล ดังแสดงในรูปที่ 5 สีเหลือง โมดูลบางส่วนถูกสร้างขึ้นเพื่อเป็นกลไกป้องกันสำหรับบอทเน็ต โมดูลอื่นๆ สำหรับการแพร่กระจายของมัลแวร์ที่มีประสิทธิภาพมากขึ้น และโมดูลสุดท้ายแต่ไม่ท้ายสุดคือโมดูล ที่ขโมยข้อมูลที่สามารถใช้ขโมยเงินของเหยื่อได้

รูปที่ 5 โมดูลที่ใช้บ่อยที่สุดของ Emotet สีแดงมีอยู่ก่อนการจับกุม สีเหลืองปรากฏขึ้นหลังจากการคัมแบ็ค

Thunderbird Email Stealer และ Thunderbird Contact Stealer

Emotet แพร่กระจายผ่านทางอีเมลสแปม และผู้คนมักจะเชื่อถืออีเมลเหล่านั้น เนื่องจาก Emotet ใช้เทคนิคการไฮแจ็กเธรดอีเมลได้สำเร็จ ก่อนการลบออก Emotet ใช้โมดูลที่เราเรียกว่า Outlook Contact Stealer และ Outlook Email Stealer ซึ่งสามารถขโมยอีเมลและข้อมูลติดต่อจาก Outlook แต่เนื่องจากไม่ใช่ทุกคนที่ใช้ Outlook หลังจากการลบ Emotet จึงมุ่งเน้นไปที่แอปพลิเคชันอีเมลทางเลือกฟรี – Thunderbird

Emotet อาจปรับใช้โมดูล Thunderbird Email Stealer กับคอมพิวเตอร์ที่ถูกบุกรุก ซึ่ง (ตามชื่อที่แนะนำ) สามารถขโมยอีเมลได้ โมดูลจะค้นหาไฟล์ Thunderbird ที่มีข้อความที่ได้รับ (ในรูปแบบ MBOX) และขโมยข้อมูลจากหลายฟิลด์ รวมทั้งผู้ส่ง ผู้รับ หัวเรื่อง วันที่ และเนื้อหาของข้อความ ข้อมูลที่ถูกขโมยทั้งหมดจะถูกส่งไปยังเซิร์ฟเวอร์ C&C เพื่อดำเนินการต่อไป

เมื่อใช้ร่วมกับ Thunderbird Email Stealer แล้ว Emotet ยังใช้ Thunderbird Contact Stealer ซึ่งสามารถขโมยข้อมูลผู้ติดต่อจาก Thunderbird ได้ โมดูลนี้ยังค้นหาผ่านไฟล์ Thunderbird ซึ่งคราวนี้ค้นหาทั้งข้อความที่ได้รับและส่ง ข้อแตกต่างคือโมดูลนี้ดึงข้อมูลจาก จาก:, ไปที่:, ซีซี: และ สำเนา: และสร้างกราฟภายในว่าใครสื่อสารกับใคร โดยที่โหนดคือผู้คน และจะมีความได้เปรียบระหว่างคนสองคนหากพวกเขาสื่อสารกันเอง ในขั้นตอนถัดไป โมดูลจะสั่งผู้ติดต่อที่ถูกขโมย – เริ่มจากคนที่เชื่อมต่อถึงกันมากที่สุด – และส่งข้อมูลนี้ไปยังเซิร์ฟเวอร์ C&C

ความพยายามทั้งหมดนี้เสริมด้วยโมดูลเพิ่มเติมสองโมดูล (ที่มีอยู่ก่อนการลบออก) – โมดูล MailPassView Stealer และโมดูลสแปมเมอร์ MailPassView Stealer ใช้เครื่องมือ NirSoft ที่ถูกต้องตามกฎหมายในการกู้คืนรหัสผ่านและขโมยข้อมูลรับรองจากแอปพลิเคชันอีเมล เมื่ออีเมล ข้อมูลประจำตัว และข้อมูลเกี่ยวกับผู้ติดต่อถูกขโมยไป Mealybug จะสร้างอีเมลที่เป็นอันตรายซึ่งดูเหมือนตอบกลับการสนทนาที่ถูกขโมยไปก่อนหน้านี้ และส่งอีเมลเหล่านั้นพร้อมกับข้อมูลประจำตัวที่ถูกขโมยไปยังโมดูล Spammer ที่ใช้ข้อมูลประจำตัวเหล่านั้นในการส่ง การตอบกลับที่เป็นอันตรายไปยังการสนทนาทางอีเมลก่อนหน้านี้ผ่าน SMTP

