ALERTE : Recrudescence activité Emotet en France (07.09.20)

Avis et alertes de sécurité au jour le jour (aucune question posée dans ce sous-forum)

Modérateur: Modérateurs et Modératrices

ALERTE : Recrudescence activité Emotet en France (07.09.20)

Messagede pierre » 10 Sep 2020, 20:31

ALERTE : Recrudescence d’activité Emotet en France


Risque(s)
Depuis quelques jours, l’ANSSI constate un ciblage d’entreprises et administrations françaises par le code malveillant Emotet. Il convient d’y apporter une attention particulière car Emotet est désormais utilisé pour déposer d’autres codes malveillants susceptibles d’impacter fortement l’activité des victimes.

Caractéristiques du cheval de Troie Emotet
Observé pour la première fois mi-2014 en tant que Cheval de Troie (Trojan) bancaire, Emotet a évolué pour devenir un Cheval de Troie modulaire.

Ses différents modules actuels lui permettent :

  • de récupérer les mots de passe stockés sur un système ainsi que sur plusieurs navigateurs (Internet Explorer, Mozilla Firefox, Google Chrome, Safari, Opera) et boîtes courriel (Microsoft Outlook, Windows Mail, Mozilla Thunderbird, Hotmail, Yahoo! Mail et Gmail) ;
  • de dérober la liste de contacts, le contenu et les pièces jointes attachées à des courriels ;
  • de se propager au sein du réseau infecté en tirant parti de vulnérabilités SMB ainsi que des mots de passe récupérés.

Le code malveillant est distribué par le Botnet (réseau d'appareils coordonnés) éponyme (lui-même composé de trois groupements de serveurs différents Epoch 1, Epoch 2, Epoch 3, opérés par le groupe cybercriminel TA542) au travers de campagnes massives de courriels d’Hameçonnage, souvent parmi les plus volumineuses répertoriées. Ces courriels d’hameçonnage contiennent généralement des Pièce jointe (« Attachment file ») Word ou PDF malveillantes, et plus rarement des URL pointant vers des sites compromis ou vers des documents Word contenant des macros (Désactiver l'exécution automatique des macros dans Microsoft Office).

Ces campagnes d’attaques touchent tous types de secteurs d’activités à travers le monde.

Emotet : loader de codes malveillants tiers
Depuis 2017, Emotet n’est plus utilisé en tant que cheval de Troie bancaire Banker mais distribue, fréquemment au sein des systèmes d’information qu’il infecte, des codes malveillants opérés par des groupes d’attaquants qui sont clients de TA542. Par exemple, les virus bancaires Qbot, Trickbot, IcedID, GootKit, BokBot, Dridex et DoppelDridex peuvent être distribués en tant que seconde Charge utile, avec une prédominance en 2020 de Qbot et TrickBot.

En outre, ces derniers peuvent télécharger des rançongiciels (malveillance informatique avec demande de rançon) au sein du système d’information compromis. C’est par exemple le cas de TrickBot auquel il arrive de télécharger les rançongiciels Ryuk ou Conti.

Ainsi, la détection et le traitement au plus tôt d’un évènement de sécurité lié à Emotet peut prévenir de nombreux types d’attaques, dont celles par crypto-ransomware (chiffrement des fichiers et demande de rançon avant le chiffrement.

Recrudescence des campagnes d’attaque durant le second semestre 2020
Après une absence de cinq mois, Emotet a refait surface en juillet 2020. Depuis, nombre de ses campagnes d’hameçonnage exploitent une technique de détournement des fils de discussion des courriels (email thread hijacking technique).

Une fois la boîte courriel d’un employé de l’entité victime (ou la boîte courriel générique de l’entité elle-même) compromise, le code malveillant Emotet exfiltre le contenu de certains de ses courriels. Sur la base de ces derniers, les attaquants produisent des courriels d’hameçonnage prenant la forme d’une réponse à une chaîne de courriels réels, réellement échangés entre l’employé de l'entité victime et des partenaires (clients...) de l’entité pour laquelle cet employé travaille. L’objet légitime du courriel d’hameçonnage est alors précédé d’un ou plusieurs « Re : », et le courriel lui-même contient l’historique d’une discussion, voire même des pièces jointes (« Attachment files ») légitimes.

