Emotet

Emotet ist eine Familie von Computer-Schadprogrammen für Windows-Systeme in Form von Makroviren, welche per E-Mail versendet werden. Die Infektion mit Trojanern erfolgt mittels sehr echt aussehender E-Mails. Vom Trojaner werden Module mit Schadfunktionen nachgeladen und ausgeführt.

Emotet
Name	Emotet
Bekannt seit	2014
Virustyp	Makrovirus
Wirtsdateien	MS Office-Dokumente
Stealth	ja
Speicherresident	ja
System	Windows
Programmiersprache	C++ Makro
Info	Installiert weitere Malware auf infizierten Systemen

Opfer der Schadsoftware sind vor allem Behörden und Unternehmen. Ziel der Angriffe ist es, die gesamte IT des Opfers lahm zu legen oder Lösegeldzahlungen zu erpressen. Im Januar 2021 gelang es Europol, die Ransomware für einige Monate unschädlich zu machen.

Geschichte

Emotet wurde erstmals im Juni 2014 durch Trend Micro identifiziert. Betroffen waren Kunden deutscher und österreichischer Banken, deren Zugangsdaten über einen Man-in-the-Browser-Angriff abgefangen wurden. Seitdem wurden mehrere Evolutionsstufen des Trojaners entdeckt, die sich nach und nach wellenartig weltweit verbreiteten. Seit Ende 2018 war Emotet auch in der Lage, Inhalte aus E-Mails auszulesen und zu verwenden, was die Gefährlichkeit noch einmal erhöhte und dazu führte, dass das BSI explizit eine Warnung vor diesem Schadprogramm veröffentlichte. Die betroffenen Empfänger erhielten nun E-Mails mit authentisch aussehenden, jedoch erfundenen Inhalten von Absendern, mit denen sie zuvor in Kontakt standen. Dazu waren Namen und Mailadressen von Absender und Empfänger in Betreff, Anrede und Signatur zu früheren E-Mails stimmig und verleiteten auch sensibilisierte Nutzer hierdurch zum Öffnen des schädlichen Dateianhangs oder des in der Nachricht enthaltenen Links. In Einzelfällen sei es bei den Betroffenen dadurch zu Ausfällen der kompletten IT-Infrastruktur und zu Einschränkungen kritischer Geschäftsprozesse gekommen, die Schäden in Millionenhöhe nach sich zogen. Es kam zu großen Produktionsausfällen, und es mussten ganze Unternehmensnetzwerke nach einer Infektion mit Emotet neu aufgebaut werden. CERT-Bund und Polizei-Behörden berichteten von einer großen Zahl von Infektionen vor allem bei Unternehmen und Behörden. Betroffen waren unter anderem auch die Heise Gruppe und das Berliner Kammergericht. Dem Kammergericht wurde in einem Gutachten zu einem „kompletten Neuaufbau der IT-Infrastruktur“ geraten.

Im August 2020 wurde der BwFuhrparkService, der teilweise auch den Fahrdienst des Deutschen Bundestages stellt, Ziel eines mit Emotet ausgeführten Hackerangriffs.

Am 26. Januar 2021 stürmten maskierte Spezialkräfte der Polizei ein heruntergekommenes Wohnhaus in der Ukraine. Sie fanden dort zahlreiche Computer, über 50 Goldbarren, bündelweise Bargeld und zwei mutmaßliche Hacker. Im selben Monat gelang es Europol unter Leitung von niederländischen Ermittlern der Politie und deutschen Ermittlern des Bundeskriminalamtes, die Infrastruktur der Schadsoftware zu übernehmen und sie anschließend zu zerschlagen.

Seit Ende Januar 2022 beobachten Sicherheitsforscher wieder eine Zunahme von Spam-Mails aus dem Emotet-Botnetz. Während im Februar 2022 nur etwa 3.000 Mails beobachtet wurden, waren es im März bereits 30.000.

