Quoi de neuf au sujet d'Emotet?

Emotet est une famille de logiciels malveillants active depuis 2014, exploitée par un groupe de cybercriminels connu sous le nom de Mealybug ou TA542. Bien qu'il ait commencé comme un cheval de Troie bancaire, il a ensuite évolué vers un botnet qui est devenu l'une des menaces les plus répandues dans le monde. Emotet se propage par le biais de courriers électroniques non sollicités ; il peut exfiltrer des informations à partir d'ordinateurs compromis et y diffuser des logiciels malveillants de tiers. Les opérateurs d'Emotet ne sont pas très regardants sur leurs cibles, installant leurs logiciels malveillants sur des systèmes appartenant aussi bien à des particuliers qu'à des entreprises ou à des organisations plus importantes.

En janvier 2021, Emotet a fait l'objet d'une opération de démantèlement dans le cadre d'une collaboration internationale entre huit pays, coordonnée par Eurojust et Europol. Cependant, malgré cette opération, Emotet est revenu à la vie en novembre 2021.

Points clés de ce billet de blog

• Emotet a lancé de multiples campagnes de spam depuis sa réapparition après son démantèlement.
• Depuis lors, Mealybug a créé de nombreux nouveaux modules et a mis à jour et amélioré à plusieurs reprises tous les modules existants.
• Les opérateurs d'Emotet ont ensuite déployé beaucoup d'efforts pour éviter la surveillance et le suivi du réseau de zombies depuis sa réapparition.
• Actuellement, Emotet est silencieux et inactif, probablement parce qu'il n'a pas réussi à trouver un nouveau vecteur d'attaque efficace.

Figure 1. Chronologie des événements intéressants survenus depuis le retour d'Emotet

Campagnes de spam

Après le retour suivi de multiples campagnes de spam à la fin de l'année 2021, le début de l'année 2022 a poursuivi ces tendances et nous avons enregistré de multiples campagnes de spam lancées par les opérateurs d'Emotet. Pendant cette période, Emotet s'est principalement propagé via des documents Microsoft Word et Microsoft Excel malveillants contenant des macros VBA.

En juillet 2022, Microsoft a changé la donne pour toutes les familles de logiciels malveillants comme Emotet et Qbot - qui utilisaient des courriels d'hameçonnage avec des documents malveillants comme méthode de propagation - en désactivant les macros VBA dans les documents obtenus sur Internet. Ce changement a été annoncé par Microsoft au début de l'année et déployé initialement au début du mois d'avril, mais la mise à jour a été annulée en raison des réactions des utilisateurs. Le déploiement final a eu lieu à la fin du mois de juillet 2022 et, comme le montre la figure 2, la mise à jour a entraîné une baisse significative des compromissions par Emotet ; nous n'avons pas observé d'activité significative au cours de l'été 2022.

Figure 2. Tendance de la détection d'Emotet, moyenne mobile sur sept jours

La désactivation du principal vecteur d'attaque d'Emotet a incité ses opérateurs à chercher de nouveaux moyens de compromettre leurs cibles. Mealybug a commencé à expérimenter des fichiers LNK et XLL malveillants, mais à la fin de l'année 2022, les opérateurs d'Emotet ont eu du mal à trouver un nouveau vecteur d'attaque qui serait aussi efficace que les macros VBA. En 2023, ils ont mené trois campagnes de malspam distinctes, chacune testant un moyen d'intrusion et une technique d'ingénierie sociale légèrement différents. Toutefois, la réduction de la taille des attaques et les changements constants dans l'approche peuvent laisser penser que les résultats ne sont pas satisfaisants.

La première de ces trois campagnes s'est déroulée autour du⁸ mars 2023, lorsque le botnet Emotet a commencé à distribuer des documents Word, maquillés en factures, contenant des macros VBA malveillantes. C'était assez étrange car les macros VBA étaient désactivées par défaut par Microsoft, de sorte que les victimes ne pouvaient pas exécuter le code malveillant intégré.

