每天发送数十万封恶意邮件，臭名昭著的恶意软件 Emotet 再度活跃
销声匿迹大约4个月后，老牌恶意软件 Emotet 卷土重来。安全公司 Proofpoint 表示，自 2022 年 11 月初以来，Emotet再度回归电子邮件攻击领域，每天发送数十万封钓鱼邮件，成为所观察到的数量最多的攻击者之一。 据悉，Emotet上一次活跃的时间是在2022年7月，此次新的活动迹象表明，Emotet正在恢复其作为主要恶意软件系列的全部功能。这一次，它们的主要目标区域包括美国、英国、日本、德国、意大利、法国、西班牙、墨西哥和巴西。 在这次新一轮的攻击活动中，Emotet发送的钓鱼邮件通常包含了 Excel 附件或受密码保护的 zip 附件，其中亦包含 Excel 文件。Excel 文件包含 XL4 宏，可从多个内置 URL 下载 Emotet 负载。但由于最近微软宣布开始默认禁用从互联网下载的Office文档中的宏，许多恶意软件已经开始从Office宏迁移到其他传递机制，如ISO和LNK文件。 虽然 Emotet 采用了旧方法，但仍通过另一种方式，即诱使受害者将文件复制到 Microsoft Office一个受信任的位置，在此处打卡文件将立即执行宏，且不会发出任何警告。但在将文件移动到受信任的位置时，操作系统会要求用户拥有管理员权限才能进行此类移动。 虽然总体活动与7月份的类似，但此次Emotet依然进行了不少更新，包括加载程序组件的更改、新命令的添加、更新打包程序以抵抗逆向工程。值得注意的是，Emotet的有效载荷——IcedID加载程序采用了全新的变体，不仅能接收命令以读取文件内容，将文件内容发送到远程服务器，还能执行其他后门指令以提取 Web 浏览器数据。研究人员对全新的IcedID感到担忧，因为它可能是为勒索攻击做铺垫。 Emotet曾是自2014年至今全球规模最大的恶意软件系列之一。2021年1月，Emotet僵尸网络被执法部门取缔，并于4月25日下发“自毁模块”后被彻底捣毁，C2服务器一度接近瘫痪。2021年11月，Emotet死灰复燃，开始间断性地进行活动。 转自 Freebuf，原文链接：https://www.freebuf.com/news/350412.html 封面来源于网络，如有侵权请联系删除
Emotet 僵尸网络开始分发 Quantum 和 BlackCat 勒索软件
Hackernews 编译，转载请注明出处： 在Conti今年正式退出威胁领域后，包括Quantum和BlackCat在内的勒索软件即服务 (RaaS) 组织现在正在利用Emotet恶意软件。 Emotet于2014年开始作为银行木马，但随着时间的推移，该恶意软件已成为巨大的威胁，它能够将其他有效负载下载到受害者的机器上，从而允许攻击者远程控制它。 尽管与侵入性恶意软件加载程序相关的基础设施在2021年1月作为执法工作的一部分被拆除，但据说Conti勒索软件卡特尔在去年年底发挥了重要作用。 AdvIntel在上周发布的一份咨询报告中表示：“从2021年11月到2022年6月Conti解散，Emotet是Conti独有的勒索软件工具，然而，Emotet感染链目前被归咎于Quantum和BlackCat。” 典型的攻击序列需要使用Emotet（又名SpmTools）作为初始访问向量来投放Cobalt Strike，然后将其用作勒索软件操作的后利用工具。 臭名昭著的Conti勒索软件团伙可能已经解散，但它的一些成员仍然一如既往地活跃，要么是BlackCat和Hive等其他勒索软件团队的成员，要么是专注于数据勒索和其他犯罪活动的独立团体。 Quantum也是Conti的一个衍生组织，在随后的几个月里，它利用了回调网络钓鱼技术（称为BazaCall或BazarCall）来突破目标网络。 Recorded Future在上个月发布的一份报告中指出：“Conti附属公司使用各种初始访问媒介，包括网络钓鱼、凭据泄露、恶意软件分发和利用漏洞。” AdvIntel表示，自今年年初以来，它在全球范围内观察到超过1267000例Emotet感染病例，活动高峰出现在2月和3月，恰逢俄罗斯入侵乌克兰。 由于Quantum和BlackCat等勒索软件集团的使用，感染人数在6月至7月间再次激增。这家网络安全公司获取的数据显示，Emotet攻击最多的国家是美国，其次是芬兰、巴西、荷兰和法国。 ESET此前报告称，与2021年9月至12月的前四个月相比，2022年前四个月的Emotet检测数量增加了100倍。 据以色列网络安全公司Check Point称，Emotet在2022年8月最流行的恶意软件列表中从第一名跌至第五名，仅次于FormBook、Agent Tesla、XMRig和GuLoader。 消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文
