Vom Banker zum Türöffner und Profiler Wie Emotet zur Allzweckwaffe wurde

Die Entwicklungsgeschichte von Emotet ist ein Spiegel der Untergrundwirtschaft: Die Schadsoftware, die sich früher mit der Plünderung von Bankkonten begnügte, wird heute eingesetzt, um Kommunikationsprofile zu erstellen und Daten zu kopieren.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

SEPPmail - Deutschland GmbH

G DATA CyberDefense AG

Wer Emotet verstehen will, der muss auch die Schattenwirtschaft dahinter verstehen. Im Jahr 2014 machte die Malware erstmals von sich reden, und zwar als gut gemachter und erfolgreicher Banking-Trojaner. Mit dieser Strategie fuhren die Macher eine Weile lang gut – bis Ransomware auf den Plan trat und den Banking-Trojanern den Rang als größtes Schreckgespenst ablief. Banking-Trojaner waren oft nicht viel mehr als eine mediale Randnotiz. Nur ab und zu schaffte es eine größere Infektionswelle auf die Titelseiten. Der Banking-Trojaner-Markt konsolidierte sich und es blieben nur noch wenige etablierte „Player“ im Geschäft. Darunter befinden sich altgediente Namen wie Trickbot, ZeuS oder Gozi.

Modulares Multitalent

Die Kriminellen haben die Funktionen von Emotet mit der Zeit immer weiter ausgebaut. Mittlerweile ist das Schadprogramm in der Lage, mehrere Aufgaben abzudecken: Neben dem Nachladen und Installieren „klassischer“ Malware-Binaries – seit neuestem auch in Form von Ransomware - ist Emotet auch zum Spion geworden. Vom Kopieren von Zugangsdaten bis hin zum Sammeln von Mail-Adressen und Kommunikationsprofilen ist fast alles möglich. Besonders perfide ist, dass in befallenen Unternehmen das Schadprogramm aktiv die Netzwerkumgebung auskundschaften kann. Eine entsprechende Erweiterung macht es Kriminellen möglich, sich durch automatisiertes Brute-Forcing von Zugangsdaten oder Nutzung von Access-Tokens der angemeldeten Nutzer lateral im Netzwerk zu bewegen, um Informationen über ein Unternehmen zu sammeln. Dabei sind verschiedene Arten von Daten für die Angreifer interessant, z.B. Betriebsgeheimnisse oder Umsatzdaten. Gerade Verkaufszahlen wurden schon genutzt, um eine aus krimineller Sicht bezahlbare Lösegeldforderung zu stellen, nachdem die Unternehmensdaten verschlüsselt wurden. Die Angreifer wussten aufgrund ihrer Spionagetätigkeit sehr genau, welche Lösegeldforderungen das angegriffene Firma leisten konnte, ohne deren wirtschaftliches Überleben zu gefährden.

Ich weiß, mit wem du redest…

Durch das Abgreifen von Daten aus Outlook-Adressbüchern und Informationen aus der MAPI-Schnittstelle des Mailprogramms kann Emotet selbstständig auswerten, wer mit wem und wie oft per Mail kommuniziert. Diese Informationen sind dann für weitere Angriffe nutzbar, sei es gegen Lieferanten, Kunden oder Mitarbeiter. Gerade diese Herangehensweise ist sehr bedenklich, denn sie ermöglicht es Kriminellen, Mails zu verfassen, die zum einen sehr authentisch aussehen und die auch zu den sonstigen geschäftlichen Kommunikationsgewohnheiten passen. Somit erhöht sich die Chance, dass der Empfänger unbedacht einen Dateianhang öffnet, immens. Eine Infektionswelle mit Emotet kann sich so fast ungehindert auf das geschäftliche Umfeld eines Betriebes ausbreiten: Vom Lieferanten, der eine angebliche (jedoch gefälschte) Bestellung erhält, bis zum Kunden, der eine vermeintliche Auftragsbestätigung zugesandt bekommt. Diese Szenarien sind längst Realität - zuletzt hatte das BSI im Januar 2019 vor einer neuerlichen Emotet-Welle gewarnt, in der gut gemachte Fälschungen von Amazon-Versandbestätigungen versandt wurden. Diese wichen nur in kleinen Details vom Original ab und hielten einer flüchtigen Sichtprüfung ohne Weiteres stand.

