Le spécial Vendredi fou d’Emotet : Remplir les boîtes de réception avec des macros XML infectées

ESET a détecté une autre campagne Emotet d’envergure, probablement liée à l'augmentation des achats en ligne et de la correspondance par courrier électronique autour du vendredi fou. Par rapport aux attaques précédentes, les opérateurs ont légèrement modifié leur modus operandi. Emotet est toujours distribué par le biais de pourriels (spam) contenant des pièces jointes contenant des macros malveillantes ou des liens vers ces fichiers. Néanmoins cette fois, probablement en lien avec le Vendredi fou (ou Black Friday), les pièces jointes et les liens ont servi de fichiers XML avec l'extension.doc au lieu des fichiers DOC et PDF précédemment observés.

En ce qui concerne les charges utiles secondaires, Emotet distribue actuellement diverses familles de logiciels malveillants bancaires, dont Ursnif, TrickBot et le plus fréquemment IcedId. Ce dernier télécharge également une autre charge utile, Azorult. Ce logiciel malveillant, qu’ESET détecte sous le nom de Win32/PSW.Delf.OSF, est connu pour sa capacité à voler les mots de passe, les détails des cartes de crédit et l'accès aux portefeuilles de cryptomonnaies. TrickBot, d'autre part, a augmenté ses ambitions en ajoutant des banques britanniques et allemandes à la liste de ses cibles. Ceci correspond aux objets et contenus des messages indésirables décrits dans notre précédent article sur Emotet

Si l'on examine la répartition géographique, les pays d'Amérique latine (LATAM) semblent être parmi les plus touchés, le Mexique, l'Équateur et l'Argentine en tête de liste (avec des centaines de milliers de détections). Les États-Unis figurent parmi les cinq premiers pays ciblés, alors que le Royaume-Uni et l'Afrique du Sud se sont également classés parmi les dix premiers.

Indicateurs de compromission (IoCs)

Charges utiles d'Emotet

PSW.Delf.OSF – AZORult