ขโมยบัตรเครดิต Google Chrome

ตามชื่อที่แนะนำ Google Chrome Credit Card Stealer จะขโมยข้อมูลเกี่ยวกับบัตรเครดิตที่จัดเก็บไว้ในเบราว์เซอร์ Google Chrome เพื่อให้บรรลุเป้าหมายนี้ โมดูลใช้ไลบรารี SQLite3 ที่เชื่อมโยงแบบคงที่สำหรับการเข้าถึงไฟล์ฐานข้อมูล Web Data ซึ่งปกติจะอยู่ใน %LOCALAPPDATA%GoogleChromeUser DataDefaultข้อมูลเว็บ. โมดูลสอบถามตาราง บัตรเครดิต for name_of_card, หมดอายุเดือน, วันหมดอายุ_ปีและ card_number_encryptedซึ่งมีข้อมูลเกี่ยวกับบัตรเครดิตที่บันทึกไว้ในโปรไฟล์เริ่มต้นของ Google Chrome ในขั้นตอนสุดท้าย ค่า card_number_encrypted จะถูกถอดรหัสโดยใช้คีย์ที่จัดเก็บไว้ใน ไฟล์ %LOCALAPPDATA%GoogleChromeUser DataLocal State และข้อมูลทั้งหมดจะถูกส่งไปยังเซิร์ฟเวอร์ C&C

โมดูล Systeminfo และ Hardwareinfo

ไม่นานหลังจากการกลับมาของ Emotet ในเดือนพฤศจิกายน 2021 โมดูลใหม่ที่เราเรียกว่า Systeminfo ก็ปรากฏขึ้น โมดูลนี้รวบรวมข้อมูลเกี่ยวกับระบบที่ถูกบุกรุกและส่งไปยังเซิร์ฟเวอร์ C&C ข้อมูลที่รวบรวมประกอบด้วย:

• ผลลัพธ์ของ systeminfo คำสั่ง
• ผลลัพธ์ของ ipconfig / all คำสั่ง
• ผลลัพธ์ของ ทดสอบ /รายการ DC: คำสั่ง (ลบออกใน ต.ค. 2022)
• รายการกระบวนการ
• เวลาทำงาน (ได้รับจาก GetTickCount) เป็นวินาที (ลบออกใน ต.ค. 2022)

In ตุลาคม 2022 โอเปอเรเตอร์ของ Emotet เปิดตัวโมดูลใหม่ที่เราเรียกว่า Hardwareinfo แม้ว่าจะไม่ได้ขโมยข้อมูลเฉพาะเกี่ยวกับฮาร์ดแวร์ของเครื่องที่ถูกบุกรุก แต่ก็ทำหน้าที่เป็นแหล่งข้อมูลเสริมให้กับโมดูล Systeminfo โมดูลนี้รวบรวมข้อมูลต่อไปนี้จากเครื่องที่ถูกบุกรุก:

• ชื่อคอมพิวเตอร์
• ชื่อผู้ใช้
• ข้อมูลเวอร์ชันของ OS รวมถึงหมายเลขเวอร์ชันหลักและรอง
• รหัสเซสชัน
• สตริงยี่ห้อ CPU
• ข้อมูลเกี่ยวกับขนาด RAM และการใช้งาน

