Un virus de tip bancar fură datele financiare ale instituţiilor publice şi firmelor private

În ultimele luni, o serie de entităţi publice şi private din România au fost puternic afectate de valuri succesive de atacuri cu malware de tip EMOTET, care au generat numeroase probleme.

Acest tip de atacuri a cunoscut o creştere consistentă în această săptămână, vizând o plajă largă de ţinte din aceeaşi categorie.

Ce este EMOTET

EMOTET este un malware-ul de tip bancar, care infectează computerele care folosesc sistemul de operare Microsoft Windows, prin intermediul link-urilor sau a ataşamentelor malspam infectate (e.g. PDF, DOC, etc.). EMOTET este un troian cunoscut, descoperit în urmă cu aproximativ 6 ani, mai întâi în Europa şi mai apoi în SUA.

EMOTET se activează pe computerul unui utilizator, prin intermediul link-urilor sau a ataşamentelor malspam din e-mail-uri, cu intenţia de a fura date financiare. Principalele informaţii vizate iniţial erau cele de ordin financiar, dar ulterior EMOTET a evoluat în complexitate şi a dobândit capacitatea de a efectua alte atacuri în interiorul unui dispozitiv. Ţinta primeşte mesaje care de regulă par să provină de la adrese legitime, , instituţii sau chiar persoane fizice. Mai mult, în anumite cazuri mesajele pot proveni direct de la o sursă reală, dacă aceasta a fost deja infectată cu EMOTET.

În acest moment există 3 modalităţi prin care vă puteţi infecta PC-ul/reţeaua cu EMOTET, în toate cazurile pornindu-se de la un mail tip spam:

Mail de tip spam, cu un ataşament ce conţine macro-uri care descarcă malware.

Mail de tip spam cu ataşament ce conţine macro-uri, dar fişierul maliţios este inclus într-o arhivă cu parolă (parola este comunicată în textul mail-ului, pentru ca victima să îl poată dezarhiva).

Mail de tip spam care are inclus în text un link. Apăsând pe acel link, victima ajunge să îşi infecteze dispozitivul cu malware.

Recomandări pentru evitarea atacurilor cu EMOTET

În ultimele luni, echipa CERT-RO a furnizat o serie de alerte pe canalele oficiale de social media despre cum funcţionează acest tip de atac şi cum ne putem proteja. Se recomandă, în primul rând,  verificarea adresei reale de mail de pe care primim aceste mesaje. Acest lucru se poate face prin verificarea sursei (header).  

Principalii paşi care trebuie avuţi în vedere ar fi următorii:

Sporirea vigilenţei, care este principalul atu pe care un utilizator obişnuit îl are oricând la dispoziţie. Fiţi atenţi atunci când verificaţi e-mail-urile primite, în special cele care conţin ataşamente! EMOTET este încă activ, se propagă prin intermediul e-mail-ului şi vizează deopotrivă persoane fizice, instituţii publice sau companii private.

În cazul în care aveţi suspiciuni legate de veridicitatea informaţiei din mail, verificaţi autenticitatea informaţiilor oferite de presupusul expeditor direct cu acesta, utilizând alt canal de comunicare (preferabil telefonul).

Înainte de a face o acţiune care ar putea dăuna, scanaţi cu o soluţie de securitate instalată pe dispozitiv, sau cu una disponibilă gratis online (ex: Virus Total) link-urile sau ataşamentele suspecte din căsuţa dvs. de mail. Nu uitaţi să aplicaţi la timp update-urile pentru aceste soluţii!

Scanarea cu antivirus nu este suficientă însă. EMOTET nu este uşor de identificat şi interceptat, deoarece eludează de multe ori soluţiile antivirus convenţionale. Este un virus polimorf, codul se schimbă uşor pentru a evita detectarea de către scanerele de malware bazate pe semnături. De asemenea, EMOTET detectează când rulează pe o maşină virtuală. De îndată ce este înregistrat un mediu sandbox, programul intră în modul stand-by şi nu ia nicio acţiune dăunătoare în acel moment.

