Emotet Botnet está de volta e com força total! E o Brasil é alvo!

Falar de Botnet nunca é uma boa notícia, especialmente quando se tem servidores expostos na web. No entanto, a melhor notícia é que quando escrevemos sobre o assunto, é sinal que alguém já está de olho neles. E desta vez, o Emotet Botnet anuncia a sua volta.

Com informações do bleepingcomputer, o botnet Emotet despertou, e já estão espalhando os malwares pelo mundo. Aparentemente, o servidores haviam parado no começo de junho deste ano, e agora voltaram a atividade.

Com isso, o botnet Emotet é uma das principais ameaças por conter uma inteligente infra-estrutura para distribuir o Trickbot. E não é só isso, há também centenas de outros trojans bancários, além do temido ransomware Ryuk. As três combinações, são chamadas no mundo tecnológico de “Tripla ameaça” e possuem principal foco em afetar o governo dos EUA.

O que já sabemos sobre o botnet Emotet?

Como dito antes, os pesquisadores notaram que os operadores do Emotet deram um pausa no começo de junho deste ano. No entanto, foi deixado claro que não seria por muito tempo, e realmente não foi.

Até agora, não foi identificado nenhuma grande atividade. O único registro foi da comunidade infosec que identificou que o servidores hospedeiros voltaram a funcionar e que haviam sido desativados anteriormente, para manutenção.

A mesma informação foi identificava pelo Confense Labs. A infra-estrutura C2 do botnet foi revivida alguns dias atrás, às 3 da PM EST.

The Emotet botnet arose from the grave yesterday and began serving up new binaries. We noticed that the C2 servers began delivering responses to POST requests around 3PM EST on Aug 21. Stay vigilant and keep an eye out for any updates as we monitor for any changes.

— Cofense Labs (@CofenseL) 22 de agosto de 2019

Uma lista de servidores considerados ativos está disponível aqui  e no final do artigo, eles foram vistos on-line pela Black Lotus Labs em 22 de agosto. Os analistas de malware já estão rastreando-os.

De acordo com o serviço geo-IP da MaxMind, os endereços são dos EUA, Hungria, França, Alemanha, Índia, Bélgica, Polônia, México, Argentina e Austrália.

O pesquisador de segurança MalwareTech notaram a nova atividade e diz que até agora ele não gravou novos bin até agora, apenas uma nova atividade dos servidores.