{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"","closed_at":"2021-02-09","content":"<strong>[mise \u00e0 jour du 22 septembre 2020]</strong>\n\nL'ensemble des \u00e9chantillons obtenus par l'ANSSI jusqu'\u00e0 maintenant a permis de comparer ces derniers avec les listes de marqueurs en sources ouvertes r\u00e9f\u00e9renc\u00e9s dans la section \"Moyens de d\u00e9tection relatifs \u00e0 Emotet\".\n\nLa fiabilit\u00e9 de ces flux a \u00e9t\u00e9 assur\u00e9e et nous vous encourageons \u00e0 les int\u00e9grer dans vos syst\u00e8mes de d\u00e9tection.\n\nContrairement aux recommandations indiqu\u00e9es dans la version pr\u00e9c\u00e9dente de cette alerte, il n'est donc plus n\u00e9cessaire de nous faire parvenir vos \u00e9chantillons.\n<p class=\"western\"><b>[version initiale]</b></p>\n<p class=\"western\"><b>Depuis quelques jours, l\u2019ANSSI constate un ciblage d\u2019entreprises et administrations fran\u00e7aises par le code malveillant Emotet. Il convient d\u2019y apporter une attention particuli\u00e8re car Emotet est d\u00e9sormais utilis\u00e9 pour d\u00e9poser d\u2019autres codes malveillants susceptibles d\u2019impacter fortement l\u2019activit\u00e9 des victimes.</b></p>\n\n<h3 class=\"western\">Caract\u00e9ristiques du cheval de Troie Emotet</h3>\n<p class=\"western\" align=\"justify\">Observ\u00e9 pour la premi\u00e8re fois mi-2014 en tant que cheval de Troie bancaire, Emotet a \u00e9volu\u00e9 pour devenir un cheval de Troie modulaire. Ses diff\u00e9rents modules actuels lui permettent :</p>\n\n<ul>\n \t<li>\n<p align=\"justify\">de r\u00e9cup\u00e9rer les mots de passe stock\u00e9s sur un syst\u00e8me ainsi que sur plusieurs navigateurs (Internet Explorer, Mozilla Firefox, Google Chrome, Safari, Opera) et bo\u00eetes courriel (Microsoft Outlook, Windows Mail, Mozilla Thunderbird, Hotmail, Yahoo! Mail et Gmail) ;</p>\n</li>\n \t<li>\n<p align=\"justify\">de d\u00e9rober la liste de contacts, le contenu et les pi\u00e8ces jointes attach\u00e9es \u00e0 des courriels ;</p>\n</li>\n \t<li>\n<p align=\"justify\">de se propager au sein du r\u00e9seau infect\u00e9 en tirant parti de vuln\u00e9rabilit\u00e9s SMB ainsi que des mots de passe r\u00e9cup\u00e9r\u00e9s.</p>\n</li>\n</ul>\n<p class=\"western\" align=\"justify\">Le code malveillant est distribu\u00e9 par le botnet \u00e9ponyme (lui-m\u00eame compos\u00e9 de trois groupements de serveurs diff\u00e9rents Epoch 1, Epoch 2, Epoch 3, op\u00e9r\u00e9s par le groupe cybercriminel TA542) au travers de <b>campagnes massives de courriels d\u2019hame\u00e7onnage</b>, souvent parmi les plus volumineuses r\u00e9pertori\u00e9es. Ces courriels d\u2019hame\u00e7onnage contiennent g\u00e9n\u00e9ralement des pi\u00e8ces jointes Word ou PDF malveillantes, et plus rarement des URL pointant vers des sites compromis ou vers des documents Word contenant des macros.</p>\n<p class=\"western\" align=\"justify\"><b>Ces campagnes d\u2019attaques touchent tous types de secteurs d\u2019activit\u00e9s \u00e0 travers le monde.</b></p>\n\n<h3 class=\"western\">Emotet : loader de codes malveillants tiers</h3>\n<p class=\"western\" align=\"justify\">Depuis 2017, Emotet n\u2019est plus utilis\u00e9 en tant que cheval de Troie bancaire mais distribue, fr\u00e9quemment au sein des syst\u00e8mes d\u2019information qu\u2019il infecte, des codes malveillants op\u00e9r\u00e9s par des groupes d\u2019attaquants qui sont clients de TA542. Par exemple, les chevaux de Troie bancaires Qbot, Trickbot, IcedID, GootKit, BokBot, Dridex et DoppelDridex peuvent \u00eatre distribu\u00e9s en tant que seconde charge utile, avec une pr\u00e9dominance en 2020 de Qbot et TrickBot.