頭號(hào)僵尸網(wǎng)絡(luò)Emotet被聯(lián)手制裁后,終于在世界范圍內(nèi)“自我毀滅”
2021-04-27
來(lái)源:關(guān)鍵基礎(chǔ)設(shè)施安全應(yīng)急響應(yīng)中心
Emotet僵尸網(wǎng)絡(luò)自2014年被發(fā)現(xiàn)以來(lái),作為網(wǎng)絡(luò)安全最嚴(yán)重的威脅之一,已經(jīng)活躍了近七年之久。
該僵尸網(wǎng)絡(luò)的攻擊方式通常是通過(guò)電子郵件惡意附件來(lái)分發(fā)傳播TrickBot和Qbot等惡意軟件。
Emotet的攻擊通常會(huì)導(dǎo)致網(wǎng)絡(luò)被全面破壞。據(jù)美國(guó)國(guó)土安全部的估計(jì),每次遭受Emotet感染,美國(guó)各州和地方政府都要花費(fèi)100萬(wàn)美元進(jìn)行清理。此外,2019年,德國(guó)、柏林高等法院在遭遇Emotet襲擊后徹底重建了計(jì)算機(jī)系統(tǒng)。
在所有受感染的系統(tǒng)上部署贖金軟件的有效載荷,包括Qbot的ProLock或Egregor,以及TrickBot的Ryuk和Conti。
就在今年一月,歐洲刑警組織宣布他們已經(jīng)搗毀了臭名昭著的Emotet,并且開始向受感染的設(shè)備分發(fā)Emotet“自毀模塊”,該模塊會(huì)幫助受感染設(shè)備在2021年4月25日自動(dòng)卸載Emotet分發(fā)的惡意軟件。
在4月25日,該“自毀模塊”已經(jīng)生效,全球范圍內(nèi)受Emotet影響的設(shè)備都已刪除了僵尸網(wǎng)絡(luò)所帶來(lái)的惡意軟件。
Emotet“自毀模塊”如何工作
在1月,歐洲刑警組織以32位EmotetLoader.dll的形式分發(fā)了一個(gè)Emotet模塊,該模塊將在2021年4月25日自動(dòng)卸載該惡意軟件。
該模塊被觸發(fā)后,只刪除相關(guān)的Windows服務(wù)、自動(dòng)運(yùn)行注冊(cè)表鍵,然后退出該進(jìn)程,被攻擊設(shè)備上的其他一切都不會(huì)有影響。
被推遲的“自毀”程序
據(jù)悉,之所以沒(méi)有在1月立馬運(yùn)行該“自毀模塊”是因?yàn)榫较M占C據(jù)以及為清理前的準(zhǔn)備工作提供時(shí)間。
在清理之前,需要對(duì)受影響的系統(tǒng)進(jìn)行識(shí)別,以便抓住證據(jù)并使有關(guān)用戶能夠進(jìn)行全面的系統(tǒng)清理,防止進(jìn)一步的犯罪。
為此,警方對(duì)軟件的通信參數(shù)進(jìn)行了調(diào)整,使受害者系統(tǒng)不再與犯罪者的基礎(chǔ)設(shè)施進(jìn)行通信,而是與為扣押證據(jù)而建立的基礎(chǔ)設(shè)施進(jìn)行通信。對(duì)于是否還有其他原因,警方表示不便透露更多細(xì)節(jié)。
目前尚不清楚Emotet是否會(huì)“死灰復(fù)燃”,或者換個(gè)“馬甲”殺回來(lái)。