El regreso de Emotet, ¿qué ocurrió desde entonces?

Emotet es una familia de malware activa desde 2014, operada por un grupo de ciberdelincuencia conocido como Mealybug o TA542. Aunque comenzó como un troyano bancario, más tarde se convirtió en una botnet que se pasó a ser una de las amenazas más frecuentes en todo el mundo.

Se propaga a través de correos electrónicos no deseados y puede filtrar información e instalar malware a las computadoras comprometidas. Los operadores de Emotet no son muy exigentes con sus objetivos atacan tanto a individuos, como a empresas y organizaciones más grandes.

En enero de 2021, había sido objeto de un desmantelamiento como resultado de un esfuerzo de colaboración internacional de ocho países coordinado por Eurojust y Europol. Sin embargo, a pesar de esta operación, Emotet volvió a la vida en noviembre de 2021.

Imagen 1. Cronología de eventos relevantes desde su regreso.

Campañas de spam

Después del regreso, seguido de múltiples campañas de spam a fines de 2021, el comienzo de 2022 continuó con estas tendencias y registramos múltiples campañas de spam lanzadas por operadores de Emotet.

Durante este tiempo, se propagó principalmente a través de documentos maliciosos de Microsoft Word y Microsoft Excel con macros VBA (Visual Basic para Aplicaciones) incrustadas.

En julio de 2022, Microsoft cambió el juego para todas las familias de malware que habían utilizado correos electrónicos de phishing con documentos maliciosos como método de propagación, al deshabilitar las macros VBA en documentos obtenidos de Internet.

Como se puede ver en la Imagen 2, la actualización resultó en una caída significativa en los compromisos de Emotet y durante el invierno 2022 no observamos ninguna actividad significativa.

Este cambio fue había sido anunciado por Microsoft a principios de año e implementado originalmente a principios de abril, pero la actualización se había revertido debido a los comentarios de los usuarios.

La desactivación del vector de ataque principal de Emotet hizo que sus operadores buscaran nuevas formas de comprometer sus objetivos. Mealybug comenzó a experimentar, entonces, con archivos maliciosos LNK y XLL; necesitaban un nuevo vector de ataque que fuera tan efectivo como lo habían sido las macros VBA.

Imagen 2. Tendencia en la detección de Emotet, media móvil de 7 dias.

Campañas 2023

En 2023, realizaron tres campañas distintivas de malspam, cada una probando una vía de intrusión y una técnica de ingeniería social ligeramente diferentes. Sin embargo, la reducción del tamaño de los ataques y los cambios constantes en el enfoque pueden sugerir insatisfacción con los resultados.

La primera de esas tres campañas ocurrió alrededor del 8 de marzo de 2023, cuando la botnet Emotet comenzó a distribuir documentos de Word, enmascarados como facturas, con macros VBA maliciosas incrustadas. Algo bastante extraño porque las macros VBA estaban deshabilitadas por Microsoft de forma predeterminada, por lo que las víctimas no podían ejecutar código malicioso incrustado.

En su segunda campaña entre el 13 y el 18 de marzo, los atacantes aparentemente reconocieron estos defectos y, además de usar el enfoque de cadena de respuesta, también cambiaron de macros VBA a archivos OneNote (ONE) con VBScripts incrustados.

Si las víctimas abrían el archivo, eran recibidas por lo que parecía una página protegida de OneNote, pidiéndoles que hicieran clic en un botón Ver, detrás de este elemento gráfico había un VBScript oculto, configurado para descargar la DLL de Emotet.

A pesar de una advertencia de OneNote de que esta acción podría conducir a contenido malicioso, las personas tienden a hacer clic en indicaciones similares por hábito y, por lo tanto, pueden permitir que los atacantes pongan en peligro sus dispositivos.

La última campaña observada en la telemetría de ESET se lanzó el 20 de marzo, aprovechando la próxima fecha de vencimiento del impuesto sobre la renta en los Estados Unidos: los correos electrónicos maliciosos pretendían provenir del Servicio de Impuestos Internos (IRS) de la oficina de impuestos de los Estados Unidos y llevaban un archivo adjunto llamado formulario W-9.zip.

El archivo ZIP incluido contenía un documento de Word con una macro VBA maliciosa incrustada que la víctima probablemente tenía que habilitar.

Además de esta campaña, dirigida específicamente a los EE. UU., También observamos otra campaña que utilizaba VBScripts incrustado y el enfoque de OneNote que estaba en marcha al mismo tiempo.

Como se puede ver en la Imagen 3, la mayoría de los ataques detectados por ESET estaban dirigidos a Japón (43%), Italia (13%), aunque estos números pueden estar sesgados por la sólida base de usuarios de ESET en estas regiones.

