僵尸网络Emotet卷土重来,已感染179个国家的13万台设备
2022-3-11 16:54:27 Author: www.freebuf.com(查看原文) 阅读量:6 收藏

曾经臭名昭著的僵尸网络Emotet在2021年初被全球执法部门重拳出击后消失了一段时间,如今,它已卷土重来,而且势头凶猛。据Securityaffairs等网站消息,Emotet自去年11月复出以来发展迅猛,已经感染了约13万台主机,遍布179个国家。

Emotet 于 2014 年被首次发现,最初是作为一种银行木马病毒进行传播,但随着发展逐渐囊括了越来越多的恶意程序,如Trickbot 和 QBot,以及勒索软件Conti、ProLock、Ryuk和 Egregor等,构建成了一个庞大的僵尸网络。2021 年 11 月,来自多家网络安全公司(Cryptolaemus、GData和 Advanced Intel)的研究人员报告称,攻击者正利用TrickBot 恶意软件在受感染设备上投放 Emote 加载程序,专家们跟踪了旨在利用TrickBot的基础设施重建Emotet僵尸网络的活动。

研究人员指出,新的 Emotet具有了一些新功能:

除了规避检测和分析,还能对网络流量进行加密,以及将进程列表分离到自己的模块中;

采用椭圆曲线加密 (ECC) 方案,代了用于网络流量保护和验证的 RSA加密;

新版本只有在与C2建立连接后才会部署进程列表模块;

添加了更多信息收集功能,以更好地进行系统分析,而以前,Emotet 只会发回正在运行的进程列表。

但与之前的版本相似,Emotet 的大部分C2基础设施位于美国和德国,其次是法国、巴西、泰国、新加坡、印度尼西亚、加拿大、英国和印度;在机器人(Bot)方面,则重点分布在日本、印度、印度尼西亚、泰国、南非、墨西哥、美国、中国、巴西和意大利。分析人士认为,排名靠前的国家是由于这些地区拥有较多过时且易受攻击的Windows设备。

去年年初,由荷兰、德国、美国、英国、法国、立陶宛、加拿大和乌克兰组成的执法部门曾开展行动,破坏了Emotet相关基础设施。由此看来,这次行动并不彻底,导致Emotet在沉寂大半年后死灰复燃。

参考来源:

https://securityaffairs.co/wordpress/128879/breaking-news/emotet-botnet-rapidly-growing.html

https://www.bleepingcomputer.com/news/security/emotet-growing-slowly-but-steadily-since-november-resurgence/


文章来源: https://www.freebuf.com/news/324520.html
如有侵权请联系:admin#unsafe.sh