警惕！Emotet 新变体正从 Google Chrome 中窃取你的信用卡信息
日前，有研究显示，臭名昭著的Emotet恶意软件正在积极部署一个新模块，意欲窃取存储在Google Chrome浏览器中的信用卡信息。 根据网络安全公司Proofpoint近日来的观察，这个专门针对Google Chrome浏览器的信用卡窃取程序拥有将收集到的信息转移到不同远程命令和控制 (C2) 服务器上的能力。 2021年1月，在多国联合执法行动的努力下，恶意软件Emotet的基础设施被关闭。此后的10个月，Emotet的活动显著减少，曾一度销声匿迹。然而，在2021年底，Emotet又卷土重来了，并持续高度活跃状态。 Emotet是一种先进的、能够自我传播的模块化木马，通常是通过电子邮件活动或其他有效负载，如勒索软件进行传播。对于Emotet，外界普遍认为其背后是一个名为TA542（又名Mummy Spider或Gold Crestwood）的黑客组织。 直到2022年4月，Emotet依然是最广为流行的恶意软件，在全球范围内，对6%的组织机构产生了影响，紧随其后的是恶意软件Formbook 和 Agent Tesla。根据软件技术公司Check Point的研究，这些恶意软件都是通过OneDrive URL和lnk附件中的PowerShell测试新的交付方法，从而绕过微软的宏限制。 作为大规模垃圾邮件攻击的一部分，针对各国组织机构的钓鱼邮件数量（这些钓鱼邮件通常会劫持现有通信）从2022年2月的3000封暴增到3月的约3万封，这一事实更进一步证实了Emotet恶意软件的相关威胁正在稳步增长。 知名安全软件公司ESET的研究人员表示，Emotet在2022年2月到4月期间发动的攻击活动“转向了更高的档位”， 2022年的前4个月的检测数量与上一个季度（2021年9月至12月）相比，增幅为11000%，足足增加了100倍有余。 这家斯洛伐克安全公司指出，自这个僵尸网络复活以来，日本、意大利和墨西哥一直是其经常攻击的目标。其中最大规模的一次发生2022年3月16日。 “Emotet最近利用lnk和XLL文件发动的攻击的规模明显小于3月在它通过受损的DOC文件发动的攻击”，高级检测工程师Dušan Lacika 表示道，“这表明攻击者在测试新的向量分布时仅仅运用了僵尸网络的一小部分潜力，而这可以取代现在默认禁用的VBA宏。” 此外，身份安全管理领导者CyberArk的研究人员也向我们展示了一种新技术，可以直接从chrome网络浏览器的内存中提取明文凭证。 “凭证数据以明文格式存储在Chrome的内存中”，CyberArk的研究人员Zeev Ben Porat这样说道，“除了登录特定web应用程序时输入的动态数据外，攻击者可以通过浏览器将存储在密码管理器中的所有密码加载到内存中。” 这其中也包括了与cookie相关的信息，例如会话cookie，攻击者很可能通过它来提取信息并劫持用户的账户，即便用户受到多重身份验证的保护。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/335861.html 封面来源于网络，如有侵权请联系删除
TrickBot 团伙转移阵地，Emotet 成新选择
Hackernews 编译，转载请注明出处： TrickBot 是一个臭名昭著的“ Windows 犯罪软件即服务”(Windows crimeware-as-a-service，简称 caa)解决方案，被各种黑客用来提供下一阶段的有效载荷，比如勒索软件。TrickBot似乎正在做出转变，自今年年初以来没有新的活动记录。 Intel 471的研究人员在与The Hacker News分享的一份报告中说，恶意软件活动的暂停“部分是由于 Trickbot 运营商的重大转变，变化包括与 Emotet 运营商的合作”。 最近一次涉及 TrickBot 的攻击发生在2021年12月28日，但与该恶意软件相关的命令与控制(C2)基础设施一直在为僵尸网络中受感染的节点提供额外的插件和网络注入。 有趣的是，TrickBot 团伙活动量的减少也伴随着与 Emotet 操作者密切的合作 ，在执法部门解决恶意软件10个月之后，Emotet 在去年年底死灰复燃。 