{"id":228962,"date":"2020-03-02T08:12:01","date_gmt":"2020-03-02T07:12:01","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=228962"},"modified":"2020-03-02T17:25:28","modified_gmt":"2020-03-02T16:25:28","slug":"cryptolaemus-und-der-kampf-gegen-emotet","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/03\/02\/cryptolaemus-und-der-kampf-gegen-emotet\/","title":{"rendered":"Cryptolaemus und der Kampf gegen Emotet"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/03\/02\/cryptolaemus-and-the-fight-against-emotet\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Eine Gruppe von Sicherheitsforschern und Administratoren versucht seit einiger Zeit Angriffe durch die Emotet-Schadsoftware abzuwehren. Jetzt ist ein Artikel \u00fcber diesen Sachverhalt erschienen. Interessant finde ich die Referenzen auf die unter dem Namen Cryptolaemus agierende Gruppe von Sicherheitsforschern, die auch aktualisierte Informationen zu C&amp;C-Servern publizieren.<\/p>\n<p><!--more--><\/p>\n<h2>Die Emotet-Schadsoftware<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg08.met.vgwort.de\/na\/305e051c920a4245979623dc0ba24829\" alt=\"\" width=\"1\" height=\"1\" \/><a href=\"https:\/\/de.wikipedia.org\/wiki\/Emotet\" target=\"_blank\" rel=\"noopener noreferrer\">Emotet<\/a> war urspr\u00fcnglich ein Banking-Trojaner, der erstmals im Juni 2014 durch Trend Micro identifiziert wurde. Inzwischen steht eine komplette Cyber-Gruppe hinter dieser Schadsoftware und entwickelt diese weiter. Im Sommer 2019 leistete die Gruppe sich sogar den 'Luxus', ihre Infrastruktur still zu legen, um Urlaub zu machen (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/08\/23\/cert-bund-emotet-ist-zurck-cc-server-wieder-aktiv\/\">CERT-Bund: Emotet ist zur\u00fcck, C&amp;C-Server wieder aktiv<\/a>).<\/p>\n<p>Seit Ende 2018 ist Emotet auch in der Lage, Inhalte aus E-Mails auszulesen und zu verwenden. Das erh\u00f6ht die Gef\u00e4hrlichkeit, da diese E-Mail-Adresse verwendet werden, um neue Opfer zu finden. Die Empf\u00e4nger erhalten in Folge E-Mails mit authentisch aussehenden, jedoch erfundenen Inhalten von Absendern, mit denen sie zuvor in Kontakt standen.<\/p>\n<p>Da Namen und Mailadressen von Absender und Empf\u00e4nger in Betreff, Anrede und Signatur zu fr\u00fcheren E-Mails stimmig sind, verleiteten solche Mails auch sensibilisierte Nutzer zum \u00d6ffnen des sch\u00e4dlichen Dateianhangs oder des in der Nachricht enthaltenen Links.<\/p>\n<p>Die Emotet-Hinterm\u00e4nner benutzen dies, um neue Schadfunktionen zur Verschl\u00fcsselung von Daten als Ransomware auszuliefern. Unter anderem waren das Berliner Kammergericht und der heise-Verlag Opfer von Emotet-Infektionen. Eine Suche hier im Blog f\u00f6rdert eine Reihe Treffer zu Emotet-Infektionen zutage.<\/p>\n<p>In Einzelf\u00e4llen kam es bei den Betroffenen dadurch zu Ausf\u00e4llen der kompletten IT-Infrastruktur und zu Einschr\u00e4nkungen von kritischen Gesch\u00e4ftsprozessen. Da dies Sch\u00e4den in Millionenh\u00f6he nach sich zieht, warnen CERT-Bund und das BSI explizit vor diesem Schadprogramm (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/12\/21\/cert-bund-bsi-warnung-vor-emotet-trojaner-ransomware\/\">CERT-Bund\/BSI-Warnung vor Emotet-Trojaner\/Ransomware<\/a>).<\/p>\n<h2>Kampf der Cryptolaemus-Gruppe gegen Emotet<\/h2>\n<p>Cryptolaemus sind Marienk\u00e4fer, die einen unb\u00e4ndigen Apetit auf Blattl\u00e4use entwickeln. Und diese Tiergattung mutierte zum Namensgeber der Gruppe aus Sicherheitsforschern und Administratoren, die die Emotet-Entwicklung verfolgen, Informationen und Gegenma\u00dfnahmen publizieren und so die Emotet-Kampagnen massiv st\u00f6ren. Catalin Cimpanu hat ein Interview mit der Gruppe gef\u00fchrt und dieses als Artikel auf ZDNet ver\u00f6ffentlicht.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">Here's my interview and the history of Cryptolaemus, the white-hat group fighting Emotet<a href=\"https:\/\/t.co\/m0hZh1VmE4\">https:\/\/t.co\/m0hZh1VmE4<\/a> <a href=\"https:\/\/t.co\/0PcnRp4OOz\">pic.twitter.com\/0PcnRp4OOz<\/a><\/p>\n<p>\u2014 Catalin Cimpanu (@campuscodi) <a href=\"https:\/\/twitter.com\/campuscodi\/status\/1233663444630433792?ref_src=twsrc%5Etfw\">February 29, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Dort wird beispielsweise beschrieben, was eine Emotet-Infektion heutzutage bedeutet. Liegt eine Emotet-Infektion vor, bedeutet dies in der Regel, dass die Schadsoftware versucht, sich vom urspr\u00fcnglich infizierten System im gesamten Netzwerk auszubreiten. Inzwischen verwendet Emotet sogar eine neue Methode zur Verbreitung \u00fcber WiFi-Verbindungen einf\u00fchren, die es bei keiner anderen Malware-Operation gibt.