Puntos claves:
- Este 7 de marzo 8:00 am EST, la botnet ha reiniciado su actividad luego de 3 meses en silencio.
- Los ataques de SPAM provienen desde correos comprometidos y simulan ser respuestas desde contactos conocidos a cadenas, correos o conversaciones anteriores.
- Para sorpresa de muchos, Emotet está enviando documentos de MS Office con macros maliciosas, inclusive luego de que Microsoft deshabilitara las macros en Julio de 2022.
- Actualmente adjuntan archivos ZIP con un peso de 680 KB aprox, sin embargo, también podrían empezar a incluir enlaces maliciosos u otros tipos de archivos según tendencia, como por ejemplo archivos con extensión ONE, HTML, ISO, IMG, LNK, etc.
- Para dificultar el análisis, los documentos de Microsoft Office y la DLL de Emotet pesan más de 500 MB.
- La botnet utiliza múltiples sitios comprometidos para la distribución de los payloads.
- Por el momento, solo una de las botnet (Epoch 4) se encuentra operativa.
- Los ataques ya están siendo distribuidos en España y Latinoamérica.
Sobre Emotet
Emotet es un tipo de malware troyano que ha estado activo desde al menos el 2014 y es considerado uno de los más peligrosos y dañinos del mundo. El malware tiene la capacidad de propagarse rápidamente a través de correos electrónicos de phishing y de infectar una amplia variedad de sistemas.
Una vez que Emotet infecta un sistema, puede robar información confidencial, utilizar el equipo como bot de SPAM e incluso instalar otros tipos de amenazas, como por ejemplo Cobalt Strike o Ransomware, lo que podría derivar en un daño mucho mayor.
Emotet ha sido utilizado para realizar ataques a gran escala contra empresas, instituciones gubernamentales y organizaciones de todo el mundo. El malware es conocido por ser altamente adaptable y puede evolucionar rápidamente para evitar la detección del software de seguridad.
En febrero de 2021, una operación conjunta entre la policía europea y estadounidense logró desmantelar la infraestructura de Emotet y arrestar a varios sospechosos en Ucrania. Sin embargo, hemos confirmado que Emotet sigue siendo utilizado por otros grupos criminales.
Flujo del Ataque
El siguiente ejemplo, es un correo de Phishing de Emotet dirigido a un organismo del gobierno mexicano (08-03-2023) y con el cual se inicia el ataque.
El archivo Word muestra un mensaje que indica que se debe activar la edición y el contenido para poder visualizar el documento, sin embargo, esto es un engaño para que el usuario desactive las protecciones y Emotet pueda continuar su flujo de infección.
Entonces, la macro maliciosa inicia la descarga e instalación de la DLL de Emotet (en segundo plano) desde alguno de los sitios comprometidos configurados en cada documento.
Finalmente, el malware se comunica hacia los C2 para enviar información y recibir instrucciones.
Recomendaciones de Seguridad
- Mantenga el software actualizado (MS Office, Antivirus, Sistema Operativo, etc).
- Mantenga una postura escéptica y desconfíe de mensajes sospechosos.
- No abra correos ni descargue adjuntos de remitentes desconocidos o correos no solicitados.
- No siga links desde mensajes de redes sociales o sitios no oficiales, siempre escriba usted mismo la página en el navegador.
- Manténgase informado de las últimas amenazas y riesgos en Internet.
- Ante cualquier anormalidad en el equipo reporte de inmediato a la mesa de ayuda.
- Realice un bloqueo preventivo de los Indicadores de Compromiso (Antispam, Firewall, Webfilter, Antivirus, etc).
Referencias
- https://twitter.com/Cryptolaemus1/status/1633099154623803394
- https://twitter.com/Unit42_Intel/status/1633238684278591489
- https://twitter.com/Max_Mal_/status/1633102894328168448
- https://twitter.com/Max_Mal_/status/1633863678909874176
- https://www.cronup.com/?s=emotet
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
