{"id":221950,"date":"2019-08-23T13:08:20","date_gmt":"2019-08-23T11:08:20","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=221950"},"modified":"2022-06-23T19:06:55","modified_gmt":"2022-06-23T17:06:55","slug":"cert-bund-emotet-ist-zurck-cc-server-wieder-aktiv","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/08\/23\/cert-bund-emotet-ist-zurck-cc-server-wieder-aktiv\/","title":{"rendered":"CERT-Bund: Emotet ist zur&uuml;ck, C&amp;C-Server wieder aktiv"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2019\/08\/23\/cert-bund-warns-emotet-is-back-cc-server-online-again\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Die Hinterm\u00e4nner der Emotet-Ransomware haben wohl erneut ihre C&amp;C-Server aktiviert und es d\u00fcrfte wohl bald neue Kampagnen mit erfolgreichen Infektionen geben.<\/p>\n<p><!--more--><\/p>\n<h2>Warnung des CERT-Bund vor Emotet<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg01.met.vgwort.de\/na\/2d22a5f5bf86432db2e5658323676790\" alt=\"\" width=\"1\" height=\"1\" \/>In den letzten Wochen war es in Sachen Ransomware-Infektion mit dem Emotet-Trojaner recht ruhig. Die letzten Meldungen, die mir im Hinterkopf h\u00e4ngen geblieben sind, waren die <a href=\"https:\/\/www.heise.de\/ct\/artikel\/Trojaner-Befall-Emotet-bei-Heise-4437807.html\" target=\"_blank\" rel=\"noopener noreferrer\">Emotet-Infektion bei heise<\/a> im Mai 2019 sowie Warnung des BSI (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/04\/28\/bsi-warnt-vor-ransomware-angriffen-auf-unternehmen\/\">BSI warnt vor Ransomware-Angriffen auf Unternehmen<\/a>) vom April\u00a0 diesen Jahres. M\u00f6glicherweise haben die Cyber-Kriminellen einfach 'Sommerurlaub' gemacht. Damit ist es nun aber vorbei.<br \/>\n[tw_embed]<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"de\"><a href=\"https:\/\/twitter.com\/hashtag\/Emotet?src=hash&amp;ref_src=twsrc%5Etfw\">#Emotet<\/a> ist zur\u00fcck! Seit einigen Stunden ist die Anfang Juni abgeschaltete C&amp;C-Infrastruktur von Emotet wieder online und liefert Module an noch infizierte Clients aus. Wer den Zugriff aus seinem Netz auf die zuletzt bekannten C&amp;C-Server noch nicht blockiert hat, &#8230;<\/p>\n<p>\u2014 CERT-Bund (@certbund) <a href=\"https:\/\/twitter.com\/certbund\/status\/1164803474497761286?ref_src=twsrc%5Etfw\">23. August 2019<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>[\/tw_embed]<\/p>\n<p>CERT-Bund warnt in obigem Tweet vor dem Emotet-Trojaner. Die im Juni 2019 abgeschaltet Infrastruktur mit ihren Command und Control-Servern (C&amp;C-Server) wurde wieder aktiviert. Die Server liefern Module an infizierte Client aus.<\/p>\n<p>F\u00fcr Admins in Firmen hei\u00dft dies, die Zugriffe auf die betreffenden C&amp;C-Server blockieren. Auf <a href=\"https:\/\/paste.cryptolaemus.com\/emotet\/2019\/06\/21\/emotet-malware-IoCs_06-21-19.html\" target=\"_blank\" rel=\"noopener noreferrer\">dieser Webseite<\/a> findet sich eine Liste mit den IP-Adressen, die zu blockieren sind. Heise hat in <a href=\"https:\/\/www.heise.de\/security\/meldung\/Sommerferien-vorbei-Emotet-ist-zurueck-4503467.html\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Artikel<\/a> noch einige Informationen zusammen getragen.<\/p>\n<h2>Der Emotet-Trojaner<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg06.met.vgwort.de\/na\/3137d22d087542d3b6836543b0ed902d\" alt=\"\" width=\"1\" height=\"1\" \/>Der Emotet-Trojaner ist nichts neues, Symantec hat im Sommer 2018 <a href=\"https:\/\/www.symantec.com\/blogs\/threat-intelligence\/evolution-emotet-trojan-distributor\" target=\"_blank\" rel=\"noopener noreferrer\">den Beitrag hier<\/a> zu diesem Sch\u00e4dling ver\u00f6ffentlicht. Die Gruppe hinter dem Trojaner ist seit mindestens 2014 aktiv und hatte sich bisher auf Bankkunden fokussiert. Vor einiger Zeit gab es aber einen Strategiewechsel, indem man Infrastruktur und Firmen in Europa angreift und mit Ransomware infiziert.