Malware Emotet rouba cartões de crédito de usuários do Google Chrome

O botnet Emotet agora está tentando infectar vítimas em potencial com um módulo de roubo de cartão de crédito. Assim, esse malware Emotet está projetado para coletar informações de cartão de crédito armazenadas nos perfis de usuário do Google Chrome. Depois de roubar as informações do cartão de crédito (ou seja, nome, mês e ano de vencimento, números do cartão), o malware as enviará para servidores de comando e controle (C2) diferentes daqueles usados pelo módulo ladrão de cartões Emotet.

“Em 6 de junho, a Proofpoint observou um novo módulo #Emotet sendo descartado pela botnet E4”, revelou a equipe da Proofpoint Threat Insights. “Para nossa surpresa, era um ladrão de cartão de crédito que visava exclusivamente o navegador Chrome. Uma vez que os detalhes do cartão foram coletados, eles foram exfiltrados para servidores C2 diferentes do carregador do módulo.”

Essa mudança de comportamento ocorre após o aumento da atividade em abril e uma mudança para módulos de 64 bits, como o grupo de pesquisa de segurança Cryptolaemus detectou.

Uma semana depois, o Emotet começou a usar arquivos de atalho do Windows (.LNK) para executar comandos do PowerShell para infectar os dispositivos das vítimas, afastando-se das macros do Microsoft Office agora desabilitadas por padrão a partir do início de abril de 2022.

O renascimento do Malware Emotet rouba cartões de crédito de usuários do Google Chrome

O malware Emotet foi desenvolvido e implantado em ataques como um trojan bancário em 2014. Ele evoluiu para uma botnet que o grupo de ameaças TA542 (também conhecido como Mummy Spider) usa para fornecer código infectado. Ele também permite que seus operadores roubem dados de usuários, realizem reconhecimento em redes violadas e movam-se lateralmente para dispositivos vulneráveis.

O Emotet é conhecido por descartar arquivos de trojan de malware Qbot e Trickbot nos computadores comprometidos das vítimas, que são usados para implantar malware adicional, incluindo beacons Cobalt Strike e ransomware como Ryuk e Conti.