Utilizatorilor li se recomandă să implementeze filtre la gateway-ul de e-mail pentru a înlătura e-mailurile cu indicatori cunoscuţi de spam sau malware şi pentru a bloca adresele IP suspecte din firewall.

E-mailurile suspecte trebuie raportate departamentului IT pentru izolare şi investigare. Verificaţi periodic regulile contului de e-mail, care pot fi setate pentru redirecţionarea automată a tuturor mesajelor, ceea ce ar putea duce la o scurgere de date, dacă există o infecţie.

Pentru a vă proteja eficient împotriva EMOTET, trebuie să vă concentraţi în principal pe poarta principală de acces a malware-ului: comunicarea prin e-mail. Deoarece EMOTET se ascunde adesea în fişierele Microsoft Office şi are nevoie de macrocomenzi pentru a putea instala malware-ul dorit, este logic să nu le permiteţi. Dacă totuşi nu vă puteţi desfăşura activitatea fără macrocomenzi, este posibil să le permiteţi numai celor semnate.

Orice actualizare de securitate implementată trebuie instalată imediat pentru sistemele de operare, programele antivirus, browserele web, clienţii de e-mail şi programele de tip Office.

Efectuaţi în mod regulat backup al datelor, în special a celor esenţiale. Infecţia cu EMOTET poate duce, de asemenea, la un ransomware, astfel că este vital să menţineţi copii de siguranţă ale datelor pentru a permite recuperarea acestora, în cazul unei infecţii cu EMOTET. Deoarece ransomware-ul infectează în mod obişnuit dispozitivele de stocare conectate, asiguraţi-vă că backupurile dvs. sunt stocate offline sau sunt deconectate fizic, atunci când nu sunt utilizate!

Accesul la reţeaua companiei ar trebui monitorizat continuu, de către cei responsabili din Departamentele IT, deoarece astfel se poate determina în timp util dacă a apărut o infecţie cu EMOTET.

Dezactivaţi serviciile inutile. EMOTET profită adesea de vulnerabilităţile găsite în serviciile care rulează în background, pentru a se răspândi pe alte computere din reţea. Remote Desktop Protocol (RDP), tehnologia care ne permite lucrul de la distanţă. este un astfel de exemplu. Utilizatorilor li se recomandă să dezactiveze astfel de servicii dacă nu sunt necesare, pentru a împiedica malware-ul să le exploateze şi să se propage în reţea

Instalaţi o soluţie de control al aplicaţiilor. Utilizatorii pot lua în considerare instalarea unui astfel de software care oferă listă albă de aplicaţii şi/sau directoare. Astfel, se permite rularea exclusiv a programelor aprobate, în timp ce se restricţionează altele. Este o practică bună de securitate pentru a proteja un sistem informatic.

Asiguraţi-vă routerele! EMOTET poate exploata reţele Wi-Fi nesigure, pentru a răspândi malware-ul, astfel că este extrem de important să vă protejaţi reţelele. Utilizatorii şi administratorii de sistem sunt sfătuiţi să facă acest lucru, asigurându-vă că modificaţi parolele implicite şi că utilizaţi o parolă puternică pentru routerele dvs.

Se recomanda verficarea adresei de mail de unde vin mesajele.

Cum procedăm pentru a verifica dacă suntem infectaţi cu EMOTET

Pentru a verifica dacă dispozitivul dvs. a fost deja infectat cu EMOTET, puteţi folosi instrumentul de detectare şi dezinfectare este disponibil pe GitHub: https://github.com/JPCERTCC/EmoCheck

Un scurt instructaj video explicit despre cum se poate utiliza această soluţie, este disponibil pe canalul nostru de Youtube: https://youtu.be/CytgMVjCduQ

Un alt instrument online, care se axează pe scanarea adreselor de e-mail sau a domeniilor, este disponibil aici: https://www.haveibeenemotet.com, iar tutorialul de utilizare, produs de către echipa CERT-RO poate fi vizionat aici: https://www.facebook.com/CERT.RO/videos/330312408067561