Emotec: o que aconteceu desde o retorno da ameaça?

Emotet é uma família de malware ativa desde 2014, operada por um grupo de cibercriminosos conhecido como Mealybug ou TA542. Embora tenha começado como um trojan bancário, ele evoluiu para um botnet que se tornou uma das ameaças mais prevalentes em todo o mundo. O Emotet se espalha por meio de e-mails de spam e pode extrair informações de computadores comprometidos e também entregar malware de terceiros.

Os operadores do Emotet não são muito seletivos em relação aos seus alvos, instalando seu malware em sistemas pertencentes a indivíduos, empresas e organizações maiores.

Em janeiro de 2021, o Emotet foi alvo de uma ação coordenada internacionalmente por oito países, em uma operação liderada pela Eurojust e pela Europol, resultando em sua desativação. No entanto, apesar dessa operação, o Emotet voltou à ativa em novembro de 2021.

Figura 1. Linha do tempo dos eventos interessantes do Emotet desde seu retorno.

Campanhas de spam

Após seu retorno, seguido por múltiplas campanhas de spam no final de 2021, o início de 2022 continuou com essas tendências e registrou várias campanhas de spam lançadas pelos operadores do Emotet. Durante esse período, o Emotet se espalhou principalmente por meio de documentos maliciosos do Microsoft Word e do Microsoft Excel com macros VBA embutidas.

Em julho de 2022, a Microsoft mudou o jogo para todas as famílias de malware, como Emotet e Qbot, que usavam e-mails de phishing com documentos maliciosos como método de propagação, desabilitando as macros VBA em documentos obtidos da internet. Essa mudança foi anunciada pela Microsoft no início do ano e implementada originalmente no início de abril, mas a atualização foi revertida devido aos comentários dos usuários. A implantação final ocorreu no final de julho de 2022 e, como pode ser visto na Figura 2, a atualização resultou em uma queda significativa nas infecções do Emotet; não observamos nenhuma atividade significativa durante o verão de 2022.

Figura 2. Tendência de detecção do Emotet, média móvel de sete dias.

Desabilitar o principal vetor de ataque do Emotet fez com que seus operadores buscassem novas maneiras de comprometer seus alvos. O grupo Mealybug começou a experimentar arquivos LNK e XLL maliciosos, mas, quando o ano de 2022 estava terminando, os operadores do Emotet enfrentaram dificuldades para encontrar um novo vetor de ataque tão eficaz quanto as macros VBA haviam sido. Em 2023, eles realizaram três campanhas distintas de malspam, cada uma testando uma abordagem de invasão ligeiramente diferente e uma técnica de engenharia social. No entanto, o tamanho reduzido dos ataques e as mudanças constantes na abordagem podem sugerir insatisfação com os resultados.

A primeira dessas três campanhas ocorreu por volta de 8 de março de 2023, quando a botnet do Emotet começou a distribuir documentos do Word, disfarçados como faturas, com macros VBA maliciosas embutidas. Isso foi bastante incomum, pois as macros VBA foram desabilitadas pela Microsoft por padrão, portanto, as vítimas não conseguiam executar o código malicioso embutido.

Em sua segunda campanha, entre 13 e 18 de março, os atacantes aparentemente reconheceram essas falhas e, além de usar a abordagem de cadeia de respostas, eles também trocaram as macros VBA por arquivos do OneNote (ONE) com VBScripts embutidos. Se as vítimas abrissem o arquivo, eram recebidas com o que parecia ser uma página protegida do OneNote, pedindo para clicar em um botão de visualização para ver o conteúdo. Por trás desse elemento gráfico, havia um VBScript oculto, configurado para baixar o DLL do Emotet.

Apesar do aviso do OneNote de que essa ação pode levar a conteúdos maliciosos, as pessoas tendem a clicar em prompts semelhantes por hábito e, assim, podem permitir que os atacantes comprometam seus dispositivos.

A última campanha observada nos dados da ESET foi lançada em 20 de março, aproveitando a data de vencimento do imposto de renda nos Estados Unidos. Os e-mails maliciosos enviados pela botnet fingiam ser do Internal Revenue Service (IRS), o escritório de impostos dos EUA, e continham um arquivo de arquivamento anexado chamado W-9 form.zip. O arquivo ZIP incluía um documento do Word com uma macro VBA maliciosa embutida que a vítima provavelmente teria que habilitar. Além dessa campanha, direcionada especificamente aos EUA, também observamos outra campanha que utilizava abordagem de VBScripts e OneNote que estava em andamento ao mesmo tempo.

Como pode ser visto na Figura 3, a maioria dos ataques detectados pela ESET tinha como alvo o Japão (43%) e a Itália (13%), embora esses números possam estar influenciados pela forte base de usuários da ESET nessas regiões. Após remover esses dois principais países (para focar no restante do mundo), na Figura 4 pode ser observado que o restante do mundo também foi afetado, com a Espanha (5%) em terceiro lugar, seguida pelo México (5%) e África do Sul (4%).

