Ботнет Emotet, не подававший признаков жизни с 7 февраля нынешнего года, возобновил активную деятельность. Эту информацию вполне можно уподобить новости о возобновлении извержений притихшего было вулкана. Emotet был признан самым часто используемым инструментом кибератак прошлого года. Его операторы владеют масштабной бот-сетью инфицированных устройств, которые используются в первую очередь для рассылки спам-сообщений, содержащих во вложениях троянец Emotet.

Он подключает инфицированные устройства к ботнету и может служить для дополнительной загрузки вредоносных модулей. В их числе, в частности, банковский троянец, предназначенный для похищения учетных записей в финансовых сервисах. Кроме того, операторы Emotet активно сотрудничают с другими киберпреступными группировками, предоставляя свою инфраструктуру в аренду для распространения, например, различных зловредов-шифровальщиков. По этой причине в ряде стран, включая Германию и Нидерланды, атаки Emotet приравниваются к атакам шифровальщиков. В случае инфицирования этим вредоносным ПО компаниям и организациям предписывается изолировать инфицированные системы и полностью отключить сети на время ликвидации проблемы и расследования инцидента.

О возобновлении активности Emotet почти одновременно сообщили специалисты Proofpoint, Cryptolaemus, CSIS, Microsoft, Malwarebytes, Abuse.ch и Spamhaus. В пятницу число разосланных ботнетом спам-сообщений превысило 250 тысяч. Они имитируют сообщения деловой переписки с якобы запрошенными получателем официальными документами во вложениях. Документ в формате Word требует активации макрокоманд для просмотра. Их активация ведет к заражению вредоносным ПО. Язык документов преимущественно английский, но спам-сообщения получают пользователи по всему миру – от Южной Америки до Юго-Восточной Азии. Стоит отметить, что это не первый случай, когда Emotet «берет передышку». Ранее он прекращал свою активность с мая по сентябрь прошлого года. Чем вызваны эти паузы, в настоящее время неизвестно.