Riasztás Emotet malware kampánnyal összefüggésben

2022. június 15. 14:04

Tisztelt Ügyfelünk!

A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet riasztást ad ki Emotet malware terjedésével kapcsolatban. Az NBSZ NKI tapasztalatai alapján a malware terjesztésére irányuló e-mail tevékenység az elmúlt időszakban ugrásszerűen megemelkedett. Az Emotet egy moduláris felépítésű trójai, amely 2014 óta van jelen. Elsősorban szenzitív adatok megszerzésére tesz kísérletet, mint például banki adatok, böngészőben mentett adatok, különböző azonosítók, emellett billentyűzetfigyelési funkcióval is rendelkezik, és zsarolóvírus telepítésre is alkalmas. Egyes változatai az áldozat postafiókjának felhasználásával terjesztik tovább a malware-t.

Az Emotet terjesztése jellemzően fertőzött MS Office dokumentumokkal történik, a jelenlegi kampányban a támadók elsősorban Excel állományokon keresztül kísérlik meg telepíteni a káros tartalmat. Az Emotet ezen variánsának egyik jellemzője, hogy terjesztése során korábban megszerzett e-mail üzenetek kerülnek felhasználásra, amelyre „válasz”-ként küldik a káros tartalmú e-mailt. A levelekben jelszóvédett ZIP állomány található, illetve a kibontáshoz szükséges jelszót is tartalmazza, amely az állomány futtatásához szükséges.

Fontos tudni, hogy a feladó – Intézetünk tapasztalatai alapján – minden esetben hamisított.

Az NBSZ NKI az eset kapcsán javasolja a kapcsolódó indikátorok tiltást a határvédelmi rendszeren.

IoC-k:

