Emotet trojan: by Pierguido Iezzi,  Jim Koohyar Biniyaz, Riccardo Paglia

Emotet malware : Introduzione

Il Cyber Incident Response Team di Swascan ha gestito, e analizzato una nuova variante del malware Emotet, anche conosciuto con il nome di Mealybug e Geodo. Emotet è stato rilevato 2014 rimane ancora oggi una minaccia concreta ed estremamente attiva. Non è un caso che nel 2019 è stato uno dei Trojan malware più diffusi e in questi ultimi mesi è stato la causa princiali dei diversi data breach.

Inizialmente Emotet era classificato come Trojan bancario. Tra il 2016 e il 2017 il malware è stato aggiornato diventando  uno strumento che permette di scaricare payload maligni sulle macchine infette. Il malware Emotet è diventato uno strumento al servizio dei vari gruppi criminal hacker.

• Vettori di Attacco Emotet Trojan
• Le Fasi cyber attack Emotet
• Strumento Diffusione Ransomware
• Emotet MITRE ATT&CK
• IoC 
• Emotet new wave : Indicatori di Compromissione
• Come difendersi da un attacco ransomware Emotet

Sotto attacco Ransomware?
Contattaci

Emotet malware: Vettori di Attacco

Emotet si diffonde attraverso  le mail phishing che contengono link o documenti. Cliccando sul link o scaricando i documenti nel dispositivo, viene avviato il payload.  Il malware Emotet ha caratteristiche simile ad un worm polimorfo.

Il malware Emotet utilizza principalmente:

• documenti Word
• file con estensione .zip

Aprendo il file viene richiesta l’abilitazione della macro che attiva un PowerShell. In questo modo il payload si connette a Internet per il download completo del malware Emotet. Inoltre Emotet utilizza librerie dinamiche che permettono al malware Emotet l’aggiornamento e l’evoluzione constante mentre è persistente nel network infettato.

Le Fasi di un cyber attack Emotet

1. Infection: tramite una campagna malspam
2. Establish Persistence: crea chiavi di avvio automatico e inserisce nel processo in esecuzione
3. Instruction Phase: si connette al server Command & Control
4. Network Propagation: inizia ad infettare il network

https://us-cert.cisa.gov/

Emotet malware: Strumento Diffusione Ransomware

L’ Emotet Trojan bancario ha subito una evoluzione trasformandosi in un Dropper, un programma che ha il compito di aprire una backdoor sul dispositivo infettato. Questa backdoor viene usata dai criminal hacker per accedere direttamente sul target e installare codice malevole come Trojan o ransomware:

• TrickBot
• Ryuk

Emotet Trojan MITRE ATT&CK

Indicatori di Compromissione

Di seguito gli IoC:

https://www.virustotal.com/gui/file/fa90ce60234356d5733bd40987d6000b9a5086cd13c295f5d7ce6c0e64b57d2e/behavior/Lastline

Emotet new wave : IoC

Swascan ha identificato una nuova .dll relative al malware Emotet:

https://www.virustotal.com/gui/file/389fd7dd8a8acc2ecf6dd040100f0577a5d5967d019be8d43d1f03ebc18ca822/details

Nello specifico si segnala che l’IP 184.66.18.83

Command & Control IP

Come difendersi da un attacco malware Emotet

In caso di Data Breach causato dal Trojan Emotet o in caso di attacco phishing con file malevsi consiglia di:

• Identificare le email aziendali compromesse tramite il servizio di Domain Threat Intelligence
• Effettuare un attività di Cyber Threat Intelligence per identificare eventuali Botnet
• Implementare sistemi di  Network Detection Response e Endpoint Detection Response
• Attivare un servizio di Soc as a Service
• Bloccare le email con allegati che hanno estensioni .dll, .exe,… .
• Bloccare gli allegati con estensioni file .zip o .rar che gli antivirus non possono scansionare
• Attivare le Group Policy Object e le regole del firewall.
• Aggiornare il sistema antivirus
• Effettuare una attività di network scan e relato piano di remediation e aggiornamento dei sistemi
• Effettuare attività di penetration test e vulnerability assessment della rete esposta
• Attivare filtri di security nei gateway di posta elettronica
• Bloccare tramite il firewall indirizzi IP sospetti.
• Adotta il principio del minimo privilegio.
• Segmentare e isolare le reti.
• Disabilitare i servizi di condivisione sistemi, filesharing e stampanti.
• Verificare e controllare l’Active Directory ( group policy, utenti e privilegi)
• Scansionare e rimuovere di allegati di posta elettronica sospetti.
• Prestare attenzione ai supporti rimovibili (USB unità esterne, …).
• Formazione e awareness dei dipendenti
• Attività di Phishing simulation