Operação global coordenada elimina malware Emotet de PCs infectados

Autoridades policiais afirmam ter conseguido assumir e limpado 700 servidores usados como parte da infraestrutura da botnet
Da Redação
27/04/2021
Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Uma operação internacional conjunta entre autoridades policiais e judiciais para fazer a higienização em massa de computadores com sistema operacional Windows que haviam sido infectados pelo Emotet conseguiu eliminar automaticamente o malware nesta segunda-feira, 26. 

As autoridades começaram a enviar uma carga útil de 32 bits chamada “EmotetLoader.dll” para limpar os sistemas infectados e conseguiu assumir ao menos 700 servidores usados ​​como parte da infraestrutura da botnet Emotet. O processo foi configurado para disparar automaticamente no domingo, 25, conforme confirmado por pesquisadores da Malwarebytes.

Logo após a remoção, um pesquisador de segurança observou uma nova carga enviada às máquinas infectadas com um código para remover o malware em uma data específica”, segundo a mesma postagem feita pela MalwareBytes. “Esse bot atualizado continha uma rotina de limpeza responsável por desinstalar o Emotet após a data de 25 de abril. O relatório original mencionava 25 de março, mas como os meses são contados a partir de 0 e não a partir de 1, o terceiro mês é, na realidade, abril”, explica o post.

A desinfecção em massa foi confirmada pelo Departamento de Justiça dos EUA.

O trojan bancário Emotet está ativo pelo menos desde 2014 e é operado por um grupo de ameaças persistentes avançadas (APT) rastreado como TA542. Em meados de agosto do ano passado, o malware foi empregado em uma campanha de spam com o tema covid-19. As campanhas de spam recentes usaram mensagens com documentos Word maliciosos, fingindo ser uma fatura, documento com informações sobre a covid-19, currículos, documentos financeiros ou digitalizados.

Veja isso
Apesar de ação para sua interrupção, Emotet ainda é a principal ameaça
Emotet, uma ameaça antiga mas persistente

O trojan bancário também é usado para disseminar outros códigos maliciosos, como os trojans Trickbot e QBot ou ransomware como Conti (TrickBot) ou ProLock (QBot). “De acordo com depoimentos, agentes da lei europeus, trabalhando em coordenação com o FBI, obtiveram acesso legal aos servidores Emotet localizados no exterior e identificaram os endereços IP de aproximadamente 1,6 milhão de computadores em todo o mundo que parecem ter sido infectados com o malware entre 1º de abril de 2020 e 17 de janeiro de 2021. Destes, mais de 45 mil computadores infectados parecem estar localizados nos Estados Unidos”, disse o Departamento de Justiça (DoJ) em nota à imprensa.

Como ocorre a desinfecção

A DLL de 32 bits (EmotetLoader.dll) possui três exportações, todas conduzindo à mesma função usada para limpar os processos infectados. O procedimento faz um loop ao verificar se o prazo expirou, neste caso, a rotina de desinstalação é chamada imediatamente. Se o prazo já expirou, a rotina de desinstalação é chamada imediatamente. Caso contrário, a thread (linha de código) é executada repetidamente fazendo a mesma verificação de tempo e, eventualmente, chamando o código de exclusão se a data já tiver passado.

A rotina de desinstalação exclui o serviço associado ao malware Emotet, a chave de execução automática do registro, tenta (mas falha) mover o arquivo para %temp% e, em seguida, encerra o processo.

A operação parece ter sido bem-sucedida, todos os servidores de comando e controle que estavam compondo a infraestrutura da botnet estão offline, conforme confirmado pelo rastreador Feodo da Abuse.ch.

Compartilhar:

Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Inscrição na lista CISO Advisor

* campo obrigatório