Emotet进化史:从银行木马到恶意软件分发器
Emotet在2014年出现时只是一款银行木马,经过近几年的发展,Emotet的功能不断扩展,已经进化成为完整的恶意软件分发服务。
Emotet发展史
Emotet 恶意软件第一个版本出现于2014年,通过拦截互联网流量来窃取银行凭证信息。当时,Emotet恶意软件的攻击目标是德国和奥地利的银行。
很快,第二个版本出现了,并增加了一些额外的模块,比如转账、垃圾邮件、DDoS和地址簿窃取模块。Emotet第三版出现于2015年,主要升级了反绕过功能,并将瑞士的银行加入了潜在攻击目标列表。
2016年12月,Emotet第4个版本出现,修改了攻击向量。第4版最初主要依赖RIG4.0漏洞利用套件来进入受害者计算机,随后转向垃圾邮件。之后,第4版从使用自己的银行模块转向在受感染的机器上释放其他的木马。
根据使用的模块不同,Emotet恶意软件可以执行大量的恶意活动。病毒的大多数版本包括一个垃圾邮件模块,可以通过从受感染的机器来发送恶意邮件来传播恶意软件。另一个非常常见的模块是凭证窃取模块,允许Emotet来从web浏览器和邮件客户端窃取敏感信息。
从2017年开始,Emotet木马中出现了传播器模块,可以用来感染通过本地网络互联的所有机器。此外,病毒还实现了地址簿窃取模块,分析了邮件发送者和接收者之间的关系,并用收集来的信息来增强随后从用户计算机发起的攻击活动的有效性,用个人定制化的垃圾邮件来攻击朋友、家庭成员和大学同学。
Emotet恶意软件通过模块的使用和不同的反绕过函数提供了许多灵活的功能,还实现了驻留。为确保恶意软件在受感染的机器中,恶意软件会注入运行的进程中,一般是Explorer.exe。此外,恶意软件还用计划任务和修改注册表的方法。
Emotet 恶意软件分析
ANY.RUN 的一个视频展示了Emotet的执行过程,对该恶意软件的行为进行了详细分析。
图 1: emotet执行的进程树
图 2: Emotet 分析的文本报告
Emotet 执行过程
Emotet木马最初是通过恶意垃圾邮件传播的,攻击链的第一步就是使用社会工程技术诱使潜在受害者打开office附件。文件打开并启用了宏后,用户无需进行其他操作。下载的文件包含有恶意的VBA代码,代码会在文件被打开后运行。感染过程中的其他选项包括使用WMI来启用下载payload的Powershell 脚本。Powershell脚本是编码的,,Emotet需要其他的步骤来在受感染的系统中实现驻留,复制自己到%AppData%文件夹中,并修改注册表中的autorun值。经过所有的感染过程,恶意软件会与服务器发送信息和接收信息。在执行的最后一步,Emotet会等待来自C2服务器的命令。
Emotet传播方式
Emotet恶意软件最主要的传播方式是恶意垃圾邮件活动。该木马使用地址簿窃取模块来获取受害者邮件账户的所有垃圾邮件,并发送给被劫持账户的所有联系人。
由于收到邮件的人一般都是发送者认识的人,因此Emotet攻击的成功率很高。受害者接收到的邮件中一般都含有一个恶意URL,点击后会下载恶意软件。垃圾邮件并不是Emotet使用的唯一传播方式,还会使用特定的Windows漏洞在用户完全不知情的情况下入侵用户机器。
总结
Emotet恶意软件是目前活跃的最复杂、最具破坏性的木马。自2014年出现开始,就不断进化,引入了反绕过特征,获取了蠕虫功能,甚至从最初的信息窃取转向在被感染的机器上安装其他木马。Emotet可以在临近系统中传播,可以很容易地感染同一网络中的其他机器,使得该攻击成为受害者的噩梦。随着恶意软件中加入了一系列的反分析技术使得这一情况变得更加复杂。
推荐系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows 10 32位企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows10 64专业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动
雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新雨林木风 Windows10 x64 企业装机版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言:中文版系统大小:3.98GB系统类型:Win10深度技术 Windows 10 x64 企业TLSB 电脑城装机版2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10电脑公司 装机专用系统 Windows10 x64 企业TLSB版2022年7月一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
新雨林木风 Windows10 x86 企业装机版2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.15GB系统类型:Win10新雨林木风 Windows10 x86 专业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活系统,无
相关文章
- Win10的存储感知该怎么设置?
- 360安全路由2值得买吗?360安全路由器2代千兆开箱评测图解
- 应将泄露个人信息行为归类重罪
- 看雪学院将举办《安全开发者峰会》,有这11个安全议题
- “春秋杯”赛事宇宙开启 春季赛报名正式启动!
- 通过MSSQL 2000 入侵服务器主机器的命令
- 桌面图标消失了怎么办?
- Win7开启ACHI模式蓝屏的解决办法
- Wifi出现黄色感叹号怎么办 wifi出现网络受限制解决方法
- 打印机脱机怎么回事 打印机脱机的解决方法
- DMARC:企业邮件信息泄漏应对之道
- 智能家庭本周锋闻:微软眼镜HoloLens带你环游火星
- 域渗透——使用MachineAccount实现DCSync
- 聊聊 Java 的几把 JVM 级锁
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 3深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 4电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1深度技术Ghost Win7 Sp1 电脑城万能装机版2019年12月(32位) ISO高速下载
- 2深度技术Ghost Win8.1 x32位 特别纯净版2020年5月(免激活) ISO镜像高速下载
- 3番茄花园 Windows 10 极速企业版 2019年12月(32位) ISO镜像快速下载
- 4番茄花园Ghost Win7 x64 SP1稳定装机版2020年8月(64位) 高速下载
- 5新萝卜家园Ghost Win8.1 X64位 纯净版2019年5月(自动激活) ISO镜像高费下载
- 6新萝卜家园 GhostWin7 SP1 电脑城极速稳定版2020年5月(32位) ISO镜像高速下载
- 7深度技术Ghost Win7 Sp1 电脑城万能装机版2022年4月(32位) ISO高速下载
- 8番茄花园Ghost Win7 x64 SP1稳定装机版2020年4月(64位) 高速下载
- 9番茄花园Ghost Win8.1 x64 办公纯净版2020年2月(激活版) ISO镜像高速下载
- 10电脑公司Ghost Win8.1 x32 精选纯净版2019年4月(免激活) ISO镜像快速下载