Erneuter Versand von Emotet-Spam
Sachverhalt Nach übereinstimmenden Berichten mehrerer Quellen wurde gestern die Verteilung einer neuen Variante der Schadsoftware Emotet auf bereits mit TrickBot infizierte Systeme beobachtet [CYB2021] [TWI2021b]. Diese Beobachtung markiert die beginnende Rückkehr der Schadsoftware, deren alte Infrastruktur im Januar 2021 durch einen koordinierten Takedown erfolgreich zerschlagen wurde. Ebenfalls nach übereinstimmenden Berichten wurde bereits der Versand von Spam-Mails zur weiteren Verbreitung der Schadsoftware über ein neues Emotet-Botnetz bestätigt [TWI2021a] [TWI2021c] [SAN2021]. Derzeit werden mit den Spam-Mails schädliche .doc(m)- und .xls(m)-Dateien versendet bzw. passwortgeschützte ZIPArchive, welche diese Dateien enthalten. Es ist davon auszugehen, dass anstelle von Dateianhängen mit den Spam-Mails zukünftig auch wieder Links versendet werden, welche zu schädlichen Office-Dateien führen. Emotet war insbesondere für E-Mail-Thread-Hijacking bekannt. Dabei werden nicht nur Absenderadressen von E-Mails gefälscht, sondern vermeintliche Antworten auf zuvor ausgespähte E-Mails an die Kommunikationspartner versendet. Die bekannten Betreffzeilen und zitierten E-Mail-Inhalte tatsächlicher vorausgegangener Kommunikation lassen die Spam-Mails für die Empfänger authentisch erscheinen und verleiten sie dazu, die angehängten schädlichen „Köder“-Dokumente zu öffnen und die Ausführung aktiver Inhalte freizugeben. Dies führt zu einer erhöhten Durchschlagsquote dieser Angriffe. Das Vorgehen hat das BSI etwa unter [BSIa] beschrieben
Bewertung
Es muss davon ausgegangen werden, dass es in Kürze erneut zu umfangreichen Emotet-Spam-Wellen kommen wird, wie sie 2019 und 2020 häufig beobachtet werden konnten. Durch von Emotet nachgeladene weitere Schadsoftware könnte es wieder zu zahlreichen Kompromittierungen von Netzwerken von Behörden und Unternehmen kommen, bei denen von den Tätern nachfolgend Ransomware zur Verschlüsselung von Daten ausgerollt wird.
Mögliche Auswirkungen auf Kritische Infrastrukturen inkl. Verwaltung
Der geschilderte Vorfall kann in ähnlicher Art auch Kritische Infrastrukturen treffen und die dargestellten Konsequenzen haben.
Empfehlung an IT-Sicherheitsverantwortliche
Das BSI empfiehlt zu prüfen, ob die Schutzmaßnahmen vor Emotet [BSIb] (weiterhin oder erneut) umgesetzt werden können. Wie bereits unter [BSI2021] beschrieben wird entsprechender authentisch wirkender Spam nicht nur von Emotet versendet. Derzeit dürfte insbesondere die Einschränkung von unsignierten Makros vor Emotet schützen.
Comments