MILANO – I ricercatori Proofpoint hanno identificato un’attività di Emotet a basso volume, sensibilmente differente dai comportamentitradizionali.L’attività si è verificata mentre Emotetappariva“in pausa”, ma da allora l’attore della minaccia ha ripreso le sue attività tipiche.Opinione di Proofpoint è che il gruppo che distribuisce Emotet stia probabilmente testando nuove tattiche, tecniche e procedure (TTP) su piccola scala prima di adottarle su campagne più ampie o di distribuirle in parallelo.
“Dopo mesi di attività regolare, Emotet sta cambiando le carte a sua disposizione,” spiega SherrodDeGrippo, Vice President, ThreatResearch and Detection, Proofpoint. “È probabile che il responsabile di questa campagna stia testando nuovi comportamenti su piccola scala prima di adottarliin modo più ampio, o di distribuirli tramite nuovi TTP accanto alle sue attuali campagne ad alto volume. Le organizzazioni dovrebbero essere consapevoli delle nuove tecniche e assicurarsi di implementare le relativedifese.”
I messaggi contenevano URL di OneDrive che ospitavano un archivio zip contenente file XLL che consegnavano il malware Emotet. Con ogni probabilità il responsabile di questa campagna è ancora TA542.
Chi è Emotet
Emotet è una prolifica botnet e un trojan che prende di mira le piattaforme Windows per distribuire malware. Era considerato una delle più attiveminacce cybercriminali prima della sua chiusurada parte delle forze dell’ordine nel gennaio 2021.
Nel novembre 2021, 10 mesi dopo la sua scomparsa dal panorama delle minacce, Proofpoint ha osservato una ripresa di questa famigerata botnet e, da allora, il gruppo associato a Emotet, TA542, ha preso di mira migliaia di clienti con decine di migliaia di messaggi in piùaree geografiche. In alcuni casi, il volume dei messaggi raggiunge oltre un milione per campagna.
Tuttavia, la nuova attività osservata da Proofpoint può rappresentare un distacco dai loro comportamenti tipici e indica che il gruppo sta testando nuove tecniche di attacco su piccola scala prima di adottarle per campagne di volume maggiore. In alternativa, questi nuovi TTP possono indicare che TA542 può ora essere impegnato in attacchi più selettivi e limitati in parallelo alle tipiche campagne email su larga scala.