2021年11月首次观察到的攻击包含一个感染序列，使用 TrickBot 作为下载和执行 Emotet 二进制文件的渠道，而在攻击之前，Emotet 经常被用来传递 TrickBot 的样本。 研究人员说: “很有可能，TrickBot 的运营者已经将 TrickBot 的恶意软件从他们的运营中剔除，转而使用其他平台，比如 Emotet。”“毕竟，TrickBot 是一个相对老旧的恶意软件，还没有进行过大规模的更新。” 此外，Intel 471表示，它观察到 TrickBot 在2021年11月 Emotet 回归后不久将 Qbot 安装到被破坏的系统中，这再次暗示了幕后重组正在转移到其他平台。 随着 TrickBot 在2021年越来越多地受到执法者的关注，它背后的攻击者正在积极地试图改变战术和更新他们的防御措施。 根据 Advanced Intelligence (AdvIntel)上周发布的另一份报告，Conti 勒索软件团伙据信已经人才并购了 TrickBot 的几名精英开发者，让他们放弃这种恶意软件，转而使用BazarBackdoor 等增强型工具。 研究人员指出: “也许研究员对 TrickBot 的不必要的关注和更新、改进后的恶意软件平台的可用性使得 TrickBot 的操作者放弃了它。”“我们怀疑恶意软件控制基础设施(C2)仍在维护，因为剩下的机器人仍然有一些经济价值。” 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文
Emotet 垃圾邮件软件在全球范围内攻击邮箱
Hackernews编译，转载请注明出处： Emotet恶意软件在中断十个月后，于15日开始运行，该软件通过多次垃圾邮件攻击向全球邮箱发送恶意文档。 Emotet是一种恶意软件感染，通过带有恶意附件的垃圾邮件攻击传播。如果用户打开附件，恶意宏或JavaScript文件，将下载Emotet DLL并使用PowerShell将其加载到内存中。 一旦加载，恶意软件将搜索和窃取电子邮件，用于之后的垃圾邮件攻击，并植入额外的有效载荷，如TrickBot或Qbot，这些载荷通常会使设备遭勒索软件感染。 Emotet垃圾邮件攻击卷土重来 15日晚，网络安全研究人员布拉德·邓肯发表了一篇SANS-Handler日记，解释 Emotet僵尸网络是如何再一次滥发多个电子邮件，用Emotet恶意软件感染设备。 据邓肯说，垃圾邮件攻击使用重播链电子邮件诱使收件人打开附加的恶意Word、Excel文档和密码保护的ZIP文件。 回复链钓鱼电子邮件是指以前被盗的电子邮件线程与伪造的回复一起用于向其他用户分发恶意软件。 在邓肯分享的样本中，我们可以看到Emotet使用的回复链与“丢失的钱包”、网络星期一的促销、取消的会议、政治捐款活动以及牙科保险的终止有关。 这些电子邮件的附件是恶意宏的Excel或Word文档，或包含恶意Word文档的受密码保护的ZIP文件附件，示例如下所示。 目前有两个不同的恶意文件正在新的Emotet垃圾邮件中分发。 第一个是Excel文档模板，该模板说明文档只能在台式机或笔记本电脑上起效，用户需要单击“启用内容”以正确查看内容。 恶意Word附件正在使用“红色黎明””模板，并表示由于文档处于“受保护”模式，用户必须启用内容和编辑功能，才能正确查看。 Emotet附件如何感染设备 打开Emotet附件时，文档模板将声明预览不可用，您需要单击“启用编辑”和“启用内容”以正确查看内容。 但是，单击这些按钮后，将启用恶意宏，启动PowerShell命令，从受损的WordPress站点下载Emotet loader DLL并将其保存到C:\ProgramData文件夹。 下载后，将使用C:\Windows\SysWo64\rundll32.exe启动DLL，它将DLL复制到%LocalAppData%下的随机文件夹中，然后从该文件夹重新运行DLL。 一段时间后，Emotet将在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下配置启动值，以便在Windows启动时启动恶意软件。 Emotet恶意软件现在将在后台静默运行，同时等待从其C&C服务器执行命令。 这些命令可以用于搜索电子邮件以进行窃取邮件并传播到其他计算机，还可以安装其他有效负载，如TrickBot或Qbot特洛伊木马。 目前，BleepingComputer还没有看到Emotet植入的任何额外有效载荷，这也得到了邓肯测试的证实。 邓肯告诉BleepingComputer：“我只在最近感染了Emotet的主机上看到过spambot活动。”。