Figura 3. Detecções do Emotet Jan 2022 - Jun 2023.

Figura 4. Detecções do Emotet Jan 2022 - Jun 2023 (JP e IT excluídos).

Proteção avançada e ofuscação

Após seu reaparecimento, o Emotet recebeu várias melhorias. A primeira característica notável é que a botnet trocou seu esquema criptográfico. Antes da desativação, o Emotet usava RSA como seu esquema assimétrico principal, e após o reaparecimento, a botnet começou a usar criptografia de curva elíptica. Atualmente, cada módulo de download (também chamado de módulo principal) vem com duas chaves públicas embutidas. Uma é usada para o protocolo de troca de chaves de curva elíptica de Diffie-Hellman, e a outra é usada para verificação de assinatura - algoritmo de assinatura digital.

Além de atualizar o malware Emotet para a arquitetura de 64 bits, o Mealybug também implementou várias novas técnicas de ofuscação para proteger seus módulos. A primeira técnica de ofuscação notável é a "control flow flattening" (aplanamento do fluxo de controle), que pode retardar significativamente a análise e a localização de partes interessantes do código nos módulos do Emotet.

O Mealybug também implementou e aprimorou sua implementação de várias técnicas de randomização, das quais as mais notáveis são a randomização da ordem dos membros da estrutura e a randomização das instruções que calculam constantes (as constantes são mascaradas).

Outra atualização que vale a pena mencionar aconteceu durante o último trimestre de 2022, quando os módulos começaram a usar filas de temporizadores (timer queues). Com isso, a função principal dos módulos e a parte de comunicação dos módulos foram definidas como uma função de retorno (callback function), que é invocada por várias threads, e tudo isso é combinado com o aplanamento do fluxo de controle, onde o valor de estado que gerencia qual bloco de código deve ser invocado é compartilhado entre as threads. Essa ofuscação adiciona mais um obstáculo na análise e torna ainda mais difícil acompanhar o fluxo de execução.

Novos módulos

Para se manter rentável e como um malware prevalente, o Mealybug implementou vários novos módulos, mostrados em amarelo na Figura 5. Alguns deles foram criados como um mecanismo defensivo para a botnet, outros para uma disseminação mais eficiente do malware e, por último, mas não menos importante, um módulo que rouba informações que podem ser usadas para roubar o dinheiro das vítimas.

Figura 5. Módulos mais frequentemente utilizados pelo Emotet. Vermelho existia antes da desativação; amarelo apareceu após o retorno.

Thunderbird Email Stealer e Thunderbird Contact Stealer

O Emotet se espalha por meio de e-mails de spam e as pessoas muitas vezes confiam nessas mensagens, porque o Emotet usa com sucesso uma técnica de sequestro de thread de e-mail. Antes da desativação, o Emotet usava os módulos que chamamos de Outlook Contact Stealer e Outlook Email Stealer, que eram capazes de roubar e-mails e informações de contato do Outlook. Mas como nem todos usam o Outlook, após a desativação, o Emotet também se concentrou em um aplicativo de e-mail alternativo gratuito - o Thunderbird.

O Emotet pode implantar um módulo chamado Thunderbird Email Stealer no computador comprometido, que (como o nome sugere) é capaz de roubar e-mails. O módulo procura nos arquivos do Thunderbird que contêm mensagens recebidas (no formato MBOX) e rouba dados de vários campos, incluindo remetente, destinatários, assunto, data e conteúdo da mensagem. Todas as informações roubadas são então enviadas para um servidor de C&C (Comando e Controle) para processamento adicional.

Junto com o Thunderbird Email Stealer, o Emotet também implanta um Thunderbird Contact Stealer, que é capaz de roubar informações de contato do Thunderbird. Este módulo também busca nos arquivos do Thunderbird, desta vez procurando por mensagens recebidas e enviadas. A diferença é que este módulo apenas extrai informações dos campos De:, Para:, CC: e Cc: e cria um gráfico interno de quem se comunicou com quem, onde os nós são pessoas e há uma aresta entre duas pessoas se elas se comunicaram entre si. Na próxima etapa, o módulo organiza os contatos roubados - começando pelas pessoas mais interconectadas - e envia essas informações para um servidor de C&C.

Todo esse esforço é complementado por dois módulos adicionais (que já existiam antes da desativação) - o módulo MailPassView Stealer e o módulo Spammer. O MailPassView Stealer abusa de uma ferramenta legítima da NirSoft para recuperação de senhas e rouba credenciais de aplicativos de e-mail. Quando os e-mails, credenciais e informações sobre quem está em contato com quem são processados, o Mealybug cria e-mails maliciosos que parecem ser uma resposta a conversas roubadas anteriormente e envia esses e-mails, juntamente com as credenciais roubadas, para um módulo de Spammer que usa essas credenciais para enviar respostas maliciosas a conversas de e-mail anteriores via SMTP.