Dans leur deuxième campagne, entre le¹³ et le¹⁸ mars, les attaquants ont apparemment reconnu ces failles et, en plus d'utiliser l'approche de la chaîne de réponse, ils sont passés des macros VBA aux fichiers OneNote (ONE) avec des scripts VBS intégrés. Si les victimes ouvraient le fichier, elles étaient accueillies par ce qui ressemblait à une page OneNote protégée, leur demandant de cliquer sur un bouton "View" pour voir le contenu. Derrière cet élément graphique se cachait un VBScript configuré pour télécharger la DLL Emotet.

Malgré l'avertissement de OneNote indiquant que cette action pouvait conduire à un contenu malveillant, les gens ont tendance à cliquer sur des invites similaires par habitude et peuvent donc potentiellement permettre aux attaquants de compromettre leurs appareils.

La dernière campagne observée dans la télémétrie d'ESET a été lancée le²⁰ mars, profitant de l'imminence de la date d'échéance de l'impôt sur le revenu aux États-Unis. Les courriels malveillants envoyés par le botnet prétendaient provenir de l'administration fiscale américaine Internal Revenue Service (IRS) et contenaient en pièce jointe un fichier d'archive nommé W-9 form.zip. Ce fichier ZIP contenait un document Word intégrant une macro VBA malveillante que la victime devait probablement activer. Outre cette campagne ciblant spécifiquement les États-Unis, nous avons également observé une autre campagne utilisant des scripts VBA intégrés et une approche OneNote qui était en cours au même moment.

Comme le montre la figure 3, la plupart des attaques détectées par ESET visaient le Japon (43 %) et l'Italie (13 %), bien que ces chiffres puissent être faussés par la forte base d'utilisateurs d'ESET dans ces régions. Après avoir retiré ces deux premiers pays (afin de se concentrer sur le reste du monde), la figure 4 montre que le reste du monde a également été touché, l'Espagne (5 %) arrivant en troisième position, suivie du Mexique (5 %) et de l'Afrique du Sud (4 %).

Figure 3. Détections Emotet janvier 2022 - juin 2023

Figure 4. Détections d'Emotet janv 2022 - juin 2023 (JP et IT exclus)

Protection renforcée et obscurcissements

Après sa réapparition, Emotet a bénéficié de plusieurs améliorations. La première caractéristique notable est que le botnet a changé de schéma cryptographique. Avant le démantèlement, Emotet utilisait RSA comme principal système asymétrique. Après sa réapparition, le botnet a commencé à utiliser la cryptographie à courbe elliptique. Actuellement, chaque module de téléchargement (également appelé module principal) est accompagné de deux clés publiques intégrées. L'une est utilisée pour le protocole d'échange de clés Diffie Hellman à courbe elliptique et l'autre est utilisée pour une vérification de signature - algorithme de signature numérique.

Outre la mise à jour du logiciel malveillant Emotet vers l'architecture 64 bits, Mealybug a également mis en œuvre de nombreuses nouvelles techniques d'obscurcissement pour protéger ses modules. La première obfuscation notable est l'aplatissement du flux de contrôle qui peut ralentir considérablement l'analyse et la localisation des parties intéressantes du code dans les modules d'Emotet.

Mealybug a également mis en œuvre et amélioré sa mise en œuvre de nombreuses techniques de randomisation, dont les plus notables sont la randomisation de l'ordre des membres de la structure et la randomisation des instructions qui calculent des constantes (les constantes sont masquées).

Une autre mise à jour qui mérite d'être mentionnée s'est produite au cours du dernier trimestre de 2022, lorsque les modules ont commencé à utiliser des files d'attente de temporisation. Avec celles-ci, la fonction principale des modules et la partie communication des modules ont été définies comme une fonction de rappel, qui est invoquée par plusieurs threads et tout cela est combiné avec l'aplatissement du flux de contrôle, où la valeur d'état qui gère quel bloc de code doit être invoqué est partagée entre les threads. Cette obscurité constitue un obstacle supplémentaire à l'analyse et rend le suivi du flux d'exécution encore plus difficile.

