Wie steht's eigentlich um Emotet?

Emotet ist eine seit 2014 aktive Malware-Familie, die von einer als Mealybug oder TA542 bekannten Cyberkriminellengruppe betrieben wird. Obwohl sie zunächst als Banking-Trojaner begann, entwickelte sie sich später zu einem Botnet, das sich zu einer der weltweit am weitesten verbreiteten Bedrohungen entwickelte. Emotet verbreitet sich über Spam-E-Mails; sie kann Informationen von kompromittierten Computern exfiltrieren und Malware von Drittanbietern auf sie übertragen. Die Betreiber von Emotet sind bei der Wahl ihrer Ziele nicht sehr wählerisch und installieren ihre Malware sowohl auf Systemen von Einzelpersonen als auch von Unternehmen und größeren Organisationen.

Im Januar 2021 wurde Emotet im Rahmen einer internationalen, von Eurojust und Europol koordinierten Zusammenarbeit von acht Ländern abgeschaltet. Doch trotz dieser Aktion wurde Emotet im November 2021 wieder zum Leben erweckt.

Die wichtigsten Punkte dieses Blogposts

• Emotet hat mehrere Spam-Kampagnen gestartet, seit sie nach ihrer Abschaltung wieder aufgetaucht ist.
• Seitdem hat Mealybug zahlreiche neue Module entwickelt und alle bestehenden Module mehrfach aktualisiert und verbessert.
• Die Betreiber von Emotet haben daraufhin große Anstrengungen unternommen, um die Überwachung und Verfolgung des Botnets zu vermeiden, seit es wieder aufgetaucht ist.
• Derzeit ist Emotet still und inaktiv, wahrscheinlich weil man noch keinen wirksamen neuen Angriffsvektor gefunden hat.

Abbildung 1. Zeitleiste mit interessanten Ereignissen seit der Rückkehr von Emotet

Spam-Kampagnen

Nach dem Comeback Ende 2021, dem mehrere Spam-Kampagnen folgten, setzte sich dieser Trend Anfang 2022 fort, und wir registrierten mehrere Spam-Kampagnen, die von Emotet-Betreibern gestartet wurden. In dieser Zeit verbreitete sich Emotet hauptsächlich über bösartige Microsoft Word- und Microsoft Excel-Dokumente mit eingebetteten VBA-Makros.

Im Juli 2022 änderte Microsoft das Spiel für alle Malware-Familien wie Emotet und Qbot - die Phishing-E-Mails mit bösartigen Dokumenten als Verbreitungsmethode verwendet hatten - durch die Deaktivierung von VBA-Makros in Dokumenten, die aus dem Internet bezogen wurden. Diese Änderung wurde von Microsoft Anfang des Jahres angekündigt und ursprünglich Anfang April eingeführt, doch wurde das Update aufgrund des Feedbacks der Benutzer zurückgezogen. Die endgültige Einführung erfolgte Ende Juli 2022, und wie in Abbildung 2 zu sehen ist, führte das Update zu einem deutlichen Rückgang der Emotet-Kompromittierungen; im Sommer 2022 konnten wir keine nennenswerten Aktivitäten beobachten.

Abbildung 2. Trend der Emotet-Erkennung, gleitender Siebentagesdurchschnitt

Die Deaktivierung des Hauptangriffsvektors von Emotet veranlasste die Betreiber, nach neuen Wegen zur Kompromittierung ihrer Ziele zu suchen. Mealybug begann, mit bösartigen LNK- und XLL-Dateien zu experimentieren, aber als das Jahr 2022 zu Ende ging, hatten die Emotet-Betreiber Mühe, einen neuen Angriffsvektor zu finden, der genauso effektiv sein würde wie VBA-Makros. Im Jahr 2023 führten sie drei verschiedene Malspam-Kampagnen durch, die jeweils einen etwas anderen Angriffsweg und eine andere Social Engineering-Technik testeten. Der schrumpfende Umfang der Angriffe und die ständigen Änderungen des Ansatzes könnten jedoch darauf hindeuten, dass sie mit den Ergebnissen unzufrieden waren.

Die erste dieser drei Kampagnen fand um den 8. März 2023 statt, als das Emotet-Botnet begann, als Rechnungen getarnte Word-Dokumente mit eingebetteten bösartigen VBA-Makros zu verteilen. Dies war recht merkwürdig, da VBA-Makros von Microsoft standardmäßig deaktiviert wurden, so dass die Opfer keinen eingebetteten bösartigen Code ausführen konnten.