Google Chrome Credit Card Stealer

Como o nome sugere, o Google Chrome Credit Card Stealer rouba informações sobre cartões de crédito armazenados no navegador Google Chrome. Para isso, o módulo utiliza uma biblioteca SQLite3 vinculada estaticamente para acessar o arquivo de banco de dados Web Data, normalmente localizado em %LOCALAPPDATA%\Google\Chrome\User Data\Default\Web Data. O módulo consulta a tabela credit_cards para obter informações como nome do cartão, mês de expiração, ano de expiração e número do cartão criptografado, que contêm informações sobre os cartões de crédito salvos no perfil padrão do Google Chrome. Na última etapa, o valor do card_number_encrypted é descriptografado usando a chave armazenada no arquivo %LOCALAPPDATA%\Google\Chrome\User Data\Local State e todas as informações são enviadas para um servidor de C&C.

Módulos Systeminfo e Hardwareinfo

Pouco depois do retorno do Emotet, em novembro de 2021, um novo módulo que chamamos de Systeminfo apareceu. Esse módulo coleta informações sobre o sistema comprometido e as envia para o servidor de C&C. As informações coletadas consistem em:

• Saída do comando systeminfo;
• Saída do comando ipconfig /all;
• Saída do comando nltest /dclist: (removido em outubro de 2022);
• Lista de processos em execução;
• Tempo de atividade (obtido via GetTickCount) em segundos (removido em outubro de 2022).

Em outubro de 2022, os operadores do Emotet lançaram outro novo módulo que chamamos de Hardwareinfo. Embora não roube exclusivamente informações sobre o hardware de uma máquina comprometida, ele serve como uma fonte complementar de informações para o módulo Systeminfo. Esse módulo coleta os seguintes dados da máquina comprometida:

• Nome do computador;
• Nome de usuário;
• Informações sobre a versão do sistema operacional, incluindo números de versão principal e secundária;
• ID da sessão;
• Marca do processador;
• Informações sobre o tamanho e uso da memória RAM.

Ambos os módulos têm um objetivo principal: verificar se a comunicação vem de uma vítima legítima comprometida ou não. O Emotet foi, especialmente após seu retorno, um tópico muito discutido na indústria de segurança cibernética e entre os pesquisadores, então o Mealybug fez de tudo para se proteger do rastreamento e monitoramento de suas atividades. Graças às informações coletadas por esses dois módulos, que não apenas coletam dados, mas também possuem truques anti-rastreamento e anti-análise, as capacidades do Mealybug de distinguir vítimas reais das atividades de pesquisadores de malware ou ambientes de sandbox foram significativamente aprimoradas.

O que está por vir?

De acordo com a pesquisa e telemetria da ESET, ambos os Epochs da botnet estiveram inativos desde o início de abril de 2023. Atualmente, não está claro se isso é apenas mais um período de inatividade para os autores, se eles estão tendo dificuldades em encontrar um novo vetor de infecção eficaz ou se há alguém novo operando a botnet.

Embora não possamos confirmar os rumores de que um ou ambos os Epochs da botnet foram vendidos para alguém em janeiro de 2023, observamos uma atividade incomum em um dos Epochs. A mais recente atualização do módulo de download continha uma nova funcionalidade, que registra os estados internos do módulo e rastreia sua execução em um arquivo C:\JSmith\Loader (Figura 6, Figura 7). Como esse arquivo precisa existir para realmente registrar algo, essa funcionalidade parece ser uma saída de depuração para alguém que não compreende completamente o que o módulo faz e como ele funciona. Além disso, naquela época, a botnet também estava espalhando amplamente módulos Spammer, que são considerados mais valiosos para o Mealybug, pois historicamente eles usavam esses módulos apenas em máquinas que consideravam seguras.

Neste momento, não podemos afirmar com certeza o que acontecerá em seguida com o Emotet. Pode ser uma pausa temporária, um período de adaptação para os operadores ou uma mudança na operação da botnet. A natureza evolutiva e adaptável do Emotet torna difícil prever seus próximos movimentos.

Figura 6. Registro do comportamento do módulo de download.

Figura 7. Registro do comportamento do módulo de download.

Seja qual for a explicação verdadeira para o motivo pelo qual a botnet está inativa agora, o Emotet é conhecido por sua eficácia e seus operadores fizeram um esforço para reconstruir e manter a botnet, e até mesmo adicionar algumas melhorias. Portanto, continue acompanhando nosso blog para ver o que o futuro nos reserva.

IoCs

Arquivos

Rede

Tabela de Técnicas MITRE ATT&CK

Esta tabela foi construída utilizando a versão 12 das técnicas MITRE ATT&CK.