Nouveaux modules

Pour rester un logiciel malveillant rentable et répandu, Mealybug a mis en œuvre de nombreux nouveaux modules, représentés en jaune dans la figure 5. Certains d'entre eux ont été créés comme mécanisme de défense du botnet, d'autres pour une diffusion plus efficace du logiciel malveillant et, enfin, un module qui vole des informations pouvant être utilisées pour dérober l'argent de la victime.

Figure 5. Modules d'Emotet les plus fréquemment utilisés. Les modules en rouge existaient avant le démantèlement ; les modules en jaune sont apparus après le retour

Thunderbird Email Stealer et Thunderbird Contact Stealer

Emotet se propage par le biais de courriels non sollicités et les gens font souvent confiance à ces courriels, car Emotet utilise avec succès une technique de détournement de fil de discussion. Avant le démantèlement, Emotet utilisait des modules appelés Outlook Contact Stealer et Outlook Email Stealer, capables de voler des courriels et des informations de contact à partir d'Outlook. Mais comme tout le monde n'utilise pas Outlook, après le démantèlement, Emotet s'est également concentré sur une application de messagerie alternative gratuite, Thunderbird.

Emotet peut déployer sur l'ordinateur compromis un module Thunderbird Email Stealer qui, comme son nom l'indique, est capable de voler des courriels. Le module recherche dans les fichiers Thunderbird contenant les messages reçus (au format MBOX) et vole les données de plusieurs champs, notamment l'expéditeur, les destinataires, l'objet, la date et le contenu du message. Toutes les informations volées sont ensuite envoyées à un serveur C&C pour être traitées.

Outre le module Thunderbird Email Stealer, Emotet déploie également un module Thunderbird Contact Stealer, qui est capable de voler des informations de contact dans Thunderbird. Ce module recherche également dans les fichiers de Thunderbird, cette fois-ci à la recherche des messages reçus et envoyés. La différence est que ce module se contente d'extraire des informations des champs From :, To :, CC : et Cc : et crée un graphe interne de qui a communiqué avec qui, où les nœuds sont des personnes et où il y a une arête entre deux personnes si elles ont communiqué l'une avec l'autre. Dans l'étape suivante, le module ordonne les contacts volés - en commençant par les personnes les plus interconnectées - et envoie ces informations à un serveur C&C.

Tous ces efforts sont complétés par deux modules supplémentaires (qui existaient déjà avant le démantèlement) : le module MailPassView Stealer et le module Spammer. MailPassView Stealer abuse d'un outil légitime de NirSoft pour la récupération de mots de passe et vole des informations d'identification à partir d'applications de messagerie. Lorsque les courriels volés, les informations d'identification et les informations sur les personnes en contact avec d'autres sont traitées, Mealybug crée des courriels malveillants qui ressemblent à des réponses à des conversations précédemment volées et envoie ces courriels ainsi que les informations d'identification volées à un module Spammer qui utilise ces informations d'identification pour envoyer des réponses malveillantes à des conversations antérieures via SMTP.

Google Chrome voleur de cartes de crédit

Comme son nom l'indique, le module Google Chrome Credit Card Stealer vole des informations sur les cartes de crédit stockées dans le navigateur Google Chrome. Pour ce faire, le module utilise une bibliothèque SQLite3 liée statiquement pour accéder au fichier de base de données Web Data généralement situé dans %LOCALAPPDATA%\Google\Chrome\Données utilisateur\Défaut\Web Data. Le module interroge la table credit_cards pour connaître le nom de la carte, le mois d'expiration, l'année d'expiration et le numéro de carte crypté, qui contiennent des informations sur les cartes de crédit enregistrées dans le profil par défaut de Google Chrome. Lors de la dernière étape, la valeur card_number_encrypted est déchiffrée à l'aide de la clé stockée dans le fichier %LOCALAPPDATA%\Google\Chrome\Données utilisateur\Local State et toutes les informations sont envoyées à un serveur C&C.

