Ormai conosciuto come uno dei diffusori di malware più attivi nel mondo cyber, da qualche anno a questa parte, Emotet è tornato a colpire le sue vittime. I ricercatori Proofpoint, infatti, hanno identificato un’attività di del malware a basso volume, sensibilmente differente dai comportamenti tradizionali.
L’attività si è verificata mentre Emotet appariva “in pausa”, ma da allora l’attore della minaccia ha ripreso le sue attività tipiche. Opinione di Proofpoint è che il gruppo che distribuisce Emotet stia probabilmente testando nuove tattiche, tecniche e procedure (TTP) su piccola scala prima di adottarle su campagne più ampie o di distribuirle in parallelo.
“Dopo mesi di attività regolare, Emotet sta cambiando le carte a sua disposizione,” spiega Sherrod DeGrippo, Vice President, Threat Research and Detection, Proofpoint. “È probabile che il responsabile di questa campagna stia testando nuovi comportamenti su piccola scala prima di adottarli in modo più ampio, o di distribuirli tramite nuovi TTP accanto alle sue attuali campagne ad alto volume. Le organizzazioni dovrebbero essere consapevoli delle nuove tecniche e assicurarsi di implementare le relative difese”.
I messaggi contenevano URL di OneDrive che ospitavano un archivio zip contenente file XLL che consegnavano il malware Emotet. Con ogni probabilità il responsabile di questa campagna è ancora TA542.
Chi è Emotet
Emotet è una prolifica botnet e un trojan che prende di mira le piattaforme Windows per distribuire malware. Era considerato una delle più attive minacce cybercriminali prima della sua chiusura da parte delle forze dell’ordine nel gennaio 2021.
Nel novembre 2021, 10 mesi dopo la sua scomparsa dal panorama delle minacce, Proofpoint ha osservato una ripresa di questa famigerata botnet e, da allora, il gruppo associato a Emotet, TA542, ha preso di mira migliaia di clienti con decine di migliaia di messaggi in più aree geografiche. In alcuni casi, il volume dei messaggi raggiunge oltre un milione per campagna.
Tuttavia, la nuova attività osservata da Proofpoint può rappresentare un distacco dai loro comportamenti tipici e indica che il gruppo sta testando nuove tecniche di attacco su piccola scala prima di adottarle per campagne di volume maggiore. In alternativa, questi nuovi TTP possono indicare che TA542 può ora essere impegnato in attacchi più selettivi e limitati in parallelo alle tipiche campagne email su larga scala.
