Emotet木马病毒已升级，并且再次增强了与杀毒软件的对抗能力

美国网络安全公司Menlo Security上周发表声明，称该公司在今年1月的一次恶意网络攻击中发现了Emotet Trojan病毒的新变种。通过将用于释放主要有效内容的XML文件伪装成Word文档，新的Emotet变体变得更加难以检测。

什么是Emotet木马病毒？

Emotet（也称为Geodo或Heodo）是一种模块化的木马病毒，据说是由黑客组织Mealybug在2014年开发的。Emotet最初被设计为银行木马。当受害者登录到网上银行或加密的钱包时，Mealybug使用它通过垃圾邮件来感染受害者的设备，并窃取登录凭据，个人身份信息（PII）和财务信息。

不仅如此，Emotet还被添加了在其后续开发中传播其他恶意软件的功能，包括其他银行木马（例如Trickbot）。

新变种在今年1月被发现

根据Menlo Security，新的Emotet变体已于今年1月被发现，恶意文件主要通过以下两种方式呈现：

恶意链接

恶意电子邮件附件

从Menlo Security收集的数据来看，Emotet在2019年1月主要针对医疗，银行，金融和零售行业（具体分布请参见下图）。

恶意文件分为两类

今年1月，用于传播Emotet木马的恶意文件可分为两类：第一类占大约80％，尽管它们具有.doc扩展名，但实际上是XML文件；第二类是典型的带有嵌入式恶意宏的Word文档。

Menlo Security表示，将具有Base64编码数据的XML文档伪装为Word文档可能是为了避免被防病毒软件检测到。实际上，只有很少的防病毒软件可以检测到这些用于传播Emotet木马的文件为“恶意”。

尽管不同的恶意文档使用不同的标题和内容，但几乎所有文档都使用Microsoft Office徽标诱使攻击者启用恶意宏。

感染过程非常复杂

Menlo Security表示，新Emotet变体的感染过程非常复杂，并且遵循严格的过程。最初的恶意脚本将产生多个进程，这些进程将启动Powershell脚本，以将主要有效负载下载到受感染计算机的TEMP文件夹中。

一旦主要有效负载下载到受感染的计算机，它将被激活并开始向命令和控制服务器中包含的所有URL发送连接请求（C 2） URL列表。一旦连接成功， Emotet与攻击者的C2服务器建立了连接，攻击者可以通过C2通信发送其他恶意软件。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-313609-1.html