Malware-as-a-service-botnet Emotet is opnieuw actief na tien maanden stilte

Malwarebotnet Emotet, een van de beruchtste malwaresoorten van de afgelopen jaren, is opnieuw actief. Dat schrijft het Eindhovens Dagblad op basis van gesprekken met securityexperts. Het botnet was in januari offline gehaald door onder meer de Nederlandse politie.

Het botnet lijkt te worden verspreid door 'cyberbende' Conti, zeggen de experts tegen het Eindhovens Dagblad. Het botnet, dat onder meer te gebruiken was als malware-as-a-service, werd in januari door onder meer de Nederlandse politie offline gehaald. Dit gebeurde tijdens een actie van Europol waarbij in Nederland twee hoofdservers offline werden gehackt.

Emotet was jaren een van de beruchtste malwarevormen. Het begon in 2014 als trojan die malware installeerde om bankgegevens te stelen, maar evolueerde tot veelzijdige malware die zich verspreidde via e-mails met geïnfecteerde Word-documenten als bijlage. Criminelen konden Emotet huren om ransomware of remote access tools te verspreiden.

Het botnet is nu opnieuw verschenen, zeggen onder meer medewerkers van securitybedrijf Northwave en ESET Nederland. Het heeft nog niet de grootte die het eerder had, maar het lijkt erop dat het Emotet-netwerk opnieuw wordt voorbereid. Het lijkt er bovendien op dat ransomewarebende Conti verantwoordelijk is voor het herrijzen van Emotet en de touwtjes in handen heeft. Die bende is verantwoordelijk voor verschillende grote ransomwareaanvallen en wordt gezien als de tweede grootste ransomwaregroep ter wereld, na REvil. Het virus wordt verspreid via een bestaand crimineel servernetwerk.

Reacties (15)

[kodak]

Europol heeft destijds bekend gemaakt dat ze het botnet verstoord hebben. Dat is wat anders dan echt offline of zelfs onschadelijk maken.

Een groot botnet is vaak complex en niet perse volledig onder controle van de criminelen. Die criminelen hebben bijvoorbeeld niet altijd iets te zeggen waneer ze bij een besmet systeem kunnen, of zelfs van bestaan weten. Hun administratie is dus ook niet zomaar compleet of juist. Daarom was het waarschijnlijk ook niet genoeg om die servers waar de politie wel bij kon offline te halen en als politie goed bedoelde opdrachten aan besmette systemen te proberen te sturen. Er was niet voor niets ook software zodat mensen zelf hun systemen konden controleren. Die hebben dat waarschijnlijk niet allemaal gedaan. En als ze het al gedaan hebben mogelijk niet goed opgeruimd. Het kan dan gebeuren dat bijvoorbeeld een andere crimineel wel gelegenheid krijgt om te weten waar nog besmettingen zijn en hoe die te gebruiken om het botnet te laten groeien.

Waarschijnlijk was het dus helaas nooit weg of offline, maar was er 'slechts' een grote verstoring.

[Reactie gewijzigd door kodak op 23 juli 2024 10:40]

[Anoniem: 428562]

Slides staan nog op de site van europol, document heeft als titel "Emotet Takedown"

https://www.europol.europ...emotet_infographic-01.jpg

Veel tijd, moeite en geld ingestopt door politie en justitie in diverse landen maar tot nu toe zijn de operators van Emotet ze te slim af.

[Reactie gewijzigd door Anoniem: 428562 op 23 juli 2024 10:40]

[kodak]

Je hebt maar een crimineel nodig om iets misdadig te gebruiken, terwijl het aanpakken niet alleen gaat om het stoppen van die ene crimineel. Waar het ook om gaat is hoeveel criminaliteit men stopt, hoeveel slachtoffers men voorkomt, hoeveel schade men voorkomt en hoe lang dat beperken en voorkomen effect heeft. Ik denk niet dat je kunt stellen dat het na maanden pas weer iets opleven van een botnet dus te slim af zijn terwijl die criminelen maanden lang niet konden doen wat ze er allemaal mee deden.

[kimborntobewild]

Het wordt tijd voor doodstraffen of i.i.g. levenslang voor zulke ransomeware-criminelen.

[Inproba]

Tweakers.net is wakker geworden na een week te hebben geslapen. En komt dan alsnog met een enorm mager artikel over iets waar al zoveel over te vinden is.

Voor mensen die meer info erover willen lezen:
https://securityaffairs.c...around-emotet-return.html
https://securityaffairs.c...t-emotet-conti-triad.html

Admin-edit:

Bedankt voor je feedback. Commentaar voor de redactie hoort echter thuis in Geachte Redactie. Hier staat het de inhoudelijke discussie niet in de weg en kan de redactie het eenvoudig terugvinden.

[Reactie gewijzigd door Bor op 23 juli 2024 10:40]

[walteij]

Bedankt voor de extra info. Gaan we even goed doornemen.

Klein tipje: Als je nu zoiets tegenkomt, kun je de tweakers redactie even wakker schudden via een linktip. Op die manier komen de artikelen ook hier sneller. tweakers is naast een nieuwssite ook erg afhankelijk van de communicty (wij als gebruikers dus). Wij zien veel meer dingen online met de honderden (zo niet duizenden) actieve leden die hier de site dagelijks bezoeken dan de redactie met 15 man (grove inschatting).

[SmokingSig]

Inderdaad. Het is makkelijk commentaar te geven maar je kan, zoals vermeld, de redactie tippen, iets wat ik zelf ook af en toe doe. Binnen x uur staat dan ook het artikel hier.

[x86dev]

Ik tip Tweakers ook vaak, doen ze 9/10x niks mee.

[DeDooieVent]

Hier ben ik het mee eens, dat jullie dat weten he!

[jvr]

Ik ben ook voorstander van het vriendelijk met elkaar omgaan....is al genoeg gezeur in de wereld.

[SirRosencrantz]

Bedankt voor je input. Goede aanvullende artikelen lijkt me. Als je iets voorbij ziet komen mag je altijd de redactie tippen. Onze redacteur cybersecurity zit niet elke dag op nieuws, dus soms moeten ook wij het hebben van media als het ED om dit tegen te komen. Maar de Tweakers-community is vaak veel sneller met dit soort dingen, dus tip ons vooral, dan hebben we het ook sneller.