Alertas

Nueva campaña de infección de Emotet

Durante los últimos días, se ha detectado un importante incremento en la cantidad de correos maliciosos relacionados con la amenaza Emotet. Cabe recordar que esta amenaza es la que en meses anteriores ha tenido mucho éxito en sus campañas de infección en muchas empresas de todo el mundo. Tras varias semanas posteriores a la infección, ha conseguido desplegarse por toda la organización utilizando multitud de herramientas y amenazas, lo cual le ha permitido cifrar todos los servidores críticos utilizando el Ransomware Ryuk.
23 Jul 2020
1 Minutos de lectura

ANÁLISIS

En el último trimestre de 2019 y principios de 2020 ya hubo una fuerte campaña de infección de Emotet, en la que utilizando correos robados de otras empresas y de proveedores, consiguió una alta tasa de éxito en la infección ya que los correos parecen legítimos y su origen en muchos casos es conocido para la víctima.

Tras la infección, los actores detrás de esta amenaza, utilizan otras amenazas y herramientas como Trickbot, Powershell Empire, Mimikatz o Cobalt Strike, para moverse lateralmente por toda la organización, localizar todos los puntos críticos y una vez tienen el control del servidor de dominio de la organización, desplegaban a través de una GPO una muestra del Ransomware Ryuk que dejaba toda la red corporativa sin capacidad de operación.

Durante los últimos meses había bajado en gran medida la actividad de este grupo, hasta hace unas horas que poco a poco se ha ido observando un incrementando en su actividad.

RECOMENDACIONES

Mantenerse alerta ante correos sospechosos independientemente de su origen, especialmente si contienen documentos adjuntos.
Mantener actualizada y desplegada por toda la organización una solución antivirus funcional y escaneando activamente.
Tratar una detección de una amenaza de tipo Emotet o Trickbot con especial criticidad puesto que puede provenir de un movimiento lateral no detectado.

 

REFERENCIAS
[1] https://blogs.protegerse.com/2020/07/21/emotet-vuelve-a-la-carga-tras-cinco-meses-de-inactividad/

61 visitas