In ihrer zweiten Kampagne zwischen dem 13. und 18. März erkannten die Angreifer diese Schwachstellen anscheinend und verwendeten nicht nur die Antwortkette (angebliche Antworten auf legitime, tatsächlich erfolgte E-Mail-Kommunikation - Erklärung weiter unten), sondern wechselten auch von VBA-Makros zu OneNote-Dateien (ONE) mit eingebetteten VBScripts. Wenn die Opfer die Datei öffneten, wurden sie von etwas begrüßt, das wie eine geschützte OneNote-Seite aussah und sie aufforderte, auf eine Schaltfläche "Anzeigen" zu klicken, um den Inhalt zu sehen. Hinter diesem grafischen Element befand sich ein verstecktes VBScript, das so eingestellt war, dass es die Emotet DLL herunterlud.

Trotz einer OneNote-Warnung, die darauf hinweist, dass diese Aktion zu bösartigen Inhalten führen könnte, neigen Menschen dazu, aus Gewohnheit auf ähnliche Aufforderungen zu klicken, und ermöglichen es den Angreifern so möglicherweise, ihre Geräte zu kompromittieren.

Die letzte in der ESET-Telemetrie beobachtete Kampagne wurde am 20. März gestartet und nutzte den bevorstehenden Fälligkeitstermin der Einkommenssteuer in den Vereinigten Staaten. Die vom Botnet versendeten bösartigen E-Mails gaben vor, von der US-Steuerbehörde Internal Revenue Service (IRS) zu stammen und enthielten eine angehängte Archivdatei namens W-9 form.zip. Die beigefügte ZIP-Datei enthielt ein Word-Dokument mit einem eingebetteten bösartigen VBA-Makro, das das anvisierte Opfer wahrscheinlich aktivieren musste. Neben dieser Kampagne, die speziell auf die USA abzielte, beobachteten wir eine weitere Kampagne, die eingebettete VBScripts und OneNote-Ansätze verwendete und zur gleichen Zeit lief.

Wie in Abbildung 3 zu sehen ist, waren die meisten der von ESET entdeckten Angriffe auf Japan (43%) und Italien (13%) gerichtet, obwohl diese Zahlen durch die starke ESET-Benutzerbasis in diesen Regionen verzerrt sein könnten. Nach Abzug dieser beiden führenden Länder (um sich auf den Rest der Welt zu konzentrieren) zeigt Abbildung 4, dass auch der Rest der Welt betroffen war, wobei Spanien (5%) an dritter Stelle lag, gefolgt von Mexiko (5%) und Südafrika (4%).

Abbildung 3. Emotet-Erkennungen Januar 2022 - Juni 2023

Abbildung 4. Emotet-Erkennungen Januar 2022 - Juni 2023 (ohne JP und IT)

Verbesserter Schutz und Verschleierungen

Nach seinem Wiederauftauchen erhielt Emotet mehrere Upgrades. Das erste bemerkenswerte Merkmal ist, dass das Botnet sein kryptografisches Schema wechselte. Vor der Zerschlagung verwendete Emotet RSA als primäres asymmetrisches Verfahren, und nach dem Wiederauftauchen begann das Botnet, Kryptografie mit elliptischen Kurven zu verwenden. Derzeit verfügt jedes Downloader-Modul (auch Hauptmodul genannt) über zwei eingebettete öffentliche Schlüssel. Der eine wird für das Elliptische-Kurven-Diffie-Hellman-Schlüsselaustauschprotokoll verwendet, der andere für eine Signaturprüfung - den digitalen Signaturalgorithmus.

Neben der Aktualisierung der Emotet-Malware auf die 64-Bit-Architektur hat Mealybug auch mehrere neue Verschleierungen zum Schutz seiner Module implementiert. Die erste bemerkenswerte Verschleierung ist die Abflachung des Kontrollflusses, die die Analyse und das Auffinden interessanter Teile des Codes in den Modulen von Emotet erheblich verlangsamen kann.

Mealybug implementierte neue und verbesserte auch die Implementierung vieler Randomisierungstechniken, von denen die bemerkenswertesten die Randomisierung der Reihenfolge von Strukturelementen und die Randomisierung von Anweisungen sind, die Konstanten berechnen (Konstanten sind maskiert).