<\/p>\n<p>Das Landeskriminalamt (LKA) Niedersachsen warnte bereits mehrfach davor, dass sich die Malware \"Emotet\" massiv \u00fcber E-Mailanh\u00e4nge verbreitet. Emotet liest die Adressb\u00fccher und wertet die E-Mail-Kommunikation der Opfer aus. So kann die Malware sich an weitere E-Mail-Adressen potentieller Opfer versenden. Diese bekommen dann eine E-Mail von einem vermeintlich bekannten Absender.<\/p>\n<p><img decoding=\"async\" title=\"Emotet-Mail-Variante\" src=\"https:\/\/web.archive.org\/web\/20190608185759\/https:\/\/zac-niedersachsen.de\/tmp\/2018-12-05_Paypal_Mail_mit_Trojaner.png\" alt=\"Emotet-Mail-Variante\" \/><\/p>\n<p>Die Texte der Mail variieren, sind teilweise in deutscher Sprache gehalten und sollen den Empf\u00e4nger zum \u00d6ffnen des Anhangs bewegen. Der obige Screenshot zeigt eine Version der Mail, die vom LKA als Beispiel ver\u00f6ffentlicht wurde. Der Anhang ist eine Word <em>.doc<\/em>-Datei. Falls Makro-Sperren gesetzt sind, versucht der Sch\u00e4dling das Opfer zum \u00d6ffnen des Anhangs zu bewegen<\/p>\n<p>Kritisch ist vor allem die Komponente von Emotet, die eine Ausbreitung in Firmennetzwerken erm\u00f6glicht. Das stellt f\u00fcr Firmen eine besondere Herausforderung dar. Die Ausbreitung \u00fcber Netzwerke bedeutet auch, dass Opfer infiziert werden k\u00f6nnen, ohne jemals auf einen b\u00f6sartigen Link zu klicken oder einen b\u00f6sartigen Anhang herunterzuladen.<\/p>\n<p>Einmal auf einem Computer gelandet, l\u00e4dt Emotet ein Spreadermodul herunter und f\u00fchrt es aus. Das Modul enth\u00e4lt eine Passwortliste, mit der es versucht, den Zugriff auf andere Computer im selben Netzwerk zu erhalten, schreibt Symantec. Microsoft hat hier einen Artikel zu diesem Sch\u00e4dling ver\u00f6ffentlicht, wobei der Windows Defender einige Varianten erkennt.<\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/04\/28\/bsi-warnt-vor-ransomware-angriffen-auf-unternehmen\/\">BSI warnt vor Ransomware-Angriffen auf Unternehmen<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/02\/12\/cert-bund-warnt-vor-emotet-mails\/\">CERT-Bund warnt vor Emotet-Mails<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/06\/11\/emotet-trojaner-bei-heise-troy-hunt-verkauft-website\/\">Emotet-Trojaner bei heise, Troy Hunt verkauft Website<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/12\/07\/emotet-trojaner-infektion-bei-kraus-maffei\/\">Emotet Trojaner-Infektion bei Kraus-Maffei<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/12\/05\/achtung-emotet-malware-welle-gefhrdet-deutsche-firmen\/\">Achtung: Emotet-Malware-Welle gef\u00e4hrdet deutsche Firmen<\/a><br \/>\n<a href=\"https:\/\/web.archive.org\/web\/20201022182620\/https:\/\/borncity.com\/blog\/2015\/01\/16\/warnung-vor-banking-trojaner-win32emotet-c\/\">Warnung vor Banking-Trojaner Win32\/Emotet.C<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/11\/27\/mehr-zum-malware-befall-im-klinikum-frstenfeldbruck\/\">Mehr zum Malware-Befall im Klinikum F\u00fcrstenfeldbruck<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Die Hinterm\u00e4nner der Emotet-Ransomware haben wohl erneut ihre C&amp;C-Server aktiviert und es d\u00fcrfte wohl bald neue Kampagnen mit erfolgreichen Infektionen geben.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4715,4328],"class_list":["post-221950","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-ransomware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/221950","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=221950"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/221950\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=221950"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=221950"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=221950"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}