“我认为Emotet本周刚刚重新开始活动。” “也许我们会在未来几周看到一些额外的恶意软件有效载荷，”研究人员补充道。 防御Emotet 恶意软件和僵尸网络监控组织Abuse.ch发布了245个C&C服务器的列表，外围防火墙可以阻止与C&C服务器的通信。 阻止与C2s的通信也将防止Emotet在受损设备上植入更多有效负载。 在2021年1月，一次国际执法行动摧毁了Emotet僵尸网络，十个月以来，该恶意软件一直保持沉寂。 然而，从周日晚上开始，活跃的TrickBot病毒开始在已经感染的设备上植入Emotet加载程序，为垃圾邮件攻击重建僵尸网络。 Emotet的再次活动是所有网络管理员、安全专业人员和Windows管理员必须监控的重大事件，以了解新的动态。 消息来源：BleepingComputer，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文链接
微软发警告：大规模 Emotet 正卷土重来，这次的目标是银行信息
据外媒报道，日前，微软发出警告，称大规模恶意软件运动正在目标对准终端用户的银行资料。微软指出，作为使用Emoter恶意软件新运动的一部分，大量带有数百个独特附件的电子邮件被发送给用户。据了解，Emotet银行木马最早是在2014年被安全研究人员发现的。 Emotet最初被设计成一个银行恶意软件，它试图潜入用户电脑并窃取其敏感和私人信息。该软件的最新版本则还增加了垃圾邮件和恶意软件发送服务，其中包括其他银行木马。 微软在报告中指出，该网络钓鱼活动已经沉默了数月，但最近却又卷土重来。新的运动则使用了长期的Emotet策略：带有链接的电子邮件或带有高度混淆的恶意宏的文件运行一个PowerShell脚本通过5个下载链接中下载有效负载。下载URL通常指向被攻击的网站，这正是Emotet的特点。 Emotet使用的功能可以帮助软件躲避来自一些反恶意软件产品的检测。Emotet使用类似蠕虫的功能来帮助其传播到其他连接的计算机上，而这有助于恶意软件的传播。这一功能使得美国国土安全部得出结论，Emotet是最昂贵、最具破坏性的恶意软件之一，它会影响到政府、私人部门、个人以及组织，每次清理都要花费超100万美元的费用。 （稿源：cnBeta，封面源自网络。）
银行木马 Emotet 出现新型变种，可窃取用户金融凭证、利用 Windows API 检测沙箱
据外媒 11 月 18 日报道，网络安全公司趋势科技（Trend Micro）研究人员于近期发现银行木马 Emotet 出现新型变种，能够规避安全检测的同时窃取银行凭证等用户敏感信息。 Emotet 又名 Geodo，是目前流行的一款银行木马，首次曝光于 2014 年 6 月，其主要以 “ 嗅探 ” 网络活动窃取用户私人数据闻名。随着开发人员的不断优化，其影响规模可与 Dridex 和 Feodo 媲美。Emotet 主要通过附带恶意链接的垃圾邮件进行肆意分发，一旦用户点击触发后攻击者将可通过该恶意软件窃取用户重要凭证。 研究显示，黑客可通过恶意软件 Emotet 的 “dropper” 模块接口 “RunPE” 访问系统网络的基本输入输出流程、设备用户名称，以及系统上存储的特定文件。不过，由于 RunPE 的利用太过频繁，因此开发人员改用一条鲜为人知的 CreateTimerQueueTimer 接口，从而规避安全软件检测。 CreateTimerQueueTimer 是一个 Windows 应用程序编程接口（API），其主要为轻量级对象创建队列以便在指定的时间内选择回调函数。此外，该 API 接口允许 Emotet 每秒执行一次操作，从而检测该恶意软件是否运行于沙箱之中以规避安全监测。据悉，银行木马 Hancitor 和 VAWTRAK 早已利用该接口开展攻击活动。 值得注意的是，若该恶意软件入侵目标设备后发现没有管理员特权，则会创建一个自启动服务以便维护其在受害设备上的持久性，重命名并重启系统后进行加密操作，随后通过 POST 请求将数据发送到指定的 C＆C 服务器。 目前，趋势科技就此次事件发布了恶意软件最新变种的“攻击指标”（IoCs），其安全研究人员 MalwareTech 随后也发表了有关 Emotet C＆C 服务器的具体细节并表示，攻击者通过被黑网站代理 C＆C 服务器以规避安全监测的手法极其普遍，这些被黑网站通常都是运行多年的合法网站，就连安全公司很难将其标记为恶意服务器。 原作者：Pierluigi Paganini，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。