<\/p>\n<p>Einerseits sind die von Catalin Cimpanu geposteten Informationen zur Gruppe im Rahmen des Interviews zwar ganz nett. Spontan spannend fand ich aber den Hinweis auf deren Twitter-Kanal (<a href=\"https:\/\/twitter.com\/Cryptolaemus1\" target=\"_blank\" rel=\"noopener noreferrer\">@Cryptolaemus1<\/a>), wo Informationen und Emotet-Neuigkeiten gepostetet werden. Und noch spannender ist die <a href=\"https:\/\/paste.cryptolaemus.com\/\" target=\"_blank\" rel=\"noopener noreferrer\">Webseite der Gruppe auf Pastebin<\/a>, wo fast t\u00e4glich Updates einlaufen. Dort finden sich z.B. aktualisierte Listen von Emotet C2-Servern und RSA-Keys. Hilfreich f\u00fcr Administratoren, die Emotet an der Arbeit hindern m\u00f6chten.<\/p>\n<blockquote><p>Hinweise, wie man bei einer Infektion reagieren soll, finden sich im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/12\/07\/faq-reagieren-auf-eine-emotet-infektion\/\">FAQ: Reagieren auf eine Emotet-Infektion<\/a>. Erg\u00e4nzung: Und weil es hier passt &#8211; heise hat gerade diesen Artikel zu <a href=\"https:\/\/www.heise.de\/ct\/artikel\/Was-Emotet-anrichtet-und-welche-Lehren-die-Opfer-daraus-ziehen-4665958.html\" target=\"_blank\" rel=\"noopener noreferrer\">Emotet und den Folgen<\/a> ver\u00f6ffentlicht. Die sind als Betroffene quasi Fachleute in Bezug auf die Folgen.<\/p><\/blockquote>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/12\/21\/cert-bund-bsi-warnung-vor-emotet-trojaner-ransomware\/\">CERT-Bund\/BSI-Warnung vor Emotet-Trojaner\/Ransomware<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/12\/07\/faq-reagieren-auf-eine-emotet-infektion\/\">FAQ: Reagieren auf eine Emotet-Infektion<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/10\/14\/emotet-zielt-auf-banken-in-dach\/\">Emotet zielt auf Banken in DACH<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/02\/05\/sicherheitsinfos-emotet-scanner-whatsapp-etc-5-2-2020\/\">Sicherheitsinfos: Emotet-Scanner, WhatsApp etc. (5.2.2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/10\/02\/emotet-trojaner-befall-in-berliner-oberlandesgericht\/\">Emotet-Trojaner-Befall in Berliner Oberlandesgericht<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/09\/27\/emotet-infektion-an-medizinische-hochschule-hannover\/\">Emotet-Infektion an Medizinischer Hochschule Hannover<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/09\/10\/emotet-cc-server-liefern-neue-schadsoftware-aus\/\">Emotet C&amp;C-Server liefern neue Schadsoftware aus\u2013Neustadt gerade infiziert<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/08\/23\/cert-bund-emotet-ist-zurck-cc-server-wieder-aktiv\/\">CERT-Bund: Emotet ist zur\u00fcck, C&amp;C-Server wieder aktiv<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Eine Gruppe von Sicherheitsforschern und Administratoren versucht seit einiger Zeit Angriffe durch die Emotet-Schadsoftware abzuwehren. Jetzt ist ein Artikel \u00fcber diesen Sachverhalt erschienen. Interessant finde ich die Referenzen auf die unter dem Namen Cryptolaemus agierende Gruppe von Sicherheitsforschern, die auch &hellip; <a href=\"https:\/\/borncity.com\/blog\/2020\/03\/02\/cryptolaemus-und-der-kampf-gegen-emotet\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[7931,4715,4328],"class_list":["post-228962","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-emotet","tag-ransomware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/228962","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=228962"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/228962\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=228962"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=228962"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=228962"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}