Eigenschaften und Funktion

Emotet basiert auf Methoden, die von APT-Angriffen bekannt sind, welche für den automatisierten und massenhaften Einsatz adaptiert und automatisiert wurden. Die Verbreitung erfolgt vor allem durch sogenanntes „Outlook-Harvesting“, das heißt durch Erzeugen authentisch wirkender Spam-Mails anhand ausgelesener E-Mail-Inhalte und Kontaktdaten bereits betroffener Nutzer. Die so erzeugten E-Mails wirken besonders authentisch und persönlich und heben sich so von gewöhnlichen Spam-Mails ab. Meist wird Emotet durch infizierte E-Mail-Anhänge im Word-Format auf die Rechner der Opfer gebracht. Durch verschiedene Botschaften wird versucht, den Nutzer zum Aktivieren der aktiven Inhalte zu bewegen, damit die Infektion erfolgen kann. Emotet ist zudem in der Lage, weitere Schadsoftware nachzuladen, über die dann etwa das Auslesen von Zugangsdaten oder ein Fernzugriff ermöglicht wird. Auch kann die nachgeladene Software verschiedene andere Lücken wie die SMB-Schwachstelle EternalBlue nutzen, um sich weiter zu verbreiten.

Gegenmaßnahmen

Vor der Infektion

Grundvoraussetzung für alle Schutzmaßnahmen ist das Einspielen aktueller Sicherheits-Updates und das Vorhandensein aktueller Backups, die physisch vom Netzwerk getrennt sind. Als direkte Gegenmaßnahme kann die Ausführung von Makros per Gruppenrichtlinie im Active Directory komplett deaktiviert werden, denn Emotet verwendet gerne E-Mail Anhänge im Word-Format zur Erstinfektion. Sollte das nicht möglich sein, so kann zumindest nur die Ausführung signierter Makros per Gruppenrichtlinie zugelassen werden. Word-Anhänge können zur Prüfung auch z. B. in LibreOffice geöffnet werden, denn dort funktionieren die VBA-Makros nicht. Da Passwörter aus Firefox und Outlook bzw. Thunderbird ausgelesen werden, wird die Verwendung eines Passwortmanagers empfohlen. Arbeiten mit reduzierten Benutzerrechten (keine Adminrechte) vor allem beim Surfen im Internet und beim Öffnen von E-Mail Anhängen ist sinnvoll, um zu verhindern, dass eine Infektion der Systemdateien erfolgt. Für administrative Konten werden starke Passwörter empfohlen, da Emotet diese mit Brute-Force-Methoden zu ermitteln versucht.

Emotet verwendet eine Reihe von Command-and-Control-Servern, zu denen sich infizierte Clients verbinden wollen. Das Sicherheitsteam Cryptolaemus bot bis Ende Jänner 2021 tägliche Sicherheitsberichte mit einer Liste bekannter IP-Adressen und/oder DNS-Namen von ebendiesen Servern. Durch eine Firewall mit Monitoring können etwaige Verbindungsversuche ermittelt werden.

Nach der Infektion

Emotet verwendet verschiedene Techniken, um sich vor Antivirensoftware zu verstecken, und ist deshalb schwer von einem infizierten System zu entfernen. Die wichtigste Maßnahme nach einer erkannten Infektion ist, dass das befallene System möglichst schnell isoliert wird, d. h. vom restlichen Unternehmensnetzwerk und vom Internet getrennt wird, da Emotet versucht, andere Rechner im Netzwerk zu infizieren. Auch ist von einer Verwendung eines Kontos mit administrativen Rechten auf einem infizierten System abzusehen, um weiteren Schaden zu begrenzen. Da sich der angerichtete Schaden auch auf Systemdateien erstreckt, sollte das System neu installiert werden, um eine restlose Beseitigung zu garantieren. Backups können dann zur Wiederherstellung verwendet werden, wenn sie nachweislich nicht infiziert sind, d. h. während des Befalls durch Emotet keine physische Verbindung zum Netzwerk hatten oder ständig schreibgeschützt waren.

Weblinks

• Emotet trifft Heise – Einblicke in einen Trojaner-Angriff auf YouTube
• Alert (TA18-201A) – Emotet Malware (Meldung des US-CERT, englisch)
• Malware analysis: decoding Emotet, part 1 (Blogartikel der Malwarebytes Labs, englisch)
• Malware analysis: decoding Emotet, part 2 (Blogartikel der Malwarebytes Labs, englisch)
• Analysis of a Fresh Variant of the Emotet Malware (Analyse von Fortinet, englisch)
• Detailed Analysis of Mal/Emotet-C (Analyse von Sophos, englisch)