Después de eliminar esos dos primeros países (para centrarse en el resto del mundo), en la Imagen 4 se puede ver que el resto del mundo también se vio afectado, con España (5%) en tercer lugar seguido de México (5%) y Sudáfrica (4%).

Imagen 3. Detecciones de enero 2022  – enero 2023.

Imagen 4. Detecciones enero 2022  – enero 2023 (Japón e Italia excluídas).

Protección y ofuscación mejoradas

Después de su reaparición, Emotet recibió múltiples actualizaciones. La primera característica notable es que la botnet cambió su esquema criptográfico. Antes del derribo, Emotet usaba RSA como su esquema asimétrico primario y después de la reaparición, la botnet comenzó a usar criptografía de curva elíptica.

Actualmente, cada módulo de downloader (también llamado módulo principal) viene con dos claves públicas integradas: uno se utiliza para el protocolo de intercambio de claves Diffie Hellman de curva elíptica, y el otro se utiliza para una verificación de firma -algoritmo de firma digital-.

Además de actualizar el malware a la arquitectura de 64 bits, Mealybug también ha implementado múltiples ofuscaciones nuevas para proteger sus módulos.

La primera ofuscación notable es el aplanamiento del flujo de control que puede ralentizar significativamente el análisis y localizar partes interesantes del código en los módulos de Emotet.

Mealybug también implementó y mejoró las técnicas de aleatorización, de las cuales las más notables son la del orden de los miembros de la estructura y la de instrucciones de cálculo de constantes (las constantes están enmascaradas).

Una actualización más que vale la pena mencionar ocurrió durante el último trimestre de 2022, cuando los módulos comenzaron a usar colas de temporizador.

La función principal de los módulos y la parte de comunicación se establecieron como una función de devolución de llamada -que es invocada por múltiples hilos-. Todo esto se combina con el aplanamiento del flujo de control, donde el valor de estado que administra qué bloque de código se invoca se comparte entre los hilos. Esta ofuscación se suma a otro obstáculo en el análisis y hace que el seguimiento del flujo de ejecución sea aún más difícil.

Nuevos módulos

Para seguir siendo malware rentable y prevalente, Mealybug implementó varios módulos nuevos, que se muestran en amarillo en la Imagen 5.

Algunos de ellos fueron creados como un mecanismo defensivo para la botnet, otros para una propagación más eficiente y, por último, pero no menos importante, un módulo que roba información que puede usarse para robar el dinero de la víctima.

Imagen 5. Módulos de uso frecuente por Emotet. En rojo los que existían antes del takedown; amarillo aquellos que aparecieron con su regreso.

Thunderbird Email Stealer y Thunderbird Contact Stealer

Emotet se propaga a través de correos electrónicos no deseados y las personas a menudo confían en esos correos electrónicos, porque utiliza con éxito una técnica de secuestro de hilos de correo electrónico.

Antes de la eliminación, Emotet usaba módulos que llamamos Outlook Contact Stealer y Outlook Email Stealer, que eran capaces de robar correos electrónicos e información de contacto de Outlook. Pero debido a que no todos usan Outlook, después del derribo, se centró también en una aplicación de correo electrónico alternativa gratuita: Thunderbird.

Emotet puede implementar un módulo Thunderbird Email Stealer en la computadora comprometida, que (como su nombre indica) es capaz de robar correos electrónicos.

El módulo busca a través de los archivos de Thunderbird que contienen mensajes recibidos (en formato MBOX) y roba datos de múltiples campos, incluidos el remitente, los destinatarios, el asunto, la fecha y el contenido del mensaje.  Toda la información robada se envía a un servidor C&C para su posterior procesamiento.

Junto con Thunderbird Email Stealer, Emotet también despliega un Thunderbird Contact Stealer, que es capaz de robar información de contacto de Thunderbird. Este módulo también busca a través de los archivos de Thunderbird, esta vez buscando mensajes recibidos y enviados.

La diferencia es que este módulo solo extrae información de los campos De:,  Para:, CC: y Cc: y crea un gráfico interno de quién se comunicó con quién, donde los nodos son personas, y hay una ventaja entre dos personas si se comunicaron entre sí.

En el siguiente paso, el módulo ordena los contactos robados, comenzando con las personas más interconectadas, y envía esta información a un servidor C&C.

Todo este esfuerzo se complementa con dos módulos adicionales (que ya existían antes del derribo): el módulo MailPassView Stealer y el módulo Spammer. MailPassView Stealer abusa de una herramienta legítima de NirSoft para la recuperación de contraseñas y roba credenciales de aplicaciones de correo electrónico.

