0 
0 O grupo de ameaças por trás do botnet de distribuição de malware Emotet ressuscitou a oferta de malware como serviço com contramedidas mais sofisticadas para impedir quedas.
De acordo com uma análise de 68 páginas em 10 de outubro da Unidade de Análise de Ameaças da VMware – com base em dados coletados de várias novas campanhas do Emotet no início de 2022 – o grupo aprendeu lições com a demolição da infraestrutura do grupo pela aplicação da lei em 2021 . Isso inclui criar cadeias de execução mais complexas e sutis, ocultar suas configurações e fortalecer sua infraestrutura de comando e controle (C2). Além disso, o grupo atualizou recentemente dois dos oito módulos para melhorar a funcionalidade de roubo de cartão de crédito e sua capacidade de propagação lateral através de uma rede.
No geral, a pesquisa sugere que o Emotet está mudando continuamente para tornar mais difícil para os defensores se adaptarem e bloquearem o malware, afirmou Chad Skipper, tecnólogo de segurança global da VMware, em uma coletiva de imprensa.
“O Emotet abraçou seu papel de distribuidor de malware, concentrando-se mais no avanço de sua técnica de infecção inicial e contando com ondas de e-mails de spam que atraem os usuários a abrir documentos e clicar em links”, disse ele.
A análise do Emotet conclui a ressurreição do grupo de malware como serviço, após uma remoção em janeiro de 2021 pelas autoridades internacionais. Apenas um mês antes da remoção, a Check Point Software Technologies estimou que 7% das empresas foram afetadas pela botnet. As agências de aplicação da lei ganharam o controle da infraestrutura e interromperam os recursos de infecção e entrega de carga útil do Emotet.
No final de 2021, no entanto, versões atualizadas do Emotet e do Conti começaram a ser distribuídas por outro grupo, o Trickbot , inicializando a rede de malware extinta e trazendo-a de volta dos mortos .
O grupo por trás do Emotet – muitas vezes chamado de Mummy Spider, MealyBug ou TA542, dependendo da nomenclatura diferente da empresa de segurança – normalmente usa ondas de mensagens de e-mail de spam e mensagens especialmente criadas para convencer os usuários a clicar em links maliciosos ou abrir documentos maliciosos. O acesso às máquinas comprometidas é então vendido a grupos interessados, que roubam dados, instalam ransomware ou encontram outras maneiras de monetizar o acesso.
O grupo TAU da VMware analisou dados coletados de mensagens de spam, URLs e anexos maliciosos para classificar os ataques em diferentes ondas, mapear a infraestrutura C2 do invasor e fazer engenharia reversa de qualquer malware entregue para obter informações sobre as atividades do invasor.
As duas ondas analisadas pela VMware no relatório usaram um documento malicioso do Excel para infectar sistemas, com a primeira – e menor – onda usando a macro XL4, enquanto a segunda onda emparelhou isso com o PowerShell. Os pesquisadores desconstruíram os ataques em variações iniciais de invocação e em fluxos de execução, encontrando 139 cadeias de programas exclusivas e 20.955 cadeias de invocação exclusivas, que são variantes feitas para tornar a infecção única.
“Com base em uma nova métrica de similaridade, [o grupo de pesquisa] conseguiu identificar vários estágios de ataques do Emotet com várias ondas iniciais de infecção que mudam a maneira como o malware é entregue”, afirmou a VMware em sua análise.
Outras atualizações recentes incluem um módulo que visa os navegadores Chrome do Google para roubar informações de cartão de crédito e um segundo módulo que espalha a infecção para outros computadores usando o protocolo Server Message Block (SMB), uma técnica comum para hackers.
Os agentes de ameaças também usam contramedidas anti-análise significativas para tentar ocultar os detalhes de sua infraestrutura C2, afirmou o relatório. A versão pós-recuperação do Emotet tem dois conjuntos principais de infraestrutura, que a VMware chama de Epoch 4 e Epoch 5, que possuem apenas um único endereço IP comum entre eles. Além disso, o malware pode ser executado usando qualquer uma das 139 cadeias de programas diferentes, embora 80% das amostras analisadas pertencessem a uma das quatro cadeias diferentes.
A cadeia mais popular envolveu “um ataque simples de três estágios envolvendo a execução do Excel e do regsvr32.exe”, afirmou o relatório. “A segunda cadeia mais popular mostra a mesma cadeia de ataque que a primeira, mas com um estágio adicional.”
A VMware descobriu que a infraestrutura dos invasores levava de volta a 328 endereços IP diferentes, 18% dos quais nos Estados Unidos, com a Alemanha e a França respondendo por uma parcela significativa também. No entanto, os servidores que hospedam módulos, atualizações e outras cargas úteis vieram de um conjunto diferente de endereços IP, com a maior parcela (26%) hospedada na Índia.
“[Os] endereços IP dos servidores que hospedam os módulos Emotet podem ser diferentes dos endereços IP extraídos da configuração inicial de carga útil do Emotet”, afirmou o relatório. “[A] maioria dos endereços IP extraídos da configuração provavelmente eram servidores legítimos comprometidos usados para fazer proxy dos servidores reais que hospedavam os módulos Emotet.”
FONTE: DARK READING