SHA256: 26b2882818d7770891f8575fa07867db07e124178d0e09398a4f0b89c9373af9
SHA256: 4d5962ace9c2bd95791ea49700d42b81cc72b59185e37c92fee2b7c588415674
SHA256: b0442f61bd6e0abf13f7ed06e278e1cdf5340c17a9a0979c679fe30cb93830de
SHA256: 597d54d0f8fe09ca1e412e86f1ed9788ab9c67cca08411f2043e9ca2f941e584
SHA256: 1a6c1fef8c949dcf2c2e8f50529e3ef887dd864e6368a59947edcbcf50919f37
SHA256: ebc11c680c8960dfbebcaa20740172db6194133c0cf498f13405a9b365d4f140
SHA256: a1708a6558d4694df6c1895c7654cbddb4506dab74c86ef78fe940274acb2f4b
SHA256: d20e172af33add124675da7980d8b89277048356ec3aa617f9b5cf8d509c46f1
SHA256: fbcba24f92756db5f1bce80dbc40b9f8c5629d871f72f5bc5336ad5e644c10ef
SHA256: c76c145a73029f6b4e2c65038e662328308119b16c5e805aaa3bcddd863e19d4
SHA256: 12d9abba0bf4d1a072a518a6ff32294d56767b9ff7c1eb1f2071825cbd0c2d19
SHA256: 3ed857c10d33a53a252c09fa818eedecaeb598d0f644ac3d6ec2cff8b1f6f523
SHA256: ca800f4812c2558e8dfc323a1c88d012949c4603479fc6830cd41f7ef7d62924
SHA256: 0803c2c31d0a6832bce8ded87b15cda95b8c6ce4dc703f36958dfb9575c9f4af
SHA256: 3f95a725e08025663845bca57409dab94264d437998839bb4ad6fcdce8c56ed5
SHA256: 2e57fb4cc6836cc78ce9c3e0574f08e80e70c5f61b5db85db769d09dba8a0738
SHA256: a7f261c74ba04e91f8215d3c1857935a7e4898564169cab7cb64d77b6f43b627
SHA256: d2073c834d42b1debed020585d8376e326a4ab0dbb7ab121cf108197c90c1746
SHA256: ae0f819c7fd9de6f41b9663a2d45495ef9714914ea2915836173e5db102de7e5
SHA256: b2df036395587685c4f16ed516aaf5e55f54de0de7e443adac45bbf186830824
SHA256: 859af4fbf7fde72f4a6c2dbe23ba65aff9762b36383436615a6c2f85c2693268
SHA256: f9e265a7660e3d54b12c9ec9b7f9aff04e1217e705ae7c69809caf44170261b1
SHA256: efac2bbbedb0ce1d4170d184ca471897f57eb8fc3d92ec253c9dafb4aeddb2ae
SHA256: 2b8d3693b5919bc17bda4da2a38afecd326e353e6d88ea1d3d99c1746d163ad9
SHA256: 529d70448ed5cdc0e6bb89432214e880bd53f3fc2ea9117f5a9f9262d5bdd852
SHA256: 3222e79f5792e7f95782d3c41371c78f455ed200bb48e08cc0ccdc5feb370781
SHA256: 620ca25390834d7f3ab3606e586f9c6ee76faea9261c27341c2c1ddc709949ed
SHA256: 824c316a8de6dcd94c54f65e0191dc1a4655ddb31b45e2d4e1971ff0ea40aa82
SHA256: e8385e853408eb414c1744770b1f1584c7a34ffaaf08f857761b50f1ed806660
SHA256: 14bcb00e3dccfd1a9bfbc70c257d427d4d1ff722f22f6b8d7ebdbcd317d3e746
SHA256: 8cf3b70bf816bdbb7cad61aad71ab0d52298779da5d2a09237039e19d712e090
SHA256: f78ac98c6c2d5af1542c2516f26e6af6c0e186bca4a17592e8fb732a6dcf3af5
SHA256: 8cd6b8f459d147c5d99cba422527224071b72980b04881c51b9a0978b9c4c3c3
aacl[.]co[.]in
agir-santeinternationale[.]com
agretto[.]com
ahan[.]org[.]pk
alpsawnings[.]co[.]za
alrotec[.]co[.]uk
alzheimerzamora[.]com
andecam[.]com[.]ar
yourbankruptcypartner[.]com
ftp[.]yuecmr[.]org
iluminaguarapuava[.]com[.]br
kbmpti[.]filkom[.]ub[.]ac[.]id
macssolutions[.]co[.]uk
mass-gardinen-shop[.]de
nazreghadir[.]ir
nicolassportafolio[.]atwebpages[.]com
nrc-soluciones[.]com[.]ar
yunethosting[.]rs
upscalifornia[.]us
usa-ltd[.]ie
vanlaereict[.]nl
com [.]hk
webbandi[.]hu
webnet[.]ltd[.]uk/
wolffram[.]dk
wordpress[.]agrupem[.]com
www[.]hangaryapi[.]com[.]tr
www[.]zvdesign[.]info
120.72.119[.]5
129[.]232[.]138[.]161
14.225.238[.]176
144.91.78[.]55
145.239.206[.]130
157.245.196[.]132
159.89.202[.]34
162.214.119[.]46
168.195.204[.]82
172.105.226[.]75
175.45.184[.]161
178.18.197[.]4
178.238.236[.]240
179.43.124[.]129
180[.]149[.]241[.]246
185.176.43[.]112
185.98.131[.]156
194.247.196[.]66
194.38.104[.]132
204.11.59[.]91
37.17.210[.]93
41.73.252[.]195
45.186.16[.]18
46.23.71[.]2
51.161.73[.]194
54[.]36[.]167[.]79
59.188.217[.]182
75.103.114[.]38
85.214.64[.]234
86.109.166[.]218
88.198.100[.]31
94.182.227[.]250
95.216.42[.]246

További kockázatcsökkentő / megelőző intézkedések:

Makrók futtatásának tiltása.
A felhasználók figyelmének felhívása arra, hogy tekintsék gyanúsnak, amennyiben egy beérkezett üzenet egy jóval korábbi (például tavalyi) levelezésre érkezik válaszként.
Határvédelmi rendszerek szoftvereinek naprakészen tartása.
Alkalmazások és operációs rendszerek naprakészen tartása.
Határvédelmi eszközök feketelistájának frissítése (több gyártó rendelkezik nyilvánosan elérhető listákkal pl.: Cisco), ezáltal csökkentve a támadás kockázatát.
Rendszeres online és offline (szalagos egység, külső merevlemez) biztonsági mentés, archiválás.