Emotet木马病毒死灰复燃瞄准企业用户发起攻击

火绒安全实验室 · 发表于 2021-11-26 21:28

近期，火绒监测到Emotet木马病毒再次大规模爆发，主要通过鱼叉邮件方式进行传播。当用户点击运行邮件附件后，病毒就会被激活，并在终端后台盗取各类隐私信息，由于鱼叉邮件主要针对特定用户、组织或企业，严重威胁企业信息安全，火绒在此紧急提示广大企业用户注意防范。火绒用户无需担心，火绒已对Emotet木马病毒进行查杀。

查杀图

根据“火绒威胁情报中心”监测和评估，本次Emotet木马病毒来势汹汹，在11月份快速增长，并于中下旬集中爆发。

Emotet近期增长趋势

Emotet曾是自2014年至今全球规模最大的僵尸网络之一，该僵尸网络在2021年1月被欧洲刑警组织查获，并于4月25日下发“自毁模块”后被彻底捣毁。主要通过鱼叉邮件进行传播的Emotet木马病毒，在过去的7年时间里，给社会带来了极大损失和影响。

火绒曾在《全球最大僵尸网络自毁火绒起底Emotet与安全软件对抗全过程》一文中，详细分析了Emotet通过不断更换外层混淆器，调整自身的代码逻辑和更新C&C服务器，疯狂的与安全软件进行对抗的过程。

火绒再次提醒广大用户，尤其企业用户，请及时做好排查工作，发现可疑邮件可联系专业人员查看。也可以安装火绒安全软件，通过【文件实时监控】、【邮件监控】、【应用加固】和【系统加固】等关键性防护功能，避免遭受Emotet木马病毒威胁，保护终端网络安全。

一、详细分析
鱼叉邮件中会将恶意文档（通常为doc、docx、xls、xlsx等）伪装为企业内部业务相关的沟通信息文档，从而诱导用户打开。恶意文档内的宏脚本被激活后，会启动powershell下载Emotet木马病毒，再由rundll32加载执行。Emotet最终会下载执行实质恶意模块（报告中仅以间谍木马模块为例，主要恶意行为为盗取用户数据）。病毒恶意代码执行流程，如下图所示：

病毒恶意代码执行流程

用于病毒传播的鱼叉邮件内容，如下图所示：

鱼叉邮件内容

本次用作Emotet木马病毒传播的恶意文档内容，如下图所示：

恶意文档内容

Emotet木马病毒执行后会盗取用户数据，以盗取邮件客户端工具<Mozilla Thunderbird>数据文件为例，相关行为如下图所示：

相关恶意行为

盗取邮件客户端工具<Mozilla Thunderbird>数据文件代码，如下图所示：

盗取Thunderbird数据文件代码

二、同源性分析
经分析发现，该病毒的传播途径、恶意行为代码与之前分析的Emotet病毒具有一定的相似性。以下为该病毒样本与2021年1月份捕获到的Emotet样本在关键解密函数的代码对比图：

此前报告中Emotet关键代码与当前Emotet关键代码同源性对比

柠檬汁汁汁丶 · 发表于 2021-11-27 08:17

前段时间，我弟弟说他的电脑几乎不能用了，因为他平时就办公用，所以当初没有给他做杀毒软件，然后下了个火绒，扫描出来的貌似就是这个木马，即使清理了都没啥用，最后重做了系统。

中原一点红 · 发表于 2021-11-27 23:05

有些邮件有文档的，我大多都是使用在线浏览，很少下载；不清楚不下载只是在线浏览会不会就相对安全些；看来以后收到的文档文件最好也要查杀下病毒先，哈哈

dipper · 发表于 2021-11-26 21:44

感谢提醒，又学到了新知识

莫丶莫欺少年穷 · 发表于 2021-11-26 21:56

火绒就是强大

gdf87521 · 发表于 2021-11-26 22:35

收到！！！

YinYuanJiHui · 发表于 2021-11-26 22:51

收到，感谢提醒

kudoushinichi · 发表于 2021-11-26 23:00

感谢提醒，我以为是个发帖的，没想到是个官方的

skyadmin · 发表于 2021-11-26 23:07

学习了优秀

visaction · 发表于 2021-11-26 23:57

感谢感谢，辛苦了。

kuangnuyishi · 发表于 2021-11-27 00:08

有备无患，防患于未然，学习了

Cleanm · 发表于 2021-11-27 05:41

学习了谢谢

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] Emotet木马病毒死灰复燃瞄准企业用户发起攻击

免费评分

[PC样本分析] Emotet木马病毒死灰复燃 瞄准企业用户发起攻击

免费评分

[PC样本分析] Emotet木马病毒死灰复燃瞄准企业用户发起攻击