Wir senden Ihnen diese Informationen, damit Sie alle Überprüfungs-, Eindämmungs- und Beseitigungsmaßnahmen ergreifen können, die Sie in Bezug auf betrügerische E-Mail-Kampagnen für angemessen halten.
Massenmails mit betrügerischen Inhalten, die mit einer hochriskanten Bedrohung verbunden sind, finden statt. Die E-Mails beziehen sich auf Malware, die als Emotet bekannt ist. Neben der Aneignung von Informationen und deren Verbreitung per E-Mail fungiert Emotet als Trojanisches Pferd, das anderen Akteuren die Tür öffnet. Diese wiederum setzen oft bösartige Software für Spionage, Eindringen in Unternehmen und zum Verschlüsseln von Informationen ein, um eine wirtschaftliche Rettung zu fordern.
Emotet wird in Wellen, die spätestens seit August 2017 immer wieder auftreten, per Post verteilt. Die Aktivität war im zweiten Quartal 2019 eingestellt worden, wurde aber ab dem 15. September besonders aktiv und mit globaler Wirkung wieder aufgenommen, was die Aussage motiviert. Dies ist jedoch eine ständige Bedrohung, bei der nach wirksamen Maßnahmen gesucht werden muss, die dauerhaft wirksam bleiben können.
Einer der Faktoren, die den Erfolg dieser Kampagnen ausmachen, ist die Wiederverwendung früherer E-Mail-Threads, die darauf abzielen, das Vertrauen der Benutzer zu gewinnen. In vielen Fällen wird eine der Identitäten imitiert (zumindest der Name einer von ihnen) und Office-Dokumente mit schädlichem Inhalt werden über Makros angehängt. Schädliche E-Mails sind in der Regel kurze Texte und vage, die wie eine Antwort auf eine frühere Nachricht erscheinen. "Bestätigung des benötigten Materials ausstehend" oder "neue Vorlage" sind Beispiele für den Inhalt. Die Herkunft der Mail wird Mail-Clients in der Regel mit zwei Adressen angezeigt, wobei letztere der Absender der Mail ist und dem Empfänger in der Regel unbekannt ist.
Als Information Security Center of Catalonia (CESICAT) empfehlen wir die folgenden Maßnahmen, um dieser Bedrohung zu begegnen:
- Benutzerbewusstsein: Seien Sie vorsichtig bei Anhängen, die von unbekannten oder verdächtigen Adressen stammen. Seien Sie vorsichtig, wenn eine Nachricht zwei verschiedene Adressen als Quelle hat
- Makros standardmäßig deaktivieren
- Anti-Virus aktualisieren
- Überwachen und verweigern Sie die ausgehende Kommunikation von Firewalls zu den externen Standortports 447, 449 und 20
- Überprüfen Sie, ob das letzte còpia Die Sicherheit der als besonders kritisch eingestuften Informationen ist vollständig gewährleistet und stellt sicher, dass sie offline sind.
Andererseits empfehlen wir auch die folgenden zusätzlichen Maßnahmen anzuwenden:
- Erhöhen Sie die Schutzmaßnahmen für eingehende E-Mails:
- Bewerten Sie die Implementierung des Blockierens dieser E-Mails mit Microsoft Office-Dateien mit Makros (inklusive Excel)
- Blockieren Sie E-Mails mit bösartigen URLs im Zusammenhang mit Emotet.
- Scannen Sie eingehende E-Mails mit einem Antivirenprogramm mit aktualisierten Signaturen
- Analysieren Sie eingehende Post nach Möglichkeit in dynamischen Verhaltensanalysesystemen (Sandboxen).
- Netzwerksegmentierung
- Deaktivieren Sie RDP, wenn dies nicht unbedingt erforderlich ist
- Segmentierung auf Benutzerebene: Richten Sie ein Protokoll ein, auf das der Benutzer von keinem Computer aus zugreifen kann, um zu vermeiden, dass im Falle einer Kompromittierung der Anmeldeinformationen dieses Computers auf jeden Computer des betreffenden Bereichs zugegriffen werden kann.
- Überprüfung von Berechtigungen und Änderung von Anmeldeinformationen
- Überprüfen Sie die Regelkonfiguration auf administrativer Ebene
- Programm- und Codeausführungen vorübergehend vermeiden
Wenden Sie sich bei einem Vorfall an CESICAT-CERT cert@cesicat.cat
Verweise:
Emotet-spezifische Minderungsmaßnahmen
Bedrohungsposten: Emotet kehrt aus den Sommerferien zurück und erhöht die Taktik für gestohlene E-Mails
Piepencomputer: Der Emotet-Trojaner entwickelt sich seit seinem Wiedererwachen, hier ist, was wir wissen
Cisco Talos Intelligence: Emotet ist nach der Sommerpause zurück
