Troyano Emotet lanza su especial de Black Friday y envía como adjunto archivos XML infectados

El laboratorio de ESET detectó otra gran campaña de Emotet que probablemente esté vinculada con el incremento de las compras online y el envío de correos relacionados con el Black Friday. Comparado con los ataques previos, los operadores detrás de este troyano han modificado ligeramente su modus operandi. Si bien esta nueva campaña sigue siendo distribuida a través de correos spam que contienen archivos adjuntos con macros infectados o enlaces que dirigen a esos archivos, en fechas cercanas al Black Friday se detectaron adjuntos y enlaces que dirigen hacia archivos XML con la extensión .doc, en lugar de lo que se observó anteriormente, donde enviaban archivos DOC y PDF.

En cuanto al payload secundario, Emotet está distribuyendo varias familias de troyanos bancarios, como son Ursnif, TrickBot y en el mayor de los casos IcedId. El último también descargó otro payload nombrado Azorult, el cual es detectado por ESET como Win32/PSW.Delf.OSF, y que es conocido por su habilidad para robar contraseñas, detalles de tarjetas de crédito y accesos a billeteras de criptomonedas. Por otra parte, TrickBot “mejoró” al incorporar múltiples bancos de Reino Unido y Alemania a la lista de sus blancos de ataque.

Analizando la distribución geográfica de esta última campaña, los países de América Latina parecen ser los más afectados, siendo México, Ecuador y Argentina quienes lideran la lista de cientos de miles de detecciones. Asimismo, Estados Unidos está en el top cinco de los países apuntados, mientras que Reino Unido y Sudáfrica forman parte del top diez.

Tendencia de las detecciones de Emotet según ESET.

Artículos recientes:

• Análisis de cómo funciona la última campaña de propagación de Emotet
• Troyano Emotet lanza nueva campaña masiva de spam

Indicadores de Compromiso (IoCs)

Payloads de Emotet

PSW.Delf.OSF – AZORult