Modules Systeminfo et Hardwareinfo

Peu après le retour d'Emotet, en novembre 2021, un nouveau module appelé Systeminfo est apparu. Ce module collecte des informations sur un système compromis et les envoie au serveur C&C. Les informations collectées sont les suivantes

• La sortie de la commande systeminfo
• La sortie de la commande ipconfig /all
• La sortie de la commande nltest /dclist : (supprimée en octobre 2022)
• Liste des processus
• Uptime (obtenu via GetTickCount) en secondes (supprimé en oct. 2022)

En octobre 2022, les opérateurs d'Emotet ont publié un autre nouveau module appelé Hardwareinfo. Bien qu'il ne vole pas exclusivement des informations sur le matériel d'une machine compromise, il sert de source d'information complémentaire au module Systeminfo. Ce module collecte les données suivantes sur la machine compromise :

• Nom de l'ordinateur
• Nom d'utilisateur
• Informations sur la version du système d'exploitation, y compris les numéros de version majeure et mineure
• ID de session
• Chaîne de marque de l'unité centrale
• Informations sur la taille et l'utilisation de la mémoire vive

Les deux modules ont un objectif principal : vérifier si la communication provient d'une victime légitimement compromise ou non. Emotet a été, surtout après son retour, un sujet brûlant dans l'industrie de la sécurité informatique et parmi les chercheurs. Mealybug s'est donc donné beaucoup de mal pour se protéger contre le suivi et la surveillance de ses activités. Grâce aux informations recueillies par ces deux modules qui ne se contentent pas de collecter des données, mais qui contiennent également des astuces anti-pistage et anti-analyse, les capacités de Mealybug à distinguer les vraies victimes des activités des chercheurs de logiciels malveillants ou des bacs à sable ont été considérablement améliorées.

Quelles sont les prochaines étapes ?

Selon les recherches et la télémétrie d'ESET, les deux époques du réseau de zombies sont restées silencieuses depuis le début du mois d'avril 2023. On ne sait pas encore s'il s'agit d'une nouvelle période de vacances pour les auteurs, s'ils s'efforcent de trouver un nouveau vecteur d'infection efficace ou si quelqu'un d'autre exploite le réseau de zombies.

Bien que nous ne puissions pas confirmer les rumeurs selon lesquelles une ou les deux époques du botnet ont été vendues à quelqu'un en janvier 2023, nous avons remarqué une activité inhabituelle sur l'une des époques. La dernière mise à jour du module de téléchargement contenait une nouvelle fonctionnalité qui enregistre les états internes du module et suit son exécution dans un fichier C:\JSmith\Loader (Figure 6, Figure 7). Comme ce fichier doit exister pour enregistrer quelque chose, cette fonctionnalité ressemble à une sortie de débogage pour quelqu'un qui ne comprend pas complètement ce que fait le module et comment il fonctionne. En outre, à cette époque, le botnet diffusait aussi largement les modules Spammer, qui sont considérés comme plus précieux pour Mealybug car, historiquement, ils n'utilisaient ces modules que sur des machines qu'ils considéraient comme sûres.

Figure 6. Enregistrement du comportement du module de téléchargement

Figure 7. Enregistrement du comportement du module de téléchargement

Quelle que soit l'explication de la raison pour laquelle le botnet est silencieux aujourd'hui, Emotet est connu pour son efficacité et ses opérateurs se sont efforcés de reconstruire et de maintenir le botnet et même d'y apporter quelques améliorations.

Pour toute question concernant nos recherches publiées sur WeLiveSecurity, veuillez nous contacter à l'adresse threatintel@eset.com
ESET Research propose des rapports privés de renseignements sur les APT et des flux de données. Pour toute question concernant ce service, visitez la page ESET Threat Intelligence.

Indicateurs de compromission (IoCs)

Fichiers

Réseau

Techniques MITRE ATT&CK

Ce tableau a été construit en utilisant la version 12 du cadre d ATT&CK de MITRE.