Comment Emotet est-il devenu le malware le plus dangereux au monde ?

Après avoir été démantelé dans une opération réalisée par plusieurs pays en janvier, Emotet est semble-t-il de retour. Pourquoi ce malware est-il si redouté ? Quelles étaient ses actions avant son arrêt ? Pourquoi était-il considéré comme le malware le plus dangereux au monde ?

Détecté en 2014, Emotet a connu plusieurs évolutions avant de devenir le malware redouté et redoutable qui a semé la destruction. Il se distinguait particulièrement par sa capacité à échapper à la détection, à se modifier constamment, à obtenir des informations et à les utiliser intelligemment dans des campagnes automatisées, ainsi que par son utilisation en tant que malware-as-a-service, dont les services étaient loués à d’autres attaquants pour distribuer leurs propres malwares et ransomwares.

Du trojan bancaire au dropper

#VariantDelta

Emotet a été détecté pour la première fois en 2014. À cette époque, il était utilisé comme un cheval de Troie bancaire visant principalement des banques allemandes, autrichiennes et suisses. Il se contentait de récupérer des informations bancaires en interceptant le trafic Internet, avant de rapidement ajouter la possibilité de faire des transferts d’argent automatiquement à son arsenal, lui permettant de viser des comptes clients directement. Avec sa troisième version, le malware était capable de rester dissimulé sur les systèmes, ce qui lui permit d’étendre son champ d’attaque.

Mais Emotet a réellement commencé à faire parler de lui en 2017, avec l’évolution de son utilisation. En plus de conserver sa capacité à récupérer des informations, le malware est devenu ce qu’on appelle un dropper. Il était désormais capable de distribuer des malwares supplémentaires. Ses créateurs lui aussi ont ajouté des fonctionnalités lui permettant de se comporter comme un ver informatique. Il se propageait sur les réseaux auxquels étaient connectés les ordinateurs de ses victimes et utilisait le bruteforce pour trouver des mots de passe et accéder à d'autres systèmes. À partir de ce moment-là, Emotet est passé de « simple » trojan bancaire à menace sérieuse.   

Le « malware le plus dangereux au monde »

- Alors comme ça t'as été élu l'homme le plus classe du monde ?

Dans sa nouvelle version, Emotet était utilisé de deux façons. En tant que malware classique, afin de gagner un accès persistant pour récupérer des informations sensibles comme des mots de passe, les listes de contacts d'adresses mail, le contenu des mails et les pièces jointes envoyés par ses victimes, et pour continuer à se propager dans le réseau. Mais il était également utilisé comme malware-as-a-service. Une fois un accès obtenu, Emotet pouvait télécharger et installer d'autres malwares, dans un principe de "vente" de l'accès récupéré à d'autres acteurs malveillants. Si de nombreux trojans différents ont été propagés de cette façon au cours des années d’activité d’Emotet, deux d’entre eux étaient particulièrement utilisés et redoutés : TrickBot et QBot.

Ces deux trojans bancaires possèdent comme Emotet la capacité de se déplacer latéralement sur un réseau et de récupérer des informations confidentielles à utiliser dans de futures campagnes. Mais ils sont également utilisés comme dropper, cette fois pour distribuer des ransomwares. TrickBot est connu pour distribuer les ransomwares Ryuk et Conti, tandis que Qbot propageait ProLock.

Pour résumer, être infecté par Emotet signifiait que tous les appareils du réseau pouvaient être compromis, que des informations étaient récupérées aussi bien par le malware que par ceux qu’il propageait et qu’un ransomware pouvait être installé sur le système. Certains appareils étaient en plus ajoutés à un botnet et utilisés dans des campagnes d’hameçonnage importantes pour infecter de nouvelles machines. On peut également souligner sa capacité à éviter la détection par les logiciels antivirus grâce à la modification constante son code. Emotet méritait donc bien son surnom de « malware le plus dangereux au monde ».

Une distribution massive et personnalisée

- La famille ça va ?
- Ça va, ça va, Emotet…

Emotet était distribué lors de campagnes d’hameçonnage, sous la forme d’un document Word, d’un PDF ou d’un téléchargement à effectuer sur un site. À partir d’avril 2019, le malware a commencé à utiliser les informations récupérées auparavant, notamment celles ayant trait aux emails, et a lancé des campagnes d’hameçonnage agressives, en utilisant une technique connue sous le nom de détournement de fils de discussions par email.

À l’aide des contacts et fils de discussions récupérés précédemment, Emotet a pu automatiser la création de mails de phishing plus personnalisés. Ces mails se faisaient passer pour une réponse à un fil précédent entre la victime et l’un de ses contacts, en mettant dans le corps du mail les anciennes discussions récupérées lors de l’attaque et en gardant le même sujet de mail auquel était ajouté le préfix "Re:". Dans certains cas, les anciennes pièces jointes étaient également ajoutées pour plus de légitimité. Cependant, ces mails n’étaient pas envoyés à partir de l’adresse mail compromise mais à partir de l’infrastructure des attaquants et d’adresses créées pour l’occasion et typosquattées.

Pour envoyer ces mails, Emotet pouvait s’appuyer sur son immense réseau d’ordinateurs infectés, qui lui permettait de mener des campagnes massives pouvant aller jusqu’à 250 000 messages envoyés par jour, comme détecté en juillet 2020. Aussi bien des entreprises et des organisations que des particuliers en étaient victimes et ce, dans le monde entier.

La fin et le retour d’Emotet

Emotet : resurrections

Le 27 janvier 2021, Europol a annoncé avoir réussi à prendre le contrôle du botnet Emotet grâce à une action internationale coordonnée entre les autorités de plusieurs pays, dont la France. En dirigeant désormais l’infrastructure, les autorités ont empêché l’installation de malwares supplémentaires et ont pu distribuer massivement un nouveau module aux ordinateurs infectés pour désinstaller automatiquement Emotet le 25 avril 2021.

Mais si Emotet avait pu être stoppé, TrickBot continuait ses activités. Le 15 septembre 2021, des signes de regain d’activité d’Emotet ont été repérés par Cryptolaemus, un groupe de chercheurs spécialisé dans la lutte contre le malware. Cette fois, à l’inverse de ce qui avait pu se faire dans le passé, TrickBot est utilisé pour distribuer une version améliorée d’Emotet, et tenter de reconstruire le botnet. L’activité reste pour le moment discrète mais de nouveaux documents infectés commencent à être propagés. Si l’infrastructure d’Emotet arrive à être reconstruite, plusieurs spécialistes, dont Vitali Kremez d’Advanced Intel, préviennent que les infections par des ransomwares risquent de se faire beaucoup plus nombreuses. Le 15 novembre, plus de 246 appareils avaient déjà été infectés.