Eine weitere erwähnenswerte Aktualisierung fand im letzten Quartal 2022 statt, als Module begannen, Timer-Warteschlangen zu verwenden. Damit wurden die Hauptfunktion von Modulen und der Kommunikationsteil von Modulen als Callback-Funktion festgelegt, die von mehreren Threads aufgerufen wird, und all dies wird mit der Verflachung des Kontrollflusses kombiniert, bei der der Statuswert, der verwaltet, welcher Codeblock aufgerufen werden soll, von den Threads gemeinsam genutzt wird. Diese Verschleierung stellt ein weiteres Hindernis bei der Analyse dar und erschwert die Verfolgung des Ausführungsflusses noch mehr.

Neue Module

Um weiterhin profitabel und weit verbreitet zu bleiben, implementierte Mealybug mehrere neue Module, die in Abbildung 5 gelb dargestellt sind. Einige von ihnen wurden als Verteidigungsmechanismus für das Botnet entwickelt, andere für eine effizientere Verbreitung der Malware und schließlich ein Modul, das Informationen stiehlt, mit denen das Geld des Opfers gestohlen werden kann.

Abbildung 5. Die am häufigsten verwendeten Module von Emotet. Rot gab es schon vor dem Takedown; gelb erschien nach dem Comeback

Thunderbird Email Stealer und Thunderbird Contact Stealer

Emotet wird über Spam-E-Mails verbreitet, und die Menschen vertrauen diesen E-Mails oft, weil Emotet erfolgreich eine Technik zur Entführung von E-Mail-Threads einsetzt. Vor dem Takedown verwendete Emotet Module, die wir Outlook Contact Stealer und Outlook Email Stealer nennen, die in der Lage waren, E-Mails und Kontaktinformationen aus Outlook zu stehlen. Da jedoch nicht jeder Outlook verwendet, konzentrierte sich Emotet nach dem Takedown auch auf die kostenlose alternative E-Mail-Anwendung Thunderbird.

Emotet kann ein Thunderbird Email Stealer-Modul auf dem angegriffenen Computer installieren, das (wie der Name schon sagt) in der Lage ist, E-Mails zu stehlen. Das Modul durchsucht die Thunderbird-Dateien mit empfangenen Nachrichten (im MBOX-Format) und stiehlt Daten aus mehreren Feldern, darunter Absender, Empfänger, Betreff, Datum und Inhalt der Nachricht. Alle gestohlenen Informationen werden dann zur weiteren Verarbeitung an einen C&C-Server gesendet.

Zusammen mit dem Thunderbird Email Stealer setzt Emotet auch einen Thunderbird Contact Stealer ein, der in der Lage ist, Kontaktinformationen aus Thunderbird zu stehlen. Dieses Modul durchsucht ebenfalls die Thunderbird-Dateien, dieses Mal sowohl nach empfangenen als auch nach gesendeten Nachrichten. Der Unterschied besteht darin, dass dieses Modul nur Informationen aus den Feldern From:, To:, CC: und Cc: extrahiert und einen internen Graphen erstellt, der zeigt, wer mit wem kommuniziert hat, wobei die Knoten Personen sind und es eine Verbindung zwischen zwei Personen gibt, wenn sie miteinander kommuniziert haben. Im nächsten Schritt ordnet das Modul die gestohlenen Kontakte - beginnend mit den Personen, die am meisten miteinander in Verbindung stehen - und sendet diese Informationen an einen C&C-Server.

All diese Bemühungen werden durch zwei zusätzliche Module ergänzt (die bereits vor dem Takedown existierten) - das MailPassView Stealer-Modul und das Spammer-Modul. MailPassView Stealer missbraucht ein legitimes NirSoft-Tool zur Passwortwiederherstellung und stiehlt Anmeldedaten von E-Mail-Anwendungen. Wenn gestohlene E-Mails, Zugangsdaten und Informationen darüber, wer mit wem in Kontakt steht, verarbeitet werden, erstellt Mealybug bösartige E-Mails, die wie eine Antwort auf zuvor gestohlene Konversationen aussehen, und sendet diese E-Mails zusammen mit den gestohlenen Zugangsdaten an das Spammer-Modul, das diese Zugangsdaten verwendet, um bösartige Antworten auf frühere E-Mail-Konversationen über SMTP zu senden.

Google Chrome Credit Card Stealer

Wie der Name schon sagt, stiehlt Google Chrome Credit Card Stealer Informationen über Kreditkarten, die im Google Chrome-Browser gespeichert sind. Zu diesem Zweck verwendet das Modul eine statisch verknüpfte SQLite3-Bibliothek für den Zugriff auf die Datenbankdatei Web Data, die sich normalerweise in %LOCALAPPDATA%\Google\Chrome\User Data\Default\Web Data befindet. Das Modul fragt die Tabelle credit_cards nach name_of_card, expiration_month, expiration_year und card_number_encrypted ab, die Informationen über die im Google Chrome-Standardprofil gespeicherten Kreditkarten enthält. Im letzten Schritt wird der Wert card_number_encrypted mit dem Schlüssel entschlüsselt, der in der Datei %LOCALAPPDATA%\Google\Chrome\User Data\Local State gespeichert ist, und alle Informationen werden an einen C&C-Server gesendet.

