Er ist wieder da! Emotet aufspüren und entfernen

Anbieter zum Thema

TXOne Networks

Specops Software GmbH

Der Global Threat Index des Cybersicherheits-Lösungsanbieters Check Point zeigt, dass Emotet im Sommer 2022 wieder die am meisten verbreitete Malware vor dem Trojaner Remcos und der Malware Formbook ist. Wir zeigen, wie Sie auf die Malware reagieren.

In der Vergangenheit haben Angreifer bei der Verwendung von Emotet vor allem auf VBA-Makros in Office-Dokumenten gesetzt, um Daten von Benutzern auszulesen. Neue Varianten nutzen jetzt auch Verknüpfungen (*.lnk). Die verseuchten Dateien gehen meistens über Spam-E-Mails ein. Es kommen in den neuen Varianten auch Excel-Tabellen zum Einsatz.

IT-Security

Aufsteigermeister Emotet

Außerdem scheint Emotet von der TrickBot-Gruppierung und der Ransomware Ryuk unterstützt zu werden. Emotet nutzt dazu auch moderne 64-Bit-Skripte sowie die PowerShell zum nachladen von Schadcode. Zu einem großen Teil nutzt Emotet dazu die Schwachstelle CVE-2017-11882 in Microsoft Office-Programmen aus.

Emotet ist wie ein Wurm und gefährdet auch macOS

Emotet verhält sich wie ein Wurm. Einmal im Netzwerk eingedrungen, kann sich die Malware im Netzwerk verbreiten und dabei auch Antivirenprogramme täuschen. Die Malware sucht auch nach gespeicherten Kontakten auf einem PC und verschickt sich selbst an die Kontakte weiter.

Sobald Emotet auf einem Computer aktiv ist, lädt die Malware weiter Schadsoftware nach, die Daten auf Systemen auslesen. Die Malware sucht dabei nach Zugangsdaten von Homebanking-Zugängen und lädt Ransomware nach, um die Daten von Geschädigten zu verschlüsseln. Dazu kommen Brute-Force-Angriffe auf verschiedene Kennwörter und Konten auf den befallenen PCs.

Neben Windows ist auch macOS gefährdet. Hier versuchen die Hintermänner die Benutzer davon zu überzeugen auf dem Mac eine Webseite aufzusuchen, über die auch auf Apple-Geräten Daten von Benutzern ausgelesen werden können.

Bildergalerie

Bildergalerie mit 8 Bildern

So schützt man sich vor Emotet

Zunächst ist es sehr empfehlenswert das Betriebssystem, Microsoft Office-Programme und den Virenscanner auf PCs und Macs aktuell zu halten. Dazu kommt ein zuverlässiger Spamschutz. Öffnen Sie keinesfalls Word-Dokumente, die ungefragt aus dem Internet zugeschickt wurden, auch wenn sie von Bekannten stammen. Von externen Dokumenten aus sollten Sie keine Makros starten lassen. Bei Verdacht eines Befalles sollten Sie den Rechner sofort vom Netzwerk trennen und von einem anderen System aus alle Kennwörter von Konten im Internet ändern.

Malware nutzt es meistens aus, dass Anwender sich die Dateiendungen von Dateien nicht anzeigen lassen. Aus der Datei „dokument.docx“ wird bei Anzeige der Endungen „dokument.docx.lnk“. Das zeigt schnell, dass bei der Datei etwas nicht in Ordnung ist. Die Einstellungen dazu sind in Windows 11 bei „Anzeigen\Einblenden“ über den Menüpunkt „Dateinamen­erweiterungen“ zu finden. In Windows 10 sind die Optionen über den Menüpunkt „Ansicht“ bei „Dateinamen­erweiterungen“ zu finden.

Computer Emergency Response Team aus Japan bietet mit EmoCheck ein Erkennungstool

Aktuelle Virenscanner erkennen normalerweise Emotet. Das Computer Emergency Response Team (CERT) aus Japan hat mit EmoCheck ein Tool entwickelt, dass Emotet erkennen kann. Allerdings ist die Malwareware Emotet polymorph, der Code der Malware ändert sich regelmäßig, sodass Tools wie EmoCheck nicht immer dabei helfen können Emotet hindertprozentig zu erkennen. Dennoch ist das Tool eine wichtige Grundlage für den Kampf gegen Emotet.

Nach dem Download der ausführbaren Datei von EmoCheck lässt sich das Tool ohne Installation starten. Nach einigen Sekunden erstellt EmoCheck im Verzeichnis aus dem es ausgeführt wurde eine Protokolldatei. Hier ist zu sehen, ob auf dem Rechner Emotet gefunden wurde. Wenn eine Bezeichnung eines Emotet-Prozesses zu sehen ist, kann der Prozess entweder über EmoKill (siehe nächster Abschnitt) und parallel noch manuell vom System entfernt werden.

Security-Insider Podcast – Folge 32

Emotet Live-Podcast – mit 100 Leuten im Studio

Mit EmoKill Malware entfernen

Findet EmoCheck die Malware auf einem PC, kann das Tool EmoKill unter Umständen Emotet entfernen. Auch dieses Tool bietet keinen vollständigen Schutz, kann zusammen mit EmoCheck aber durchaus eine wichtige Hilfe sein. Allerdings ist EmoKill etwas aufwendiger. Während EmoCheck direkt startet, ist bei EmoKill zunächst eine Installation notwendig. Dazu installieren Sie EmoKill über „EmoKillConsole.exe“ als Dienst auf einem Rechner. Erkennt EmoKill einen Prozess von Emotet, beendet es den Prozess sofort.

Wer sich etwas mit EmoKill auseinandersetzt, kann das Tool mit der Datei „EmoKill.exe.config“ an die eigenen Anforderungen anpassen. Das Löschen von Emotet-Prozessen übernimmt wiederum die Datei „EmoKillTest.exe“. Für die Installation von EmoKill sind natürlich Admin-Rechte auf dem PC notwendig.

Nach dem Ausführen von „EmoKillConsole.exe“ lässt sich mit dem Menüpunkt „1. Install/Update and start EmoKill as Service“ zunächst der jeweilige Dienst installieren. Der Vorgang dauert einige Zeit, danach ist der Dienst verfügbar. Das sollte mit dem Menüpunkt „5. Get status of EmoKill Service“ überprüft werden. Der Dienst sollte bei „ServiceStatus“ den Status „Running“ haben. Mit dem Menüpunkt „6. Show EmoKill Logfile“ sind die letzten Aktionen des Dienstes zu sehen. Mit den Menüpunkten „4. Stop EmoKill Service“ und „2. Uninstall EmoKill Service“ ist es möglich den Systemdienst wieder zu entfernen.

Bildergalerie

Bildergalerie mit 8 Bildern

Maßnahmen zum Schutz gegen Emotet durch das BSI

Das BSI zeigt auf seiner Webseite „Maßnahmen zum Schutz vor Emotet und gefährlichen E-Mails im Allgemeinen“ weitere Möglichkeiten um den eigenen PC und das Netzwerk vor Emotet-Angriffen zu schützen. Das BKA beantwortet auf einer FAQ-Seite ebenfalls viele Fragen zur Malware.

(ID:48561020)