僵尸网络Emotet卷土重来，已感染179个国家的13万台设备

2022/03/14

曾经臭名昭著的僵尸网络Emotet在2021年初被全球执法部门重拳出击后消失了一段时间，如今，它已卷土重来，而且势头凶猛。据Securityaffairs等网站消息，Emotet自去年11月复出以来发展迅猛，已经感染了约13万台主机，遍布179个国家。

Emotet 于 2014 年被首次发现，最初是作为一种银行木马病毒进行传播，但随着发展逐渐囊括了越来越多的恶意程序，如Trickbot 和 QBot，以及勒索软件Conti、ProLock、Ryuk和 Egregor等，构建成了一个庞大的僵尸网络。2021 年 11 月，来自多家网络安全公司（Cryptolaemus、GData和 Advanced Intel）的研究人员报告称，攻击者正利用TrickBot 恶意软件在受感染设备上投放 Emote 加载程序，专家们跟踪了旨在利用TrickBot的基础设施重建Emotet僵尸网络的活动。

研究人员指出，新的 Emotet具有了一些新功能：

除了规避检测和分析，还能对网络流量进行加密，以及将进程列表分离到自己的模块中；

采用椭圆曲线加密 (ECC) 方案，代了用于网络流量保护和验证的 RSA加密；

新版本只有在与C2建立连接后才会部署进程列表模块；

添加了更多信息收集功能，以更好地进行系统分析，而以前，Emotet 只会发回正在运行的进程列表。

但与之前的版本相似，Emotet 的大部分C2基础设施位于美国和德国，其次是法国、巴西、泰国、新加坡、印度尼西亚、加拿大、英国和印度；在机器人（Bot）方面，则重点分布在日本、印度、印度尼西亚、泰国、南非、墨西哥、美国、中国、巴西和意大利。分析人士认为，排名靠前的国家是由于这些地区拥有较多过时且易受攻击的Windows设备。

去年年初，由荷兰、德国、美国、英国、法国、立陶宛、加拿大和乌克兰组成的执法部门曾开展行动，破坏了Emotet相关基础设施。由此看来，这次行动并不彻底，导致Emotet在沉寂大半年后死灰复燃。