Emotet kötü amaçlı yazılım operasyonu, üç aylık bir aradan sonra Salı sabahı, ağını yeniden inşa ederek ve dünya çapında cihazları bulaştıktan sonra tekrar kötü niyetli e-postaları spam gönderiyor.
Emotet, kötü amaçlı Microsoft Word ve Excel belge ekleri içeren e -posta yoluyla dağıtılan kötü şöhretli bir kötü amaçlı yazılımdır. Kullanıcılar bu belgeleri açtığında ve makrolar etkinleştirildiğinde, Emotet DLL indirilir ve belleğe yüklenir.
Emotet yüklendikten sonra, kötü amaçlı yazılım sessizce oturur ve bir uzak komut ve kontrol sunucusundan talimatlar bekler.
Sonunda, kötü amaçlı yazılım, gelecekteki Emotet kampanyalarında kullanılmak üzere kurbanların e -postalarını ve kişilerini çalacak veya kobalt grevi veya genellikle fidye yazılımı saldırılarına yol açan diğer kötü amaçlı yazılımlar gibi ek yükler indirecektir.
Emotet geçmişte en çok dağıtılmış kötü amaçlı yazılım olarak kabul edilirken, son spam operasyonu Kasım 2022'de görülürken yavaş yavaş yavaşladı. Ancak o zaman bile, spam sadece iki hafta sürdü.
Bugün, siber güvenlik firması Cofense ve Emotet izleme grubu Cryptolaemus, Emotet Botnet'in bir kez daha e-posta göndermeye devam ettiği konusunda uyardı.
Cryptolaemus, "1200utc itibariyle nihayet spam göndermek için E4'ü spam gönderdi. 500MB'ın üzerinde çok büyük olan kırmızı şafak şablonları görüyoruz. Şu anda iyi bir spam akışı görüyor. Şu anda yük url'leri ve çirkin makroların septeti."
Cofense ayrıca BleepingComputer'a spam kampanyasının sabah 7: 00'de başladığını ve mevcut hacimlerin düşük kaldığını doğruladı.
Cofense, BleepingComputer'a verdiği demeçte, "Gördüğümüz ilk e -posta sabah 7 civarındaydı. Şu anda, yeniden inşa etmeye ve hedefe yönelik kitaplardan yararlanmak ve adres almak için yeni kimlik bilgileri toplamaya devam ettikleri için hacim düşük kalıyor." Dedi.
Önceki kampanyada olduğu gibi yanıt zinciri e-postalarını kullanmak yerine, tehdit aktörleri, aşağıda gösterildiği gibi faturalar gibi davranan e-postaları kullanıyor.
Bu e -postalara, 500 MB'lık büyüklükte şişirilmiş kelime belgeleri içeren zip arşivleri eklenmiştir. Antivirüs çözümlerinin onları kötü niyetli olarak taraması ve algılaması için dosyaları daha büyük ve daha zor hale getirmek için kullanılmayan verilerle doldurulur.
Bu Microsoft Word belgeleri, Emotet'in 'Kırmızı Şafak' belge şablonunu kullanır ve kullanıcıların belgedeki içeriği doğru bir şekilde görmesini etkinleştirmelerini ister.
Bu belgeler, birçoğu WordPress blogları hacklenmiş olan güvenliği ihlal edilmiş sitelerden bir DLL olarak emotet yükleyicisini indirecek bir makro karmaşası içerir.
İndirildiğinde Emotet, % localAppData % altında rastgele adlandırılmış bir klasöre kaydedilecek ve regsvr32.exe kullanılarak başlatılacaktır.
Kelime belgesi gibi, Emotet DLL de antivirüs yazılımı tarafından kötü niyetli olarak tespit etme yeteneğini engellemek için 526MB olarak yastıklıdır.
Bu kaçırma tekniği, kötü amaçlı yazılımın 64 motordan sadece bir güvenlik satıcısı tarafından tespit edildiği bir Virustotal taramada gösterildiği gibi, bu satıcının sadece 'malware.swollenfile' olarak algıladığı başarıyı gösterir.
Çalıştıktan sonra, kötü amaçlı yazılım arka planda çalışacak, komutları bekleyecek, bu da cihaza daha fazla yük yükleyecek
Yükler, diğer tehdit aktörlerinin cihaza uzaktan erişmesine izin verir, bu da daha sonra tehlikeye atılan ağda daha fazla yayılmak için kullanılır.
Bu saldırılar genellikle veri hırsızlığına ve ihlal edilen ağlara tam gelişmiş fidye yazılımı saldırılarına yol açar.
Cofense, şimdi herhangi bir ek yükün bırakıldığını görmediklerini ve kötü amaçlı yazılımların sadece gelecekteki spam kampanyaları için veri topladığını söylüyor.
Emotet ağını yeniden inşa ederken, mevcut yöntem Microsoft tarafından yapılan son değişikliklerden sonra fazla başarılı olmayabilir.
Temmuz 2022'de Microsoft nihayet internetten indirilen Microsoft Office belgelerinde varsayılan olarak makroları devre dışı bıraktı.
Bu değişiklik nedeniyle, bir Emotet belgesi açan kullanıcılar, dosyanın kaynağına güvenilmediğinden makroların devre dışı bırakıldığını belirten bir mesajla karşılanır.
Analiz Kıdemli Güvenlik Açığı Analisti, Will Dorman, BleepingComputer'a bu değişikliğin e -postalardan kaydedilen ekleri de etkilediğini söyledi.
Emotet e -postaları alan çoğu kullanıcı için, bu özellik muhtemelen bunları etkinleştirmek için uyumlu bir çaba göstermedikçe yanlışlıkla makroları etkinleştirmekten koruyacaktır.
Bu değişiklik, diğer tehdit aktörlerinin Word ve Excel belgelerinden uzaklaşmasına ve Microsoft Onenote, ISO Images ve JS dosyaları gibi diğer dosya formatlarını kötüye kullanmasına neden oldu.
Bu ilk kampanya amaçlandığı gibi gitmedikten sonra Emotet'in farklı bağlanma türlerine de taşınmasını görmek şaşırtıcı olmaz.
Eski pencereler ‘sahte klasörler’ UAC Bypass, kötü amaçlı yazılımları bırakmak için kullanılır
Microsoft OneNote dosyalarının pencereleri kötü amaçlı yazılımlarla enfekte etmesini nasıl önleyebilirim
Bilgisayar korsanları, Windows, Android kötü amaçlı yazılımları itmek için sahte chatgpt uygulamalarını kullanır
Bilgisayar korsanları, bilgi kullanan kötü amaçlı yazılımları zorlamak için sahte kripto iş tekliflerini kullanır
Hacker, yüksek değerli hedefler bulmak için yeni 'ekran görüntüsü' kötü amaçlı yazılım geliştirir
Kaynak: Bleeping Computer