Emotet ist eine Schadsoftware, die Windows-Systeme befällt und meist über schädliche E-Mail-Anhänge versendet wird. Nachdem der Emotet-Virus für einige Zeit von der Bildfläche verschwunden war, bestätigten Proofpoint-Sicherheitsforscher am 17. Juli 2020 - mehr als 160 Tage nach der letzten bekannten Verbreitung der Schadsoftware - die Rückkehr der Malware. Zu diesem Zeitpunkt beobachteten sie mehr als eine viertel Million neue E-Mails mit Emotet als Payload. Die Hackergruppe TA542 (Threat Actor 542), die offenbar hinter der aktuellen Kampagne steht, attackierte dabei verschiedene Branchen in den USA und Großbritannien.
Vor allem 2019 beherrschte Emotet weltweit die Schlagzeilen, wenn es um Cybersicherheit ging. Doch dann wurde es ruhig um die Malware. Und fast sah es so aus, als wäre die akute Bedrohung, die von Emotet ausgeht, bereits gebannt, bis die Schadsoftware mit voller Wucht zurückkehrte. Cyberkriminelle der Gruppe TA542 versendeten im Rahmen einer Kampagne bis 17. Juli 2020 über 250.000 E-Mails, die Emotet als Payload nutzen. Die Angriffe, die mittels englischsprachiger Köder durchgeführt werden, galten verschiedenen Industriezweigen in den USA und Großbritannien. Versendet werden Emotet-Nachrichten mit präparierten Word-Dateianhängen bzw. beinhalten URLs, die auf solche präparierten Word-Dokumente verweisen (siehe Abbildungen im Folgenden).
Bekannt als vielseitig einsetzbare und aggressive Bedrohung, verfügten frühe Versionen von Emotet lange Zeit über ein Banking-Modul, mit dessen Hilfe Cyberkriminelle betrügerische Überweisungen tätigen konnten. Daher wurde die Malware auch jahrelang Banking-Trojaner klassifiziert. Spätere Versionen von Emotet jedoch luden nicht mehr das eigene Banking-Modul, sondern stattdessen Banking-Malware von Drittanbietern. In jüngerer Zeit beobachtete Proofpoint Emotet-Payloads von Drittanbietern wie Qbot, The Trick, IcedID und Gootkit. Darüber hinaus lädt Emotet zudem seine Module für Spamming, Diebstahl von Zugangsdaten, E-Mail-Harvesting und zur Verbreitung in lokalen Netzwerken.
Sherrod DeGrippo, Senior Director, Threat Research and Detection bei Proofpoint erläutert die aktuelle Kampagne: „Sicherheitsforscher von Proofpoint waren jetzt in der Lage, die Rückkehr der Malware Emotet zu belegen. Sie wurde zuvor zuletzt am 7. Februar dieses Jahres in einer E-Mail-Kampagne genutzt. Die damit in Verbindung stehende Gruppe, TA542, nutzt seine Infrastruktur häufig zu Testzwecken, um den Erfolg und den Umfang von Kampagnen zu überprüfen. Dennoch scheint die aktuell groß angelegte Kampagne kein Test zu sein – aber das ist auch nicht neu. Die Gruppe war 161 Tage lang abgetaucht und kam jetzt im Grunde zurück, als sei nichts gewesen. Die verwendeten Köder sind auch nicht neu oder ungewöhnlich. Ferner nutzen sie keine aktuellen Ereignisse wie COVID-19 oder andere Themen rund um die Pandemie. Zudem nutzen sie dasselbe Botnetz.“
Emotet erkennen: Screenshots von E-Mails und Word-Dokumenten der aktuellen Kampagne
Abbildung 1: E-Mail-Köder mit präpariertem Word-Dateianhang
Abbildung 2: Weiterer E-Mail-Köder mit präpariertem Word-Dateianhang
Abbildung 3: Word-Dokument mit gefährlichen Makros