Pesquisadores descobrem falha no malware Emotet e criam vacina para neutralizá-lo

Uma falha no código de um dos piores malwares da história possibilitou que pesquisadores criassem uma solução para o problema. No entanto, assim como os vírus do mundo real, eles conseguem sofrer mutações (forçadas pelos cibercriminosos, claro) para continuar infectando máquinas ao longo do tempo. Isso tem sido assim desde o final dos anos 80, quando o malware apareceu pela primeira vez em cena, e apesar das alegações da maioria das empresas de segurança, ele permanecerá assim no futuro. Entretanto, agora, os pesquisadores descobrem falha no malware Emotet e criam vacina para neutralizá-lo. Por quanto tempo ela será eficaz é outra questão.

Emotet é uma das pragas que mais fizeram e ainda fazem vítimas no mundo todo. Acredita-se que opere nos territórios dos ex-Estados soviéticos. Além disso, o Emotet também é um dos grupos de malware mais habilidosos da atualidade, tendo aperfeiçoado o esquema de infectar como nenhum outro grupo.

O malware, que foi visto pela primeira vez em 2014, evoluiu de um trojan bancário sem importância para um canivete suíço de malware que, uma vez que infecta as vítimas, se espalha lateralmente por toda a sua rede, furta todos os dados confidenciais e dá meia-volta e aluga acesso aos hospedeiros infectados para outros grupos.

Hoje, a Emotet assusta os departamentos de TI de empresas em todo o mundo e tem causado enormes dores de cabeça a todo o setor de segurança cibernética.

Pesquisadores descobrem falha no malware Emotet e criam vacina para neutralizá-lo

Contudo, em suas entranhas, o Emotet é apenas um pedaço de software. Afinal, como o próprio nome diz, malware nada mais é que um software malicioso. Então, como tal, o Emotet também tem bugs.

No setor de segurança cibernética, algumas empresas e pesquisadores correm alto risco ao explorar bugs em malware. O temor é de que possam acabar danificando os computadores infectados por acidente. No entanto, às vezes pode aparecer um bug raro que é seguro de explorar e tem consequências devastadoras para o próprio malware.

Um bug desse tipo veio à tona no início deste ano, descoberto por James Quinn, um analista de malware que trabalhava para a Binary Defense.

O fato de Quinn descobrir o bug não foi por acaso. Nos últimos anos, o trabalho principal de Quinn tem sido caçar Emotet e ficar de olho em suas operações, mas também, como hobby pessoal, aumentar a conscientização sobre essa parte ameaçadora do grupo Cryptolaemus.

Enquanto vasculhava as atualizações diárias do Emotet em fevereiro, Quinn percebeu uma mudança no código do Emotet – em uma das cargas úteis recentes, a rede de bots Emotet estava fazendo spam em massa pela Internet.

A mudança foi no “mecanismo de persistência” do Emotet, a parte do código que permite que o malware sobreviva às reinicializações do PC. Quinn percebeu que o Emotet estava criando uma chave de registro do Windows e salvando uma chave de criptografia XOR dentro dela.

No entanto, essa chave de registro não foi usada apenas para persistência, explicou Quinn em um relatório. A chave também fazia parte de muitas outras verificações de código Emotet, incluindo sua rotina de pré-infecção.

O que é o EMOCRASH

Por meio de tentativa e erro e graças às atualizações subsequentes do Emotet que refinaram o funcionamento do novo mecanismo de persistência, Quinn foi capaz de montar um minúsculo script do PowerShell que explorou o mecanismo de chave do registro para travar o próprio Emotet.

O script, habilmente denominado EmoCrash, efetivamente escaneou o computador de um usuário e gerou uma chave de registro Emotet correta – mas malfeita.

Quando Quinn tentou infectar propositalmente um computador limpo com Emotet, a chave de registro disparou um estouro de buffer no código do Emotet e travou o malware, impedindo efetivamente que os usuários fossem infectados.

Quando o Quinn executava o EmoCrash em computadores já infectados com o Emotet, o script substituía a chave de registro boa por uma malformada e, quando o Emotet verificava novamente a chave de registro, o malware também travava, evitando que hosts infectados se comuniquem com o Emotet servidor de comando e controle.

Efetivamente, Quinn criou uma vacina Emotet e um killswitch ao mesmo tempo. Mas o pesquisador disse que a melhor parte aconteceu depois.