Systeminfo und Hardwareinfo Module

Kurz nach der Rückkehr von Emotet, im November 2021, erschien ein neues Modul, das wir Systeminfo nennen. Dieses Modul sammelt Informationen über ein kompromittiertes System und sendet sie an den C&C-Server. Die gesammelten Informationen bestehen aus:

• Output des systeminfo Befehls
• Output des ipconfig /all Befehls
• Output des nltest /dclist: Befehls (im Oktober 2022 entfernt)
• Prozessliste
• Uptime (von GetTickCount) in Sekunden (im Oktober 2022 entfernt)

Im Oktober 2022 veröffentlichten die Betreiber von Emotet ein weiteres neues Modul, das wir Hardwareinfo nennen. Auch wenn es nicht ausschließlich Informationen über die Hardware eines kompromittierten Rechners stiehlt, dient es als ergänzende Informationsquelle zum Systeminfo-Modul. Dieses Modul sammelt die folgenden Daten von dem kompromittierten Rechner:

• Computername
• Username
• Informationen zur Betriebssystemversion, einschließlich Haupt- und Unterversionsnummern
• Session ID
• CPU-Branding
• Informationen über Größe und Nutzung des RAM

Beide Module haben einen Hauptzweck - zu überprüfen, ob die Kommunikation von einem wirklich echt kompromittierten Opfer stammt oder nicht. Emotet war, besonders nach seinem Comeback, ein sehr heißes Thema in der Computersicherheitsbranche und unter Forschern, so dass Mealybug große Anstrengungen unternahm, um sich vor der Verfolgung und Überwachung seiner Aktivitäten zu schützen. Dank der von diesen beiden Modulen gesammelten Informationen, die nicht nur Daten sammeln, sondern auch Anti-Tracking- und Anti-Analyse-Tricks enthalten, wurden Mealybugs Fähigkeiten, echte Opfer von den Aktivitäten von Malware-Forschern oder Sandboxen zu unterscheiden, erheblich verbessert.

Wie geht es weiter?

Laut ESET-Recherchen und Telemetrie sind beide Epochen des Botnets seit Anfang April 2023 ruhig. Derzeit bleibt unklar, ob es sich um eine weitere Urlaubszeit für die Autoren handelt, ob sie neue effektive Infektionsvektoren finden oder ob jemand Neues das Botnet betreibt.

Auch wenn wir die Gerüchte nicht bestätigen können, dass eine oder beide Epochen des Botnetzes im Januar 2023 an jemanden verkauft wurden, haben wir eine ungewöhnliche Aktivität auf einer der Epochen festgestellt. Das neueste Update des Downloader-Moduls enthielt eine neue Funktion, die die inneren Zustände des Moduls protokolliert und seine Ausführung in einer Datei C:\JSmith\Loader (Abbildung 6, Abbildung 7) verfolgt. Da diese Datei vorhanden sein muss, um tatsächlich etwas zu protokollieren, sieht diese Funktion wie eine Debugging-Ausgabe für jemanden aus, der nicht ganz versteht, was das Modul tut und wie es funktioniert. Darüber hinaus verbreitete das Botnetz zu diesem Zeitpunkt auch Spammer-Module, die für Mealybug als wertvoller gelten, da sie diese Module in der Vergangenheit nur auf Computern verwendet haben, die von ihnen als sicher eingestuft wurden.

Abbildung 6. Protokollierung des Verhaltens des Downloader-Moduls

Abbildung 7. Protokollierung des Verhaltens des Downloader-Moduls

Unabhängig davon, welche Erklärung für die Ruhe im Botnet zutrifft, ist Emotet für seine Effektivität bekannt, und seine Betreiber haben sich bemüht, das Botnet wieder aufzubauen und zu pflegen und sogar einige Verbesserungen hinzuzufügen, also verfolgen Sie unseren Blog weiter, um zu sehen, was uns die Zukunft bringen wird.

IoCs

Files

Network

MITRE ATT&CK techniques

This table was built using version 12 of the MITRE ATT&CK enterprise techniques.