Nueva campaña de infección de Emotet

ANÁLISIS

En el último trimestre de 2019 y principios de 2020 ya hubo una fuerte campaña de infección de Emotet, en la que utilizando correos robados de otras empresas y de proveedores, consiguió una alta tasa de éxito en la infección ya que los correos parecen legítimos y su origen en muchos casos es conocido para la víctima.

Tras la infección, los actores detrás de esta amenaza, utilizan otras amenazas y herramientas como Trickbot, Powershell Empire, Mimikatz o Cobalt Strike, para moverse lateralmente por toda la organización, localizar todos los puntos críticos y una vez tienen el control del servidor de dominio de la organización, desplegaban a través de una GPO una muestra del Ransomware Ryuk que dejaba toda la red corporativa sin capacidad de operación.

Durante los últimos meses había bajado en gran medida la actividad de este grupo, hasta hace unas horas que poco a poco se ha ido observando un incrementando en su actividad.

RECOMENDACIONES

Mantenerse alerta ante correos sospechosos independientemente de su origen, especialmente si contienen documentos adjuntos.
Mantener actualizada y desplegada por toda la organización una solución antivirus funcional y escaneando activamente.
Tratar una detección de una amenaza de tipo Emotet o Trickbot con especial criticidad puesto que puede provenir de un movimiento lateral no detectado.

REFERENCIAS
[1] https://blogs.protegerse.com/2020/07/21/emotet-vuelve-a-la-carga-tras-cinco-meses-de-inactividad/