ทั้งสองโมดูลมีจุดประสงค์หลักประการเดียว – ตรวจสอบว่าการสื่อสารมาจากเหยื่อที่ถูกบุกรุกโดยชอบด้วยกฎหมายหรือไม่ โดยเฉพาะอย่างยิ่งหลังจากการกลับมาของ Emotet ซึ่งเป็นหัวข้อที่ร้อนแรงในอุตสาหกรรมความปลอดภัยของคอมพิวเตอร์และในหมู่นักวิจัย ดังนั้น Mealybug จึงพยายามอย่างยิ่งยวดที่จะปกป้องตนเองจากการติดตามและตรวจสอบกิจกรรมของพวกมัน ต้องขอบคุณข้อมูลที่รวบรวมโดยสองโมดูลนี้ที่ไม่เพียงรวบรวมข้อมูล แต่ยังมีเคล็ดลับต่อต้านการติดตามและต่อต้านการวิเคราะห์ ความสามารถของ Mealybug ในการแยกแยะเหยื่อที่แท้จริงออกจากกิจกรรมของนักวิจัยมัลแวร์หรือแซนด์บ็อกซ์ได้รับการปรับปรุงอย่างมีนัยสำคัญ

ทำอะไรต่อไป

จากการวิจัยและ telemetry ของ ESET ทั้งสองยุคของบ็อตเน็ตนั้นเงียบไปตั้งแต่ต้นเดือนเมษายน 2023 ปัจจุบันยังไม่ชัดเจนว่านี่เป็นเวลาพักร้อนอีกครั้งสำหรับผู้เขียนหรือไม่ พวกเขาดิ้นรนเพื่อค้นหาเวกเตอร์การติดเชื้อที่มีประสิทธิภาพใหม่หรือหาก มีคนใหม่เข้ามาใช้งานบ็อตเน็ต

แม้ว่าเราจะไม่สามารถยืนยันข่าวลือที่ว่ายุคหนึ่งหรือทั้งสองของบ็อตเน็ตถูกขายให้กับใครบางคนในเดือนมกราคม 2023 แต่เราสังเกตเห็นกิจกรรมที่ผิดปกติในยุคใดยุคหนึ่ง การอัปเดตล่าสุดของโมดูลตัวดาวน์โหลดประกอบด้วยฟังก์ชันใหม่ ซึ่งจะบันทึกสถานะภายในของโมดูลและติดตามการดำเนินการไปยังไฟล์ C:JSmithLoader (รูปที่ 6, รูปที่ 7) เนื่องจากต้องมีไฟล์นี้อยู่แล้วจึงจะบันทึกบางสิ่งได้ ฟังก์ชันนี้จึงดูเหมือนเป็นเอาต์พุตการดีบักสำหรับคนที่ไม่เข้าใจอย่างสมบูรณ์ว่าโมดูลนี้ใช้ทำอะไรและทำงานอย่างไร นอกจากนี้ ในเวลานั้น บ็อตเน็ตยังแพร่กระจายโมดูลสแปมเมอร์อย่างกว้างขวาง ซึ่งถือว่ามีค่ามากกว่าสำหรับ Mealybug เพราะในอดีตพวกเขาใช้โมดูลเหล่านี้เฉพาะกับเครื่องที่พวกเขาพิจารณาว่าปลอดภัยเท่านั้น

รูปที่ 6 การบันทึกพฤติกรรมของโมดูลตัวดาวน์โหลด

รูปที่ 7 การบันทึกพฤติกรรมของโมดูลตัวดาวน์โหลด

ไม่ว่าคำอธิบายใดว่าทำไมบ็อตเน็ตถึงเงียบในขณะนี้ก็เป็นเรื่องจริง Emotet เป็นที่รู้จักในด้านประสิทธิภาพของมัน และผู้ปฏิบัติงานพยายามที่จะสร้างและบำรุงรักษาบ็อตเน็ตใหม่ และเพิ่มการปรับปรุงบางอย่าง ดังนั้นโปรดติดตามบล็อกของเราเพื่อดูว่าอนาคตจะนำมาซึ่งอะไร เรา.

ไอโอซี

ไฟล์

เครือข่าย

เทคนิค MITER ATT&CK

ตารางนี้ถูกสร้างขึ้นโดยใช้ 12 รุ่น ของเทคนิคองค์กร MITER ATT&CK

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. ยานยนต์ / EVs, คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• BlockOffsets การปรับปรุงการเป็นเจ้าของออฟเซ็ตด้านสิ่งแวดล้อมให้ทันสมัย เข้าถึงได้ที่นี่.
• ที่มา: https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/