Según informa nuestros Partners en Seguridad ESET y Panda Security, además de nuestros propios clientes que nos estan notificando de la recepción de dichos correos electrónica, regresa el Troyano Emotet con más fuerza con campañas afectando a varias regiones del mundo. Una elevada cantidad de correos están recibiendo usuarios españoles de remitentes aparentemente confiables y que adjuntan un documento Word.
Antes de nada, hay que tener en cuenta que la recepción de este correo y la descarga del Word que adjunta no suponen que el equipo esté comprometido, ya que aun no se ha ejecutado nada. Incluso la apertura del documento puede resultar inocua si tenemos la opción de ejecutar macros desactivada, tal y como suele venir por defecto. No obstante, le invitamos a continuar leyendo para entender un poco más este peligroso Troyano Bancario.
La evolución de Emotet
Según Panda Security, aunque empezó sencillamente como un troyano bancario, ahora ha evolucionado y se parece más a un botnet. Los operadores criminales del malware alquilan sus capacidades de carga para permitir a otros cibercriminales entregar su propio malware como payload segundario. Una vez dentro de una red, tiene la capacidad de propagarse a otras máquinas mediante ataques de fuerza bruta, intentando entrar en el equipo utilizando contraseñas de una lista incluida en el malware.
Un malware con gran alcance
La organización sin fines de lucro, The Spamhaus Project, ha publicado un análisis en profundidad del malware. Según han descubierto, hay unos 47.000 equipos infectados con Emotet en todo el mundo que están emitiendo alrededor de 6.000 URLs maliciosas que llevan a sitios web que sirven como vector de infección. Es el malware que se distribuye de manera más activa en estos momentos: representa un 45% de las URLs que se utilizan para la descarga de malware, según Panda Security.
Emotet: descripción y evolución
Según comenta ESET en su publicación, Emotet no es precisamente un desconocido en el mundo de las amenazas informáticas. Activo desde 2014 estamos ante un troyano bancario que ha sufrido numerosas revisiones, desde entonces y que lo han convertido en uno de los códigos maliciosos más destacados en su campo: el robo de credenciales bancarias. Su método de propagación preferido es el correo malicioso o malspam con ficheros o enlaces adjuntos que tratan de convencer a los usuarios para que pulsen sobre ellos o los abran.
Para conseguirlo utiliza asuntos muy escuetos pero directos, tales como “Propuesta”, “Respuesta” o “Nueva Plantilla”, acompañados de cuerpos de mensaje breves y sin añadir información adicional. El peligro radica en el enlace incluido o fichero adjunto, ya que si el usuario pulsa o los abre, se iniciará la cadena de ejecución del malware que terminará instalando Emotet en el sistema y comprometiendo su seguridad.
El principal objetivo de Emotet son las credenciales bancarias, aunque a lo largo de los años ha ido evolucionando para incluir nuevos módulos que lo han convertido en un malware complejo y polimórfico. Esto le permite mejorar su capacidad de permanecer oculto, aumentar sus posibilidades de propagación o instalar otras variantes de malware. No obstante, tal y como veremos más adelante, hay medidas de seguridad que permiten detectarlo a tiempo antes de que logre infectar el sistema.
Con respecto a sus víctimas, Emotet no hace distinción y se dirige tanto a usuarios particulares como pymes, corporaciones y entidades gubernamentales. Su objetivo es recopilar la mayor cantidad posible de credenciales financieras para así conseguir sustraer elevadas cantidades dinero desde las cuentas de sus víctimas y a sus creadores no parece importarles de donde venga ese dinero.
Fases del ataque del Troyano Emotet
Según ESET, si el usuario que recibe este correo hace caso omiso a los indicios que le muestran que se encuentra ante una amenaza y abre el fichero adjunto veremos como se utiliza una técnica bastante conocida para conseguir ejecutar código malicioso. Aparentemente, se muestra un documento legítimo pero con un aviso donde se indica que el archivo se encuentra en un modo de vista protegida y que, para poder ver su contenido, hace falta pulsar sobre la barra amarilla que se muestra en la parte superior con la opción de “Habilitar edición”.
Este aviso que contiene el documento no es más que una imagen, incluida por los delincuentes incluyen para tratar que el usuario desactive de forma voluntaria una de las medidas de seguridad más efectivas de las que dispone Microsoft Office y que impide la ejecución automática de código mediante macros.
En el caso de que el usuario muerda el anzuelo, se ejecutarán una serie de macros que, a su vez, ejecutarán código en PowerShell. Este código forma parte de la segunda fase del ataque y consiste en contactar con dominios comprometidos por los atacantes para descargar un archivo malicioso.
El archivo malicioso descargado activa la tercera fase del ataque y actúa como dropper o descargador del archivo que contiene el troyano. Este troyano también está alojado en dominios comprometidos que los delincuentes van cambiando continuamente, así como también cambia el ejecutable del Emotet para dificultar su detección. Se puede obtener una lista detallada de los dominios comprometidos y los C&C gracias a la cuenta de Twitter de Cryptolaemus.
En el caso de que la solución antivirus no hubiese detectado nada hasta este punto y se ejecutase la tercera fase del ataque, con la descarga del dropper desde uno de los sitios comprometidos, se podría detectar esta amenaza por alguna de las capas de seguridad de las soluciones Antivirus como la de ESET o por el análisis avanzado de la memoria de este fabricante. Este análisis permite detectar un código malicioso cuando intenta ejecutarse volcándose en la memoria del sistema y permite detectarlo y eliminarlo antes de que consiga comprometer el sistema.
El mismo principio se aplicaría en el caso de que el malware lograse descargar Emotet en el sistema, añadiendo además la posibilidad de ejecutar el archivo malicioso en una sandbox aislada que permitiera ejecutar de forma controlada el malware y confirmar sus objetivos maliciosos para proceder a su eliminación.
Conclusiones
Ya hemos comentado en nuestro blog en reiteradas oportunidades de que la mejor protección es la de NO ABRIR NADA QUE NO SE CONOZCA, sobre todo si viene por correo electrónico. La gran desventaja de este ataque es que se estan utilizando direcciones de correo electrónico de usuarios CONOCIDOS, lo cual dificulta la precaución ya que nos confiamos al ser un remitente del que recibimos emails y que ya ha sido infectado. No podemos acabar este artículo sin invitarle a proteger su inversión y sus datos de manera proactiva, adquiriendo una solución antivirus como las de ESET o una solucion más completa, como nuestra conocida NOVA Advanced Defense 360, que incluye Antivirus y Antiransomware.
Si desea adquirir ESET ahora, solo debe visitar nuestro portal principal del blog de PCNOVA y en la columna derecha encontrara el apartado «Todas las Soluciones ESET a tu alcance», desde allí podrá descargar e instalar su producto inmediatamente.
Si lo prefiere , puede también optar por NOVA Advanced Defense 360 (con motor de Panda Security) en nuestra Tienda online de PCNOVA.
- FUENTES:
- https://www.pandasecurity.com/spain/mediacenter/malware/emotet-evolucion-botnet/
- https://blogs.protegerse.com/2019/09/25/campana-del-troyano-bancario-emotet-tambien-afecta-a-usuarios-espanoles/
Ricardo González Darkin
Consultor Técnico / Especialista en Soluciones IT para Educación y la Pequeña y Mediana Empresa
Proveedor de Servicios Gestionados IT: Cloud – Conectividad – Comunicación – Domótica – Impresión – Movilidad – Seguridad – Virtualización y Web.