Falsos arquivos do pacote Office contêm malware Emotet

Da Redação
30/06/2022

Quase mil documentos maliciosos do Excel espalhados por e-mail (phishing) foram identificados pela empresa de segurança cibernética Netskope  ao longo de 12 dias apenas no mês de junho. Esses arquivos contêm o trojanEmotet, que se tornou popular por seu potencial de ameaça, capaz de invadir dispositivos e roubar dados desde redes domésticas, até grandes empresas e instituições de governo.

A análise completa desta campanha do Emotet foi divulgada por Gustavo Palazolo, engenheiro de pesquisas de ameaças da equipe doNetskope Threat Labs. A Netskope já havia analisado a campanha do Emotet em abril deste ano, detectando que os cibercriminosos usavam arquivos de atalho do Windows em vez de documentos do Microsoft Office, provavelmente como resposta às proteções lançadas pela Microsoft em 2022 para mitigar os ataques, desabilitando por padrão as macros do Excel 4.0 (XLM) e VBA (Visual Basic for Applications). 

Nesta semana, a equipe identificou centenas de documentos maliciosos do Office usados ​​para baixar e executar o Emotet, indicando que alguns cibercriminosos ainda utilizam os métodos antigos. Mesmo com a proteção da Microsoft, esse ataque ainda é viável pois muitos usuários utilizam versões desatualizadas do Office e/ou alteraram a configuração padrão para habilitar macros. O fato de os cibercriminosos ainda usarem macros do Excel 4.0 indica que as versões desatualizadas do Office e usuários com a proteção da Microsoft desabilitada ainda são comuns. 

Veja isso
Emotet lidera ranking de malware mais ativo no primeiro trimestre
Arquivos do Excel usados de novo em campanha do Emotet

Ao pesquisar arquivos semelhantes no VirusTotal, um serviço online gratuito que analisa arquivos e URLs, a Netskope encontrou 776 planilhas maliciosas enviadas entre 9 e 21 de junho de 2022, que utilizam as macros do Excel 4.0 (XLM) para baixar e executar a carga maliciosa do Emotet. A maioria dos arquivos compartilha as mesmas URLs e alguns metadados. Foram extraídas 18 URLs das 776 amostras e quatro delas ainda estavam online e distribuindo o malware. 

Cronograma de envio de planilhas com Emotet no VirusTotal

O Netskope Threat Labs segue monitorando ativamente essa campanha e garante a cobertura de todos os indicadores de ameaças e cargas maliciosas conhecidas com o Netskope Threat Protection e Advanced Threat Protection. Todos os indicadores de comprometimento (IOCs) relacionados a esta campanha, scripts e regras Yara podem ser encontrados no repositório GitHub da Netskope. 

Compartilhar: