TROYANO – Emotet

[mrwebfeeder]

---

Nombre: Emotet

Categoría: Troyano bancario + Downloader / Botnet

Familia / Campañas: Emotet (Epoch 4/5)

Fecha de descubrimiento: Alrededor de 2014

Comportamiento (lo que hace y archivos que infecta):
- Comienza como troyano bancario focalizado en robo de credenciales financieras.
- Evoluciona a una botnet modular usada como plataforma de acceso inicial para otros grupos de malware.
- Propagación principal:
- Campañas masivas de correo electrónico con documentos maliciosos (Office) y adjuntos comprimidos.
- Correos con hilos “reutilizados” (reply-chain) para ganar credibilidad.
- Funciones típicas:
- Robo de credenciales: navegadores, correo, VPN y otros servicios.
- Descarga de otros malware: especialmente TrickBot, Ryuk y otras familias de ransomware o troyanos.
- Movimiento lateral: uso de credenciales robadas, shares SMB, herramientas de administración remota, etc.
- Archivos afectados:
- Perfiles de navegador, ficheros de configuración y credenciales guardadas.
- Documentos y adjuntos usados como vector de infección.
- Binarios y DLL auxiliares desplegados en rutas de usuario o sistema para mantener la botnet activa.

Persistencia:
- Crea servicios con nombres que imitan componentes legítimos del sistema. Ejemplo conocido:

Code:

Service Name: WWinMan

- Puede registrarse en claves de Registro Run/RunOnce y otras rutas de inicio automático.
- Suele ubicarse en directorios de usuario (AppData, Local, Roaming) con nombres poco llamativos para camuflarse.
- En entornos corporativos, suele combinarse con otras herramientas (TrickBot, loaders de ransomware) que a su vez añaden más mecanismos de persistencia y movimiento lateral.

Hash real de referencia (SHA-256):
Muestra pública asociada a Emotet:

Code:

3e3c7fc395a538f1e04756f014c2175b58844386df4e5955dfd37180de16854d

Mitigación con GetOverX Shield v3.0.2.0 o superior:

• Antivirus:
  - Escaneo completo del sistema para localizar:
  - El binario principal de Emotet.
  - Servicios y módulos auxiliares (DLL/EXE) relacionados.
  - Eliminar o poner en cuarentena todos los artefactos detectados.
  - Revisar:
  - Directorios de usuario (AppData, Temp).
  - Rutas de sistema donde pueda haberse copiado con nombres similares a procesos legítimos.
  
  
• Filtro de correo / Office endurecido:
  - Filtrar macros:
  - Deshabilitar o restringir macros en documentos de Office recibidos por correo, especialmente de remitentes externos.
  - Bloquear automáticamente adjuntos considerados de alto riesgo (Office con macros, formatos poco comunes).
  - Hardened Office mode:
  - Activar modos de “vista protegida” y políticas de ejecución restringida para documentos descargados de Internet.
  - Bloquear ejecución de macros a menos que estén firmadas y provengan de fuentes confiables.
  
  
• Firewall:
  - Bloquear IPs C2:
  - Mantener listas de bloqueo para dominios/IPs asociados a C2 de Emotet.
  - Restringir conexiones salientes de equipos de usuario hacia destinos poco habituales.
  - Aislar hosts con actividad sospechosa mediante perfiles de firewall más restrictivos hasta concluir el análisis.
  
  
• HIPS / EDR:
  - Detectar y alertar sobre:
  - Creación de servicios desconocidos (como “WWinMan”) vinculados a binarios en rutas no estándar.
  - Procesos hijos de documentos de Office (word.exe, excel.exe, etc.) que generen nuevos ejecutables o scripts.
  - Descarga y ejecución de binarios desde Internet tras abrir adjuntos de correo.
  - Bloquear automáticamente:
  - Procesos que muestren patrones típicos de Emotet (descarga de módulos, comunicación C2 repetitiva, etc.).
  - Binarios por hash una vez confirmados como maliciosos.
  
  
• Sandbox:
  - Analizar en Sandbox:
  - Documentos de Office sospechosos.
  - Ficheros comprimidos y adjuntos de correo antes de su ejecución en producción.
  - Observar si:
  - Intentan contactar C2 conocidos.
  - Crean servicios o claves de persistencia.
  - Despliegan loaders adicionales (TrickBot, Ryuk u otros).
  
  
• Post-incidente:
  - Cambiar contraseñas:
  - Correo corporativo y personal.
  - Banca en línea y servicios financieros.
  - Credenciales administrativas, VPN y acceso a paneles críticos.
  - Verificar si:
  - Se descargaron y ejecutaron otras amenazas (TrickBot, Ryuk, etc.).
  - Existen signos de cifrado de archivos o intentos de borrado de copias de sombra.
  - Revisar políticas de filtrado de correo y reforzar la formación en phishing para reducir la superficie de ataque.
  

---

Notas opcionales:
- Emotet ha sido uno de los botnets más relevantes de la última década, utilizado como “servicio” para distribuir otros malware de alto impacto en entornos corporativos.