Ces courriels, d’apparence légitime, sont envoyés à des contacts de la victime, et plus particulièrement aux tierces parties de l’entité (clients et prestataires notamment) ayant participé au fil de discussion originel, afin d’accroître leur crédibilité auprès des destinataires.

Outre cette technique, TA542 construit également des courriels d’hameçonnage sur la base d’informations récupérées lors de la compromission des boîtes courriel, qu’il envoie aux listes de contact exfiltrées, ou usurpent plus simplement l’image d’entités, victimes préalables d’Emotet ou non (sociétés de transport, de télécommunication ou encore institutions financières).

Dans tous les cas, il apparaît que les boîtes courriel compromises ne sont pas utilisées pour envoyer des courriels d’hameçonnage mais que ces derniers sont envoyés depuis l’infrastructure des attaquants sur la base d’adresses courriel expéditrices souvent typosquattées (Typo - TypoSquatting).

La France représente une cible des campagnes récentes d’Emotet.

Solution
Moyens de détection relatifs à Emotet

Plusieurs flux existent contenant des indicateurs de compromission actualisés relatifs à Emotet, ce code faisant l’objet de nombreuses investigations dans les secteurs public et privé. Parmi ces flux, https://paste.cryptolaemus.com/ et https://feodotracker.abuse.ch/browse/ représentent des sources fiables qu’il est recommandé d’intégrer dans ses moyens de détection et de blocage.

A noter aussi :


Recommandations
Sensibiliser les utilisateurs à ne pas activer les macros dans les pièces jointes et à être particulièrement attentifs aux courriels qu’ils reçoivent et réduire l’exécution des macros.

Limiter les accès Internet pour l’ensemble des agents à une liste blanche contrôlée (durcir la DMZ (informatique)).

Déconnecter les machines compromises du réseau sans en supprimer les données.

De manière générale, une suppression / un nettoyage par l’antivirus n’est pas une garantie suffisante. Seule la réinstallation de la machine permet d’assurer l’effacement de l’implant.

Transmettre à l’ANSSI les échantillons (.doc et .eml) à votre disposition pour analyse afin d’en déterminer des IOC (IOCs) - Indicators Of Compromise qui pourront être partagés. Ce point est essentiel car l’infrastructure de l’attaquant évoluant fréquemment, l’accès aux échantillons récents est donc primordial.
https://www.ssi.gouv.fr/en/contacts/

Documentation
Cofense – avril 2019 (https://cofense.com/emotet-gang-switche ... t-victims/)

Proofpoint – mail 2019 (https://www.proofpoint.com/us/threat-in ... on-service)

Malwarebytes – 2019 (https://www.malwarebytes.com/emotet/)

JP CERT – décembre 2019 (https://www.jpcert.or.jp/english/at/2019/at190044.html)

US-CERT – janvier 2020 (https://us-cert.cisa.gov/ncas/alerts/TA18-201A)

Bleeping Computer – juillet 2020 (https://www.bleepingcomputer.com/news/s ... -contacts/)

Proofpoint – août 2020 (https://www.proofpoint.com/us/blog/thre ... 020-return)
Image
__________________
Pierre (aka Terdef)
Appel à donation - Le site a besoin de votre aide

Comment je me fais avoir/infecter ? - Protéger navigateur, navigation et vie privée - Bloquer publicité et surveillance sur le Web
Accélérer Windows - Accélérer Internet - Décontamination - Installer Malwarebytes - Forums d'entraide

Il ne sera répondu à aucune demande de dépannage posée en MP (Messagerie Privée). Les demandes doivent être publiques et les réponses doivent profiter au public.
Image
Avatar de l’utilisateur
pierre
 
Messages: 27291
Inscription: 20 Mai 2002, 23:01
Localisation: Ici et maintenant

Retourner vers Alertes

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 39 invités