Nueva campaña masiva de Emotet tras cinco meses de inactividad

Recomendados:  Haz que tu programa de seguridad del software tenga éxito Leer  La solución SAST para proteger la ciberseguridad de los bancos Webinar ondemand

Meses después de su última oleada, los investigadores de Proofpoint han confirmado el regreso de esta amenaza. La firma de seguridad Proofpoint ha detectado la distribución el 17 de julio de casi 250.000 correos con Emotet, y el número continúa aumentando. El grupo autor de la amenaza, conocido como TA542, parece haber apuntado a múltiples verticales en los Estados Unidos y Reino Unido con ganchos en inglés. Los mensajes contienen documentos adjuntos maliciosos en formato Microsoft Word o direcciones URL que enlazan con documentos de Word, que a menudo están alojadas en hosts de WordPress comprometidos.

Al igual que en ocasiones anteriores, los ganchos utilizados en esta campaña son simples, con una personalización mínima, y utilizan temáticas en el asunto como "RE:" o "Número de factura", seguidos de un número de factura falso. Habitualmente incluyen, además, el nombre de la organización a la que se dirige el correo.

Como explica la firma, Emotet es un malware altamente efectivo que es capaz de descargar e instalar una gama de malware adicional que a menudo roba información, envía correos electrónicos maliciosos y se propaga a través de redes que utilizan dispositivos infectados para lanzar ataques futuros. El grupo de actores de amenazas TA542, que está detrás de Emotet, es conocido históricamente por utilizar campañas de correo electrónico generalizadas a gran escala internacional que han afectado a Norteamérica, Centroamérica, Sudamérica, Europa, Asia y Australia. Sus campañas se centran, principalmente, en robar credenciales e instalar malware bancario u otras cargas útiles.

Muy versátil
Las primeras versiones de Emotet tenían un módulo que se usaba para cometer fraude bancario, y durante años, el malware fue clasificado como troyano bancario. Sin embargo, las versiones posteriores de Emotet ya no cargaban su propio módulo bancario, y en su lugar cargaban malware bancario de terceros. Más recientemente, se ha visto que Emotet entrega cargas útiles de terceros como Qbot, The Trick, IcedID y Gootkit. Además, carga sus módulos para spam, robo de credenciales, recolección de correo electrónico y difusión en redes locales.

Emotet es conocido por ser un malware muy disruptivo y su regreso es significativo, según Sherrod DeGrippo, directora senior de investigación y detección de amenazas en Proofpoint. “El grupo de autores asociado a esta amenaza, conocido como TA542, utiliza a menudo su infraestructura basada en métricas para evaluar el éxito y la escala de la campaña, según lo que funcione, aunque por el volumen inicial que hemos visto, esta no parece ser una prueba, aunque tampoco es nueva ni novedosa. Emotet ha estado inactivo durante 161 días y ha regresado como si no hubiera pasado nada, con ganchos similares a los anteriores y sin aprovechar eventos actuales como el Covid-19 u otros temas ligados a la pandemia”, explica.