Cuando se procesan correos electrónicos, credenciales e información robados sobre quién está en contacto con quién, Mealybug crea correos electrónicos maliciosos que parecen una respuesta a conversaciones previamente robadas y envía esos correos electrónicos junto con las credenciales robadas a un módulo Spammer que usa esas credenciales para enviar respuestas maliciosas a conversaciones de correo electrónico anteriores a través de SMTP.

Google Chrome Credit Card Stealer

Como su nombre indica, roba información sobre tarjetas de crédito almacenadas en el navegador Google Chrome. Para lograr esto, el módulo utiliza una biblioteca SQLite3 vinculada estáticamente para acceder al archivo de base de datos de datos web que generalmente se encuentra en %LOCALAPPDATA%\Google\Chrome\User Data\Default\Web Data.

El módulo consulta la tabla credit_cards para name_of_card, expiration_month, expiration_year y card_number_encrypted, que contiene información sobre las tarjetas de crédito guardadas en el perfil predeterminado de Google Chrome. En el último paso, el valor card_number_encrypted se descifra utilizando la clave almacenada en el archivo %LOCALAPPDATA%\Google\Chrome\User Data\Local State y toda la información se envía a un servidor C&C.

Módulos Systeminfo y Hardwareinfo

En noviembre de 2021 apareció un nuevo módulo que llamamos Systeminfo y que recopila información sobre un sistema comprometido y la envía al servidor C&C.

La información recopilada consiste en:

• Salida del comando systeminfo
• Salida del  comando ipconfig /all
• Salida del comando nltest /dclist: (eliminado en octubre de 2022)
•  Lista de procesos
• Tiempo de actividad (obtenido a través de GetTickCount) en segundos (eliminado en octubre de 2022)

En octubre de 2022, los operadores de Emotet lanzaron otro nuevo módulo que llamamos Hardwareinfo. Aunque no roba exclusivamente información sobre el hardware de una máquina comprometida, sirve como fuente complementaria de información para el módulo Systeminfo. Este módulo recopila los siguientes datos de la máquina comprometida:

•  Nombre del equipo
• Nombre de usuario
• Información sobre la versión del sistema operativo, incluidos los números de versión principales y secundarios
•  ID de sesión
•  Cadena de marca de CPU
• Información sobre el tamaño y el uso de RAM

Ambos módulos tienen un propósito principal: verificar si la comunicación proviene de una víctima legítimamente comprometida o no.

Emotet fue, especialmente después de su regreso, un tema realmente candente en la industria de la seguridad informática y entre los investigadores, por lo que Mealybug hizo todo lo posible para protegerse del seguimiento y monitoreo de sus actividades.

Gracias a la información recopilada por estos dos módulos que no solo recopilan datos, sino que también contienen trucos anti-seguimiento y anti-análisis, las capacidades de Mealybug para distinguir a las víctimas reales de las actividades de los investigadores de malware o sandboxes se mejoraron significativamente.

¿Qué sigue?

Según la investigación y telemetría de ESET, las Epoch (sub-bonet) han estado tranquilas desde principios de abril de 2023. Actualmente no está claro si este es otro tiempo de vacaciones para los autores, si luchan por encontrar un nuevo vector de infección o si hay alguien nuevo operando la botnet.

Aunque no podemos confirmar los rumores de que una o ambas Epoch se vendieron a alguien en enero de 2023, notamos una actividad inusual en una de ellas.

La actualización más reciente del módulo descargador contenía una nueva funcionalidad, que registra los estados internos del módulo y realiza un seguimiento de su ejecución en un archivo C:\JSmith\Loader (Imágenes 6 y 7).

Debido a que este archivo tiene que existir para registrar algo, esta funcionalidad parece una salida de depuración para alguien que no entiende completamente lo que hace el módulo y cómo funciona.

Imagen 6. Registro del comportamiento del modulo de descarga.

Además, en ese momento la botnet también estaba difundiendo ampliamente los módulos Spammer, que se consideran más valiosos para Mealybug porque históricamente usaban estos módulos solo en máquinas que consideraban seguras.

Imagen 7. Registro del comportamiento del modulo de descarga.

Cualquiera que sea la explicación de por qué la botnet está tranquila, Emotet ha sido conocida por su efectividad y sus operadores hicieron un esfuerzo para reconstruir y mantener la botnet e incluso agregar algunas mejoras.

IoCs

Files

Network

MITRE ATT&CK techniques

This table was built using version 12 of the MITRE ATT&CK enterprise techniques.