Emotet es un troyano distribuidor de otros troyanos que parece estar identificado con el grupo Mealybug y viene actuando desde hace cuatro años cuando su objetivo era solamente obtener credenciales de usuarios bancarios en Alemania. Sin embargo, este tipo de amenazas, sobre todo si son técnicamente eficientes, se reciclan y se reinventan.
La forma de propagación del virus es la vieja y efectiva vía del email de phishing. Haciendo creer al usuario que el email proviene de su propio banco y convenciéndolo que abra un adjunto que puede ser tanto un archivo como una URL. Una vez que el usuario hace clic y se infecta, Emotet trata de infectar otras máquinas de la red utilizando la vieja vulnerabilidad de EternalBlue, la misma que hizo posible la infección de WannCry y que sigue estando presente en muchísimos equipos en el mundo. Después de esto, intenta obtener por fuerza bruta credenciales del dominio, lo que causa un efecto secundario importante bloqueando cuentas por varios intentos fallidos.
Después de varios ataques en los últimos años, Emotet volvió a la carga para el Día de Accion de Gracias en Estados Unidos (es decir el 22 de Noviembre) mediante emails que pretendían ser de instituciones financieras o disfrazados de saludos de Acción de Gracias para los empleados de las empresas. La nueva funcionalidad del troyano permite crear mejores plantillas de phishing, lo que lo hace mucho más efectivo.
Esta funcionalidad permitió que los desarrolladores del troyano, puedan además construir templates para el último Black Friday (es decir el viernes pasado, 23 de Noviembre). Sin embargo, en este caso, los archivos adjuntos y los enlaces fueron sustituidos por archivos XML con extensión .doc en lugar de los archivos DOC y PDF que se usaban anteriormente.
Dado que Emotet no es el malware principal, sino sólo un vehículo, en esta campaña ha enviado malware bancario como Ursnif, TrickBot y IcedId y su malware compañero Azorult, especialist en robar contraseñas, números de tarjetas de crédito y direcciones criptomonedas.
Después de que Emotet atacara usuarios de bancos de Alemania, Estados Unidos e Inglaterra, en esta campaña se enfocó en países de Latinoamerica, particularmente Argentina, México y Ecuador. Otra vez estamos primeros en una lista de países en las que no quisiéramos estar. Y otra vez se destacan como medidas importantes las campañas de concientización que disminuyan la posibilidad que los usuarios hagan clic donde no deben… y la protección efectiva de endpoints si lo hacen…
Nota por Carlos Benitez