Emotet ist eine modulare Schadsoftware-Familie, die zunächst als Banking-Trojaner bekannt wurde und weitere Schadprogramme aus dem Internet nachlädt, die den eigentlichen Schaden anrichten; Opfersysteme infizierte sie in den dokumentierten Kampagnen über Spam-Mails mit Office-Dokumenten.
Auf einen Blick
Das BSI bezeichnete Emotet als „weltweit gefährlichste Schadsoftware“.
Phishing-E-Mails blieben der Hauptverbreitungsweg; sie nutzten verschiedene Social-Engineering-Techniken, damit Empfänger einen schädlichen Link anklicken oder eine schädliche Office-Datei herunterladen.
Nachdem die Infrastruktur von Emotet im Januar 2021 zerschlagen worden war, beobachteten Sicherheitsforscher später wieder eine Zunahme von Spam-Mails aus dem Emotet-Botnetz.
Was ist Emotet?
Emotet entwickelte sich von einem eigenständigen Banking-Trojaner zu einem Dropper für andere Schadprogramme. Als Banking-Trojaner diente Emotet dazu, Zugangsdaten für Online-Banking zu stehlen. Laut MITRE ATT&CK ist Emotet eine modulare Malware-Variante, die primär als Downloader für andere Malware wie TrickBot und IcedID genutzt wird. Emotet basiert auf einer Weiterentwicklung des Online-Banking-Trojaners Cridex. Die erste Version von Emotet, auch Geodo genannt, gelangte über Spam-Kampagnen mit gefälschten Rechnungen oder angeblichen Mitteilungen von Banken auf die Systeme.
Infiziert Emotet über eine Phishing-E-Mail den Rechner eines Mitarbeiters eines Versicherers, kann der Trojaner nach der Erstinfektion modular weitere Schadkomponenten nachladen, etwa für Datendiebstahl oder die Auslieferung von Ransomware. Laut BSI spähte Emotet auf infizierten Systemen die Zugangsdaten für dort konfigurierte E-Mail-Konten sowie den Inhalt der Postfächer aus. Das BSI meldete durch Emotet kompromittierte E-Mail-Konten an die zuständigen Provider; diese wurden gebeten, die betroffenen Konten zu sperren, um einen weiteren Missbrauch für den Spam-Versand zu unterbinden, und ihre Kunden entsprechend zu informieren. Das BSI hielt viele Emotet-Schäden für vermeidbar, wenn IT-Sicherheitsmaßnahmen konsequent umgesetzt werden. In besonderen Fällen wurde später die Ransomware Ryuk ausgerollt, die wichtige Daten verschlüsselt.
Wie funktioniert Emotet?
Die Infektion mit Emotet erfolgte in den dokumentierten Kampagnen über Makros in Office-Dokumenten, die das Schadprogramm aus dem Internet nachluden und ausführten. Laut MITRE ATT&CK hat Emotet Microsoft-Word-Dokumente mit eingebetteten Makros versendet, die Skripte aufrufen, um zusätzliche Payloads herunterzuladen. Eine Infektion installierte zunächst nur eine Kernkomponente des Schadprogramms, die dann Module für verschiedene Schadfunktionen nachladen konnte. Spam-Mails enthielten laut BSI entweder ein schädliches Office-Dokument direkt als Dateianhang oder einen Link, der zum Download eines solchen Dokuments führt.
In der dokumentierten Angriffskette lud Emotet zunächst Trickbot nach, das die eigentlichen Schäden verursachte. Erachteten die Täter ein Opfer als ausreichend interessant, verbanden sie sich über die von Trickbot bereitgestellte Hintertür auf dessen Systeme und schauten sich manuell im Netzwerk um. Entschieden sie sich für eine Verschlüsselung, rollten sie die Ransomware Ryuk aus. Die Trickbot-Kriminellen arbeiteten mit einer Gruppe zusammen, die die Ransomware Ryuk einsetzte.
Schutz im Ernstfall
Vorbeugen
- Die Ausführung von Makros per Gruppenrichtlinie im Active Directory deaktivieren, weil die Infektion in den dokumentierten Kampagnen über Makros in Office-Dokumenten erfolgte
- Backups wichtiger Daten anlegen und die Backup-Strategie mit Offline-Backups absichern
- Sicherheitsupdates einspielen
- Mitarbeiter im vorsichtigen Umgang mit Dateianhängen und Links in E-Mails sensibilisieren, auch bei vermeintlich bekannten Absendern, sowie für die Gefahren durch Makros in Office-Dokumenten
Was tun im Ernstfall
- Das befallene System möglichst schnell vom restlichen Unternehmensnetzwerk und vom Internet trennen, da Emotet versucht, andere Rechner im Netzwerk zu infizieren
- Die interne IT-Sicherheit informieren, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Zugangsdaten der auf dem System konfigurierten E-Mail-Konten und alle weiteren dort verwendeten Zugangsdaten sofort und von einem nicht betroffenen Gerät aus ändern
- Das System anschließend durch die IT-Sicherheit analysieren und neu aufsetzen lassen, weitere Systeme im Netzwerk auf einen Befall prüfen lassen und Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Eine dokumentierte Angriffskette läuft in drei Schritten ab: Infektion mit Emotet, Sekundärinfektion mit Trickbot und manuelles Ausrollen der Ransomware Ryuk, die wichtige Daten verschlüsselt.
- Laut BSI wurden Emotet-Spam-Mails mit gefälschten Absendern als vermeintliche Antworten auf tatsächliche E-Mails versendet.
- Gelangt Emotet über eine Phishing-E-Mail auf den Rechner eines Mitarbeiters eines Versicherers, können nach der Erstinfektion modular weitere Schadkomponenten nachgeladen werden, etwa für Datendiebstahl oder die Auslieferung von Ransomware.
Häufiger Irrtum
Mythos „Emotet ist eine Ransomware, die Daten verschlüsselt und Lösegeld fordert.“
Richtig Laut BSI richten die Täter den eigentlichen Schaden mit nachgeladener Schadsoftware an. Dies ist meist zunächst ein Banking-Trojaner, der den Tätern Komplettzugriff auf das Netzwerk verschafft, bevor dann manuell bspw. ein Verschlüsselungstrojaner (Ransomware) eingesetzt wird.
