Posted by 
Mai multe entităţi publice şi private din România au fost puternic afectate în ultimele luni de valuri succesive de atacuri cu malware de tip EMOTET, care au generat numeroase probleme, a informat Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică (CERT-RO).
”În ultimele luni, o serie de entităţi publice şi private din România au fost puternic afectate de valuri succesive de atacuri cu malware de tip EMOTET, care au generat numeroase probleme. Acest tip de atacuri a cunoscut o creştere consistentă în această săptămână, vizând o plajă largă de ţinte din aceeaşi categorie”, arată CERT-RO.
EMOTET este un malware-ul de tip bancar, care infectează computerele care folosesc sistemul de operare Microsoft Windows, prin intermediul link-urilor sau al ataşamentelor malspam infectate (e.g. PDF, DOC, etc.). EMOTET este un troian cunoscut, descoperit în urmă cu aproximativ 6 ani, mai întâi în Europa şi mai apoi în SUA.
EMOTET se activează pe computerul unui utilizator, prin intermediul link-urilor sau a ataşamentelor malspam din e-mail-uri, cu intenţia de a fura date financiare. Principalele informaţii vizate iniţial erau cele de ordin financiar, dar ulterior EMOTET a evoluat în complexitate şi a dobândit capacitatea de a efectua alte atacuri în interiorul unui dispozitiv.
Ţinta primeşte mesaje care de regulă par să provină de la adrese legitime, instituţii sau chiar persoane fizice. Mai mult, în anumite cazuri mesajele pot proveni direct de la o sursă reală, dacă aceasta a fost deja infectată cu EMOTET.
”În acest moment există trei modalităţi prin care vă puteţi infecta PC-ul/reţeaua cu EMOTET, în toate cazurile pornindu-se de la un mail tip spam: Mail de tip spam, cu un ataşament ce conţine macro-uri care descarcă malware; Mail de tip spam cu ataşament ce conţine macro-uri, dar fişierul maliţios este inclus într-o arhivă cu parolă (parola este comunicată în textul mail-ului, pentru ca victima să îl poată dezarhiva); Mail de tip spam care are inclus în text un link. Apăsând pe acel link, victima ajunge să îşi infecteze dispozitivul cu malware”, precizează centrul.
Recomandări pentru evitarea atacurilor cu EMOTET
În ultimele luni, echipa CERT-RO a furnizat o serie de alerte pe canalele oficiale de social media despre cum funcţionează acest tip de atac şi cum ne putem proteja. Se recomandă, în primul rând, verificarea adresei reale de mail de pe care primim aceste mesaje. Acest lucru se poate face prin verificarea sursei (header).
”Principalii paşi care trebuie avuţi în vedere ar fi următorii: sporirea vigilenţei, care este principalul atu pe care un utilizator obişnuit îl are oricând la dispoziţie. Fiţi atenţi atunci când verificaţi e-mail-urile primite, în special cele care conţin ataşamente! EMOTET este încă activ, se propagă prin intermediul e-mail-ului şi vizează deopotrivă persoane fizice, instituţii publice sau companii private”, arată Centrul.
În cazul în care aveţi suspiciuni legate de veridicitatea informaţiei din mail, verificaţi autenticitatea informaţiilor oferite de presupusul expeditor direct cu acesta, utilizând alt canal de comunicare (preferabil telefonul).
De asemenea, înainte de a face o acţiune care ar putea dăuna, scanaţi cu o soluţie de securitate instalată pe dispozitiv, sau cu una disponibilă gratis online (de exemplu: Virus Tota) link-urile sau ataşamentele suspecte din căsuţa de mail. Nu uitaţi să aplicaţi la timp update-urile pentru aceste soluţii.
”Scanarea cu antivirus nu este suficientă însă. EMOTET nu este uşor de identificat şi interceptat, deoarece eludează de multe ori soluţiile antivirus convenţionale. Este un virus polimorf, codul se schimbă uşor pentru a evita detectarea de către scanerele de malware bazate pe semnături. De asemenea, EMOTET detectează când rulează pe o maşină virtuală. De îndată ce este înregistrat un mediu sandbox, programul intră în modul stand-by şi nu ia nicio acţiune dăunătoare în acel moment”, mai arată CERT-RO.
