Black Friday News: Emotet flutet E-Mail-Postfächer mit schädlichen Anhängen

ESET hat eine weitere große Emotet-Kampagne entdeckt. Aller Wahrscheinlichkeit nach hängt diese mit dem Black Friday Online-Shopping und den versendeten Bestätigungsmails über eine Bestellung zusammen. Die Emotet-Malware-Operatoren haben im Vergleich zur vorherigen Kampagne ihre Vorgehensweise leicht geändert. Emotet-Malware wird zwar nach wie vor durch Spam-E-Mails verbreitet. Allerdings beinhaltet der Anhang nun schädliche Makros in .docx-Dokumenten oder Links zu solchen, anstatt DOC- oder PDF-Dateien.

Als sekundäre schädliche Payload verteilt Emotet derzeit verschiedene Banking-Malware, darunter Ursnif, TrickBot und am häufigsten IcedId. Letztere lädt zudem eine weitere Payload herunter. Hierbei handelt es sich um Azorult (ESET erkennt diese Malware als Win32/PSW.Delf.OSF), welche für seine Fähigkeit bekannt ist, Kennwörter, Kreditkartendaten und den Zugriff auf das Krypto-Wallet zu stehlen. TrickBot wurde um mehrere britische und deutsche Banken in der Liste der Ziele ergänzt. Das stimmt mit den deutschen und englischen Betreffzeilen der Spam-E-Mails und deren Inhalt überein, welche ESET im neuesten Blog über Emotet beschreibt.

Ein Blick auf die geografische Verteilung der gegenwärtigen Angriffswelle verdeutlicht, dass die lateinamerikanischen Länder am stärksten betroffen sind. Mexiko, Ecuador und Argentinien führen die Liste an (Hundertausende Malware-Erkennungen). Die USA befinden sich in den Top-5-Zielländern, Großbritannien und Südafrika in den Top-10.

Indicators of Compromise (IoCs)

Emotet Payloads

PSW.Delf.OSF – AZORult