Nicht nur ärgerlich, sondern auch rufschädigend

Emotet verursacht auch noch zusätzliche Kollateralschäden, da viele der verseuchten E-Mails im Namen von teils real existierenden Unternehmen versendet werden – und meist zu Zehntausenden. Diese Firmen werden dann oft von Beschwerden und Rückfragen per Mail oder per Telefon überrannt. Allein das kann Unternehmen massiv im Tagesgeschäft behindern und so zu Umsatzeinbußen führen.

Spurlos und wandelbar

Emotet bemüht sich nach Kräften, es seinen Verfolgern so schwer zu machen wie möglich. Dazu verfolgt der Schädling zwei Taktiken. Die erste Taktik besteht darin, sich immer neu zu tarnen. In der Praxis werden hier Packer genutzt, die die eigentliche Schadkomponente mit immer neuen Tarnungen versieht. Das passiert zu Stoßzeiten mehrere hundert Mal am Tag wie eine Auswertung der G DATA Analysesysteme zeigt. Die Halbwertzeit einer neuen Variante bewegt sich teilweise im Viertelstundentakt, manchmal sogar kürzer. Zum anderen hinterlässt Emotet auf einem befallenen System kaum Spuren, da sich die meiste Aktivität im Arbeitsspeicher abspielt. Hier haben es traditionelle signaturbasierte Erkennungsmethoden schwer, da die Malware keine scanbaren Dateien auf dem System hinterlässt. Nach getaner Arbeit kann Emotet also spurlos verschwinden. Abhilfe bringen hier nur proaktive Security-Technologien, die in der Lage sind, dateilose Malware zu erkennen.

Dateilose Schadsoftware

Fileless Malware eine neue Bedrohung?

Schutz ist möglich

Die beliebteste Verbreitungsmethode für Emotet ist die klassische E-Mail. Diese kann entweder einen Anhang enthalten oder einen Downloadlink. In beiden Fällen ist der Einfallsvektor eine Microsoft Office-Datei. Diese gibt vor, Makros zu benötigen, um den Inhalt anzeigen zu können – beziehungsweise, um das Schadprogramm installieren zu können. Im privaten Bereich gibt es absolut keine Gründe, überhaupt Makros zuzulassen. Im geschäftlichen Bereich ist das oft nicht anders, bis auf wenige Ausnahmen.

Grundsätzlich gilt: Wer keine Makros braucht, sollte sie nicht aktivieren. In einer Active Directory-Umgebung können Makros problemlos per GPO deaktiviert werden, sodass kein Benutzer sie von sich aus aktivieren kann. Wer auf Makros im Unternehmensnetzwerk nicht verzichten kann, sollte nur signierte Makros zulassen.

Entwicklungsarbeit

Wer hunderttausende Mannstunden darauf verwendet, eine bösartige Software zu entwickeln, zu warten und zu verkaufen, der weiß, was er tut. Die Kriminellen hinter Emotet arbeiten hochprofessionell an der Weiterentwicklung ihres Schadprogramms und haben eine effiziente Support- und Vertriebsstruktur aufgebaut. Sie haben die Zeichen der Zeit erkannt und verstanden, dass sich ein Malware-Hersteller heute breiter aufstellen muss, um langfristig zu überleben und noch mehr Gewinne zu erzielen. Daher wird Emotet auch in Zukunft weiterhin vermehrt zum Einsatz kommen.

Über den Autor: Tim Berghoff ist Security Evangelist bei G Data.

(ID:45738535)