Emotet: Die Schadsoftware, die sich in die Konversation einklinkt

Nach mehreren Monaten Pause verschickt die Schadsoftware Emotet wieder Phishing-E-Mails. Dabei setzt sie auf die Beantwortung ungelesener E-Mails - mit Schadsoftware.

Artikel veröffentlicht am 20. September 2019, 12:54 Uhr, Moritz Tremmel

Schadsoftware Emotet klinkt sich in E-Mail-Konversation ein. (Bild: jackmac34/Pixabay)

Nach einer viermonatigen Sommerpause treibt die Schadsoftware Emotet wieder ihr Unwesen. Laut der Sicherheitsfirma Talos schleust sich Emotet dabei vermehrt in die E-Mail-Kommunikation der Betroffenen ein und beantwortet eingehende E-Mails mit Schadsoftware. Denn eine Antwort mit E-Mail-Anhang von einer Person, mit der man bereits im E-Mail-Kontakt steht, macht nicht gerade misstrauisch.

Im Juni hatten die Entwickler von Emtotet eine Sommerpause eingelegt, selbst die Command-and-Control-Server seien inaktiv gewesen, schreiben die Sicherheitsforscher von Talos. Seit wenigen Tagen sei Emotet jedoch wieder in vollem Gange und setze deutlich mehr auf eine Verbreitung per Antwort-E-Mail. Diese machten mittlerweile rund 25 Prozent der versendeten Spam-E-Mails aus, im April seien es noch 8 Prozent gewesen, schreibt Talos.

Auf den von Emotet befallenen Systemen sucht die Schadsoftware nach E-Mails und antwortet auf die ungelesenen E-Mails im Posteingang. Dabei zitiert Emotet die ursprüngliche Nachricht und verweist in einem Antworttext auf einen Anhang, beispielsweise auf ein Word-Dokument. Der Anhang enthält wiederum die Schadsoftware - so verbreitet sich Emotet immer weiter. "Durch die Übernahme bestehender E-Mail-Konversationen und die Einbeziehung von echten Betreffzeilen und E-Mail-Inhalten werden die Nachrichten viel zufälliger", schreiben die Sicherheitsforscher. Dadurch seien sie für Spam-Filter, aber auch für Menschen, sehr viel schwieriger zu erkennen.

Als E-Mail-Anhang kommt laut der Sicherheitsfirma Malwarebytes aktuell ein Word-Dokument zum Einsatz, das nach dem Öffnen das Akzeptieren einer Lizenzvereinbarung für Microsoft Word mimt. Um diese zu akzeptieren, müssen Makros akzeptiert werden - das Einfallstor für die Schadsoftware. Zudem sollen die Phishing-E-Mails häufig den Namen des Betroffenen in dem Betreff enthalten, was für eine höhere Klickrate sorgen soll.

Neben den E-Mails hat es Emotet auch auf die Zugangsdaten von E-Mail-Konten abgesehen. Diese verteilt die Software an die befallenen Rechner, welche die Konten zum Versand von weiteren Phishing-E-Mails nutzen. Über 200.000 Zugangsdaten konnte Talos in den letzten zehn Monaten entdecken. Auf den befallenen Systemen lädt Emotet zudem weitere Schadsoftware wie den Banking-Trojaner Trickbot oder die Ransomware Ryuk nach.