Virusul care a pus finanţiştii pe jar este un troian cunoscut, descoperit în urmă cu aproximativ 6 ani, mai întâi în Europa și mai apoi în SUA. Emotet se activează pe computerul unui utilizator, prin intermediul link-urilor sau a atașamentelor malspam din e-mail-uri, cu intenția de a fura date financiare. Ulterior Emotet a evoluat în complexitate și a dobândit capacitatea de a efectua şi alte atacuri în interiorul unui dispozitiv.
Ținta primește mesaje care de regulă par să provină de la adrese legitime, instituții sau chiar persoane fizice. În anumite cazuri mesajele pot proveni chiar direct de la o sursă reală, dacă aceasta a fost deja infectată cu Emotet.
Trei modalităţi de infectare
În acest moment există 3 modalități prin care vă puteți infecta PC-ul/rețeaua cu Emotet, toate pornind de la un mail tip spam:
Mail de tip spam, cu un atașament ce conține macro-uri care descarcă malware.
Mail de tip spam cu atașament ce conține macro-uri, dar fișierul malițios este inclus într-o arhivă cu parolă (parola este comunicată în textul mail-ului, pentru ca victima să îl poată dezarhiva).
Mail de tip spam care are inclus în text un link. Apăsând pe acel link, victima ajunge să își infecteze dispozitivul cu malware.
Cum puteţi evita atacurilor cu Emotet
Se recomandă, în primul rând, verificarea adresei reale de mail de pe care primim aceste mesaje. Acest lucru se poate face prin verificarea sursei (header).
Fiți atenți atunci când verificați e-mail-urile primite, în special cele care conțin atașamente.
Emotet este încă activ, se propagă prin intermediul e-mail-ului și vizează deopotrivă persoane fizice, instituții publice sau companii private.
În cazul în care aveți suspiciuni legate de veridicitatea informației din mail, verificați autenticitatea informațiilor oferite de presupusul expeditor direct cu acesta, utilizând alt canal de comunicare (preferabil telefonul).
Înainte de a face o acțiune care ar putea dăuna, scanați cu o soluție de securitate instalată pe dispozitiv, sau cu una disponibilă gratis online (ex: Virus Total) link-urile sau atașamentele suspecte din căsuța dvs. de mail. Nu uitați să aplicați la timp update-urile pentru aceste soluții.
Scanarea cu antivirus nu este suficientă însă. Emotet nu este ușor de identificat și interceptat, deoarece eludează de multe ori soluțiile antivirus convenționale. Este un virus polimorf, codul se schimbă ușor pentru a evita detectarea de către scanerele de malware bazate pe semnături. De asemenea, Emotet detectează când rulează pe o mașină virtuală. De îndată ce este înregistrat un mediu sandbox, programul intră în modul stand-by și nu ia nicio acțiune dăunătoare în acel moment.
Utilizatorilor li se recomandă să implementeze filtre la gateway-ul de e-mail pentru a înlătura e-mailurile cu indicatori cunoscuți de spam sau malware și pentru a bloca adresele IP suspecte din firewall.
E-mailurile suspecte trebuie raportate departamentului IT pentru izolare și investigare. Verificați periodic regulile contului de e-mail, care pot fi setate pentru redirecționarea automată a tuturor mesajelor, ceea ce ar putea duce la o scurgere de date, dacă există o infecție.
Pentru a vă proteja eficient împotriva Emotet, trebuie să vă concentrați în principal pe poarta principală de acces a malware-ului: comunicarea prin e-mail. Deoarece Emotet se ascunde adesea în fișierele Microsoft Office și are nevoie de macrocomenzi pentru a putea instala malware-ul dorit, este logic să nu le permiteți. Dacă totuși nu vă puteți desfășura activitatea fără macrocomenzi, este posibil să le permiteți numai celor semnate.
Orice actualizare de securitate implementată trebuie instalată imediat pentru sistemele de operare, programele antivirus, browserele web, clienții de e-mail și programele de tip Office.
Efectuați în mod regulat backup al datelor, în special a celor esențiale. Infecția cu Emotet poate duce, de asemenea, la un ransomware, astfel că este vital să mențineți copii de siguranță ale datelor pentru a permite recuperarea acestora, în cazul unei infecții cu Emotet. Deoarece ransomware-ul infectează în mod obișnuit dispozitivele de stocare conectate, asigurați-vă că backupurile dvs. sunt stocate offline sau sunt deconectate fizic, atunci când nu sunt utilizate!
Dezactivați serviciile inutile.Emotet profită adesea de vulnerabilitățile găsite în serviciile care rulează în background, pentru a se răspândi pe alte computere din rețea. Remote Desktop Protocol (RDP), tehnologia care ne permite lucrul de la distanță. este un astfel de exemplu. Utilizatorilor li se recomandă să dezactiveze astfel de servicii dacă nu sunt necesare, pentru a împiedica malware-ul să le exploateze și să se propage în rețea.
Instalați o soluție de control al aplicațiilor. Utilizatorii pot lua în considerare instalarea unui astfel de software care oferă listă albă de aplicații și/sau directoare. Astfel, se permite rularea exclusiv a programelor aprobate, în timp ce se restricționează altele. Este o practică bună de securitate pentru a proteja un sistem informatic.
Cum procedăm pentru a verifica dacă suntem infectaţi cu EMOTET
Pentru a verifica dacă dispozitivul dvs. a fost deja infectat cu EMOTET, puteţi folosi instrumentul de detectare şi dezinfectare este disponibil pe GitHub: https://github.com/JPCERTCC/EmoCheck
Un scurt instructaj video explicit despre cum se poate utiliza această soluţie, este disponibil pe canalul nostru de Youtube: https://youtu.be/CytgMVjCduQ
Un alt instrument online, care se axează pe scanarea adreselor de e-mail sau a domeniilor, este disponibil aici: https://www.haveibeenemotet.com, iar tutorialul de utilizare, produs de către echipa CERT-RO poate fi vizionat aici: https://www.facebook.com/CERT.RO/videos/330312408067561