Utilizatorilor li se recomandă să implementeze filtre la gateway-ul de e-mail pentru a înlătura e-mailurile cu indicatori cunoscuţi de spam sau malware şi pentru a bloca adresele IP suspecte din firewall.
E-mailurile suspecte trebuie raportate departamentului IT pentru izolare şi investigare.
”Verificaţi periodic regulile contului de e-mail, care pot fi setate pentru redirecţionarea automată a tuturor mesajelor, ceea ce ar putea duce la o scurgere de date, dacă există o infecţie”, spun reprezentanţii centrului.
Ei afirmă că pentru a vă proteja eficient împotriva EMOTET, trebuie să vă concentraţi în principal pe poarta principală de acces a malware-ului: comunicarea prin e-mail.
”Deoarece EMOTET se ascunde adesea în fişierele Microsoft Office şi are nevoie de macrocomenzi pentru a putea instala malware-ul dorit, este logic să nu le permiteţi. Dacă totuşi nu vă puteţi desfăşura activitatea fără macrocomenzi, este posibil să le permiteţi numai celor semnate” adaugă aceştia.
Orice actualizare de securitate implementată trebuie instalată imediat pentru sistemele de operare, programele antivirus, browserele web, clienţii de e-mail şi programele de tip Office.
”Efectuaţi în mod regulat backup al datelor, în special a celor esenţiale. Infecţia cu EMOTET poate duce, de asemenea, la un ransomware, astfel că este vital să menţineţi copii de siguranţă ale datelor pentru a permite recuperarea acestora, în cazul unei infecţii cu EMOTET. Deoarece ransomware-ul infectează în mod obişnuit dispozitivele de stocare conectate, asiguraţi-vă că backupurile dvs. sunt stocate offline sau sunt deconectate fizic, atunci când nu sunt utilizate”, spun ei.
Accesul la reţeaua companiei ar trebui monitorizat continuu, de către cei responsabili din Departamentele IT, deoarece astfel se poate determina în timp util dacă a apărut o infecţie cu EMOTET.
Dezactivaţi serviciile inutile, recomandă CERT-RO. ”EMOTET profită adesea de vulnerabilităţile găsite în serviciile care rulează în background, pentru a se răspândi pe alte computere din reţea. Remote Desktop Protocol (RDP), tehnologia care ne permite lucrul de la distanţă. este un astfel de exemplu. Utilizatorilor li se recomandă să dezactiveze astfel de servicii dacă nu sunt necesare, pentru a împiedica malware-ul să le exploateze şi să se propage în reţea”, spun reprezentanţii centrului.
Mai mult, instalaţi o soluţie de control al aplicaţiilor. Utilizatorii pot lua în considerare instalarea unui astfel de software care oferă listă albă de aplicaţii şi/sau directoare. Astfel, se permite rularea exclusiv a programelor aprobate, în timp ce se restricţionează altele. Este o practică bună de securitate pentru a proteja un sistem informatic.
”Asiguraţi-vă routerele! EMOTET poate exploata reţele Wi-Fi nesigure, pentru a răspândi malware-ul, astfel că este extrem de important să vă protejaţi reţelele. Utilizatorii şi administratorii de sistem sunt sfătuiţi să facă acest lucru, asigurându-vă că modificaţi parolele implicite şi că utilizaţi o parolă puternică pentru routere”, adaugă ei.
Se recomandă verficarea adresei de mail de unde vin mesajele.
Pentru a verifica dacă dispozitivul a fost deja infectat cu EMOTET, puteţi folosi instrumentul de detectare şi dezinfectare este disponibil pe GitHub: https://github.com/JPCERTCC/EmoCheck
Un alt instrument online, care se axează pe scanarea adreselor de e-mail sau a domeniilor, este disponibil aici: https://www.haveibeenemotet.com, iar tutorialul de utilizare, produs de către echipa CERT-RO poate fi vizionat aici: https://www.facebook.com/CERT.RO/videos/330312408067561
600