Emotet ist zurück: Neue Variante der ge­fähr­lich­en Schad­software aufgetaucht

Anfang des Jahres rühmten sich die Generalstaatsanwaltschaft Frankfurt am Main (ZIT) und das Bundeskriminalamtes (BKA) mit der Zerschlagung der Schadsoftware Emotet, die als gefährlichste Schadsoftware der Welt galt. G Data hat nun erstmals eine neue Variante aufgespürt, die die Allzweckwaffe zurückbringen könnte.

Die deutschen Sicherheitsbehörden hatten Anfang des Jahres nicht nur die Serverinfrastruktur in Kooperation mit sieben anderen Staaten abgeschaltet, sondern durch ein Update auch dafür gesorgt, dass sich die Software selbst außer Gefecht setzt. Rechtlich war das so auf unzähligen PCs weltweit verteilte Update für Emotet zumindest höchst umstritten, wie Netzpolitik.org aufarbeitete – rund 1,6 Millionen PCs weltweit galten damals als infiziert.

Trickbot-Malware lädt Emotet nach

Das Bochumer Unternehmens G Data, das die deutschen Sicherheitsbehörden bei der Lahmlegung von Emotet Anfang des Jahres unterstützt hatte, hat nun Hinweise auf eine neue Verteilungsstrategie der Schadsoftware. Demnach nutzt die neue Version, deren Struktur viele Parallelen zur bisherigen Version aufweist, nach derzeitigen Erkenntnissen die Infrastruktur der Trickbot-Malware. Über diese Malware wird in Form der Loader_90563_1.dll nun Emotet auf infizierte Systeme nachgeladen. Das ursprüngliche Botnetz von Emotet liegt somit weiterhin lahm, ein neues musste aufgebaut werden. Unterschiede weist die neue Version beispielsweise darin auf, dass der Netzwerkverkehr zwar weiterhin per HTTPS verschlüsselt wird, nun jedoch ein selbst-signiertes Zertifikat genutzt wird.

Noch konnte G Data keine nennenswerten Aktivitäten der neuen Variante feststellen. Nach einer initialen Infektion mit dem Schadprogramm folgte in der Vergangenheit oft eine Erpressung des kompromittieren Unternehmens mit einem Verschlüsselungstrojaner.

Im englischsprachigen Blogpost von G DATA Advanced Analytics finden sich Details zur neuen Variante die am 14. November durch die Aktivitäten der Trickbot-Malware auffiel.