Nunca hubo una historia de más desdicha que esta de Emotet retornando una vez más. Esta vez, no hubo campañas a gran escala durante unos siete meses, aunque se registraron casos aislados de infección y los investigadores encontraron documentos distribuyendo este malware. Los ataques se reanudaron el pasado viernes, con la botnet enviando alrededor de 250,000 correos electrónicos en cuestión de horas, apuntando principalmente a destinatarios en los Estados Unidos y el Reino Unido. Desde entonces, la botnet continuó proporcionando a los investigadores nuevas muestras ocupando una posición líder en any.run.
En campañas recientes, la botnet ha estado distribuyendo el troyano IcedID , pero los atacantes pueden reconfigurarlo rápidamente para cualquier carga útil. Recordemos que el año pasado Emotet se fue de vacaciones durante todo el verano y después de mucho tiempo ‘recobró el sentido’. Esta vez todo sucedió más rápido, y ya estamos esperando sus próximas largas vacaciones. Mientras tanto, los miembros del Programa de Recompensas de Amenazas les presentan contenido fresco de la comunidad para detectar esta amenaza:
Emotet a través de Documento Word (Comportamiento Sysmon) by Lee Archinal – https://tdm.socprime.com/tdm/info/2tYN2TlMxm0a/zMQad3MBQAH5UgbB7xy7/?p=1
El enemigo público cibernético Emotet ha regresado by Osman Demir – https://tdm.socprime.com/tdm/info/mX8YnI2czLHA/pMYLe3MBQAH5UgbBgol9/?p=1
Las reglas tienen traducciones para las siguientes plataformas:
SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio
EDR: Carbon Black, Elastic Endpoint
MITRE ATT&CK:
Tácticas: Acceso Inicial, Ejecución, Evasión de Defensa, Comando y Control
Técnicas: Adjunto Spearphishing (T1193), Interfaz de Línea de Comando (T1059), Eliminación de Indicador en Host (T1070), Protocolo de Capa de Aplicación Estándar (T1071)
¿Listo para probar SOC Prime TDM? Regístrate gratis. O únete al Programa de Recompensas de Amenazas para crear tu propio contenido y compartirlo con la comunidad TDM.
