+- GETOVERX FORUM Community Support (https://forum.getoverx.com)
+-- Forum: Malware Docs (https://forum.getoverx.com/forumdisplay.php?fid=12)
+--- Forum: Troyanos (Trojans) (https://forum.getoverx.com/forumdisplay.php?fid=15)
+--- Thread: TROYANO – Emotet (/showthread.php?tid=27)
TROYANO – Emotet - mrwebfeeder - 11-29-2025
Nombre: Emotet
Categoría: Troyano bancario + Downloader / Botnet
Familia / Campañas: Emotet (Epoch 4/5)
Fecha de descubrimiento: Alrededor de 2014
Comportamiento (lo que hace y archivos que infecta):
- Comienza como troyano bancario focalizado en robo de credenciales financieras.
- Evoluciona a una botnet modular usada como plataforma de acceso inicial para otros grupos de malware.
- Propagación principal:
- Campañas masivas de correo electrónico con documentos maliciosos (Office) y adjuntos comprimidos.
- Correos con hilos “reutilizados” (reply-chain) para ganar credibilidad.
- Funciones típicas:
- Robo de credenciales: navegadores, correo, VPN y otros servicios.
- Descarga de otros malware: especialmente TrickBot, Ryuk y otras familias de ransomware o troyanos.
- Movimiento lateral: uso de credenciales robadas, shares SMB, herramientas de administración remota, etc.
- Archivos afectados:
- Perfiles de navegador, ficheros de configuración y credenciales guardadas.
- Documentos y adjuntos usados como vector de infección.
- Binarios y DLL auxiliares desplegados en rutas de usuario o sistema para mantener la botnet activa.
Persistencia:
- Crea servicios con nombres que imitan componentes legítimos del sistema. Ejemplo conocido:
Code:
Service Name: WWinMan- Suele ubicarse en directorios de usuario (AppData, Local, Roaming) con nombres poco llamativos para camuflarse.
- En entornos corporativos, suele combinarse con otras herramientas (TrickBot, loaders de ransomware) que a su vez añaden más mecanismos de persistencia y movimiento lateral.
Hash real de referencia (SHA-256):
Muestra pública asociada a Emotet:
Code:
3e3c7fc395a538f1e04756f014c2175b58844386df4e5955dfd37180de16854dMitigación con GetOverX Shield v3.0.2.0 o superior:
- Antivirus:
- Escaneo completo del sistema para localizar:
- El binario principal de Emotet.
- Servicios y módulos auxiliares (DLL/EXE) relacionados.
- Eliminar o poner en cuarentena todos los artefactos detectados.
- Revisar:
- Directorios de usuario (AppData, Temp).
- Rutas de sistema donde pueda haberse copiado con nombres similares a procesos legítimos.
- Filtro de correo / Office endurecido:
- Filtrar macros:
- Deshabilitar o restringir macros en documentos de Office recibidos por correo, especialmente de remitentes externos.
- Bloquear automáticamente adjuntos considerados de alto riesgo (Office con macros, formatos poco comunes).
- Hardened Office mode:
- Activar modos de “vista protegida” y políticas de ejecución restringida para documentos descargados de Internet.
- Bloquear ejecución de macros a menos que estén firmadas y provengan de fuentes confiables.
- Firewall:
- Bloquear IPs C2:
- Mantener listas de bloqueo para dominios/IPs asociados a C2 de Emotet.
- Restringir conexiones salientes de equipos de usuario hacia destinos poco habituales.
- Aislar hosts con actividad sospechosa mediante perfiles de firewall más restrictivos hasta concluir el análisis.
- HIPS / EDR:
- Detectar y alertar sobre:
- Creación de servicios desconocidos (como “WWinMan”) vinculados a binarios en rutas no estándar.
- Procesos hijos de documentos de Office (word.exe, excel.exe, etc.) que generen nuevos ejecutables o scripts.
- Descarga y ejecución de binarios desde Internet tras abrir adjuntos de correo.
- Bloquear automáticamente:
- Procesos que muestren patrones típicos de Emotet (descarga de módulos, comunicación C2 repetitiva, etc.).
- Binarios por hash una vez confirmados como maliciosos.
- Sandbox:
- Analizar en Sandbox:
- Documentos de Office sospechosos.
- Ficheros comprimidos y adjuntos de correo antes de su ejecución en producción.
- Observar si:
- Intentan contactar C2 conocidos.
- Crean servicios o claves de persistencia.
- Despliegan loaders adicionales (TrickBot, Ryuk u otros).
- Post-incidente:
- Cambiar contraseñas:
- Correo corporativo y personal.
- Banca en línea y servicios financieros.
- Credenciales administrativas, VPN y acceso a paneles críticos.
- Verificar si:
- Se descargaron y ejecutaron otras amenazas (TrickBot, Ryuk, etc.).
- Existen signos de cifrado de archivos o intentos de borrado de copias de sombra.
- Revisar políticas de filtrado de correo y reforzar la formación en phishing para reducir la superficie de ataque.
Notas opcionales:
- Emotet ha sido uno de los botnets más relevantes de la última década, utilizado como “servicio” para distribuir otros malware de alto impacto en entornos corporativos.