На днях мы писали о том, что ботнет Emotet, не подававший «признаков жизни» с февраля 2020 года, вернулся в строй с новой спам-кампанией.
Понаблюдав за малварью, ИБ-специалисты сообщают, что ботнет сменил основную полезную нагрузку и теперь распространяет банковский троян QakBot (QBot), который пришел на смену обычному для ботнета TrickBot. Пока неясно, что именно QakBot доставляет в зараженные системы, но уже известно, что из-за него некоторые пользователи могут стать жертвами шифровальщиков, в частности, вымогателя ProLock.
Первыми изменения обнаружили члены группы независимых исследователей Cryptolaemus, которые уже несколько лет внимательно следят за активностью ботнета и стараются ему противодействовать. Специалисты пишут, что TrickBot пропал полностью, и пейлоад сменился на QakBot во всех «эпохах» малвари: Epoch 1, Epoch 2 и Epoch 3. Напомню, что этим термином исследователи обозначают отдельные кластеры инфраструктуры ботнета, каждый из которых имеет собственные управляющие серверы, использует собственные методы распространения и полезные нагрузки.
Журналисты издания BleepingComputer пишут, что ИБ-специалисты уже изучили новую полезную нагрузку с помощью Any.Run. Результаты анализа доступны здесь, а адреса управляющих серверов можно найти здесь.
Дополнительный анализ, выполненный экспертами Intel 471, показал, что для идентификации этой кампании QBot использует строку «partner01». По мнению специалистов, это указывает на тесную связь между Emotet и разработчиками этой малвари.
#Emotet Update - We are detecting #QBot being dropped by Emotet infections on all epochs instead of #Trickbot gtag Mor today. @Intel471Inc identified the campaign_id on this QBot as "partner01" which is interesting because in the past we have seen the hhh series. More Later.
— Cryptolaemus (@Cryptolaemus1) July 21, 2020
Впрочем, аналитики Cryptolaemus отмечают, что пейлоады Emotet менялись и раньше, и скорее всего, оригинальный тандем Emotet-TrickBot вскоре тоже вернется в строй. Исследователи называют TrickBot и QakBot предпочтительными партнерами для Emotet, так как все три группировки являются частью одного русскоязычного сообщества и давно общаются между собой.
