Los actores de amenazas asociados con el notorio malware Emotet est\u00e1n cambiando continuamente sus t\u00e1cticas y su infraestructura de comando y control (C2) para escapar de la detecci\u00f3n, seg\u00fan una nueva investigaci\u00f3n de VMware.<\/p>\n
Emotete<\/a> es el trabajo de un actor de amenazas rastreado como Mummy Spider (tambi\u00e9n conocido como TA542), que surgi\u00f3 en junio de 2014 como un troyano bancario antes de transformarse en un cargador de uso m\u00faltiple en 2016 que es capaz de entregar cargas \u00fatiles de segunda etapa, como ransomware.<\/p>\n Si bien la infraestructura de la botnet se elimin\u00f3 como parte de una operaci\u00f3n coordinada de aplicaci\u00f3n de la ley en enero de 2021, Emotet se recuper\u00f3 en noviembre de 2021 a trav\u00e9s de otro malware conocido como TrickBot.<\/p>\n La resurrecci\u00f3n de Emotet, orquestada por el ahora desaparecido equipo de Conti, ha allanado el camino para las infecciones de Cobalt Strike y, m\u00e1s recientemente, los ataques de ransomware que involucran a Quantum y BlackCat.<\/p>\n “La adaptaci\u00f3n continua de la cadena de ejecuci\u00f3n de Emotet es una de las razones por las que el malware ha tenido \u00e9xito durante tanto tiempo”, dijeron investigadores de la Unidad de An\u00e1lisis de Amenazas (TAU) de VMware en un informe compartido con The Hacker News.<\/p>\n Los flujos de ataque de Emotet tambi\u00e9n se caracterizan por el uso de diferentes vectores de ataque en un intento de permanecer encubierto durante largos per\u00edodos de tiempo.<\/p>\n Estas intrusiones generalmente se basan en oleadas de mensajes de spam que entregan documentos con malware o URL incrustadas que, cuando se abren o se hace clic en ellos, conducen a la implementaci\u00f3n del malware.<\/p>\n Solo en enero de 2022, VMware dijo que observ\u00f3 tres conjuntos diferentes de ataques en los que la carga \u00fatil de Emotet se entreg\u00f3 a trav\u00e9s de una macro Excel 4.0 (XL4), una macro XL4 con PowerShell y una macro de Visual Basic Application (VBA) con PowerShell.<\/p>\n Algunos de estos ciclos de vida de infecci\u00f3n tambi\u00e9n se destacaron por el abuso de un ejecutable leg\u00edtimo llamado mshta.exe<\/a> para iniciar un archivo HTA malicioso y luego soltar el malware Emotet.<\/p>\n “Herramientas como mshta y PowerShell, que a veces se denominan binarios vivos de la tierra (LOLBIN), son muy populares entre los actores de amenazas porque est\u00e1n firmadas por Microsoft y Windows conf\u00eda en ellas”, dijeron los investigadores.<\/p>\n “Esto permite que el atacante realice un ataque adjunto confuso, en el que se enga\u00f1a a las herramientas leg\u00edtimas para que ejecuten acciones maliciosas”.<\/p>\n Un an\u00e1lisis m\u00e1s detallado de casi 25 000 artefactos DLL \u00fanicos de Emotet muestra que el 26,7 % de ellos fueron descartados por documentos de Excel. Se han identificado hasta 139 cadenas de programas distintivos.<\/p>\n El resurgimiento de Emotet tambi\u00e9n ha estado marcado por un cambio en la infraestructura C2, con el actor de amenazas operando dos nuevos grupos de botnet denominados \u00c9pocas 4 y 5<\/a>. Antes del desmantelamiento, la operaci\u00f3n Emotet se ejecut\u00f3 sobre tres redes de bots separadas denominadas \u00c9pocas 1, 2 y 3<\/a>.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1665010874_885_Los-piratas-informaticos-aprovechan-la-vulnerabilidad-del-controlador-de-Dell.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1665415236_354_Nuevo-informe-descubre-las-tecnicas-de-entrega-y-evasion-de.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1665415237_526_Nuevo-informe-descubre-las-tecnicas-de-entrega-y-evasion-de.jpg\")
<\/div>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/Adolescente-de-19-anos-arrestado-por-usar-datos-filtrados-de.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/10\/1665415237_949_Nuevo-informe-descubre-las-tecnicas-de-entrega-y-evasion-de.jpg\")
<\/div>\n