Emotet está de vuelta con una nueva campaña de Spam

Según investigadores de Malwarebytes, se han registrado indicios de actividad del troyano Emotet durante el lunes pasado que comenzó a enviar correos vía spam, una clara señal de que podría atacar nuevamente. Esta vez los correos electrónicos maliciosos comienzan con una plantilla en idioma alemán, polaco, italiano e inglés, donde se logró identificar que los correos electrónicos de phishing asociado a dicho malware vienen con el asunto llamado “Payment Remittance Advice”. 

El nuevo hallazgo de Emotet contiene un archivo adjunto en formato Word, con el objetivo de poder engañar y persuadir a la futura víctima, tan solo con abrir y habilitar el contenido del archivo adjunto permitiría que la macro inicie el proceso de infección. El comando PowerShell activado por la macro intentará descargar Emotet de sitios comprometidos, a menudo ejecutando el CMS de WordPress.

Una vez instalado, Emotet intenta propagarse lateralmente, pudiendo robar contraseñas de las aplicaciones instaladas, además de contar con la posibilidad de instalar distintos tipos de malware como el troyano Qakbot y Trickbot.

Para los usuarios infectados con el troyano Trickbot, y que no ha sido detectada la infección, existe una alta probabilidad de contagiarse con el ransomware Ryuk. Durante la mañana del día 16 de Septiembre, diversos investigadores han señalado que el botnet está totalmente de vuelta en acción.

Se recomienda lo siguiente: 

• Antes de Abrir archivos de Office , comprobar que el correo provenga de una fuente confiable
• Configurar de manera más estricta el anti-spam
• Generar una regla personalizada para bloqueos de IOC’s en perfiles entrantes perimetrales.
• Realizar campañas comunicacionales permanente dirigidas a clientes y colaboradores de organizaciones , explicando sobre los peligros de phishing y cómo actúa para engañar a sus víctimas.
• Dudar de cualquier correo que contenga un enlace , ya sea en el cuerpo del email o dentro de un documento adjunto.
• Nunca seguir la instrucción de deshabilitar las funciones de seguridad , si un correo electrónico o documento lo solicita.