</p>\n<p class=\"western\" align=\"justify\">En outre, ces derniers peuvent t\u00e9l\u00e9charger des ran\u00e7ongiciels au sein du syst\u00e8me d\u2019information compromis. C\u2019est par exemple le cas de TrickBot auquel il arrive de t\u00e9l\u00e9charger les ran\u00e7ongiciels Ryuk ou Conti.</p>\n<p class=\"western\" align=\"justify\"><b>Ainsi, la d\u00e9tection et le traitement au plus t\u00f4t d\u2019un \u00e9v\u00e8nement de s\u00e9curit\u00e9 li\u00e9 \u00e0 Emotet peut pr\u00e9venir de nombreux types d\u2019attaques, dont celles par ran\u00e7ongiciel avant le chiffrement.</b></p>\n\n<h3 class=\"western\">Recrudescence des campagnes d\u2019attaque durant le second semestre 2020</h3>\n<p class=\"western\" align=\"justify\">Apr\u00e8s une absence de cinq mois, Emotet a refait surface en juillet 2020. Depuis, nombre de ses campagnes d\u2019hame\u00e7onnage exploitent une technique de d\u00e9tournement des fils de discussion des courriels (<i>email thread hijacking technique</i>).</p>\n<p class=\"western\" align=\"justify\">Une fois la bo\u00eete courriel d\u2019un employ\u00e9 de l\u2019entit\u00e9 victime (ou la bo\u00eete courriel g\u00e9n\u00e9rique de l\u2019entit\u00e9 elle-m\u00eame) compromise, le code malveillant Emotet exfiltre le contenu de certains de ses courriels. Sur la base de ces derniers, les attaquants produisent des courriels d\u2019hame\u00e7onnage prenant la forme d\u2019une r\u00e9ponse \u00e0 une cha\u00eene de courriels \u00e9chang\u00e9s entre l\u2019employ\u00e9 et des partenaires de l\u2019entit\u00e9 pour laquelle il travaille. L\u2019objet l\u00e9gitime du courriel d\u2019hame\u00e7onnage est alors pr\u00e9c\u00e9d\u00e9 d\u2019un ou plusieurs \u00ab Re : \u00bb, et le courriel lui-m\u00eame contient l\u2019historique d\u2019une discussion, voire m\u00eame des pi\u00e8ces jointes l\u00e9gitimes.</p>\n<p class=\"western\" align=\"justify\">Ces courriels, d\u2019apparence l\u00e9gitime, sont envoy\u00e9s \u00e0 des contacts de la victime, et plus particuli\u00e8rement aux tierces parties de l\u2019entit\u00e9 (clients et prestataires notamment) ayant particip\u00e9 au fil de discussion originel, afin d\u2019accro\u00eetre leur cr\u00e9dibilit\u00e9 aupr\u00e8s des destinataires.</p>\n<p class=\"western\" align=\"justify\">Outre cette technique, TA542 construit \u00e9galement des courriels d\u2019hame\u00e7onnage sur la base d\u2019informations r\u00e9cup\u00e9r\u00e9es lors de la compromission des bo\u00eetes courriel, qu\u2019il envoie aux listes de contact exfiltr\u00e9es, ou usurpent plus simplement l\u2019image d\u2019entit\u00e9s, victimes pr\u00e9alables d\u2019Emotet ou non (soci\u00e9t\u00e9s de transport, de t\u00e9l\u00e9communication ou encore institutions financi\u00e8res).</p>\n<p class=\"western\" align=\"justify\">Dans tous les cas, il appara\u00eet que les bo\u00eetes courriel compromises ne sont pas utilis\u00e9es pour envoyer des courriels d\u2019hame\u00e7onnage mais que ces derniers sont envoy\u00e9s depuis l\u2019infrastructure des attaquants sur la base d\u2019<b>adresses courriel exp\u00e9ditrices</b> <b>souvent</b> <b>typosquatt\u00e9es</b>.</p>\n<p class=\"western\" align=\"justify\"><b>La France repr\u00e9sente une cible des campagnes r\u00e9centes d\u2019Emotet.</b></p>\n\n<h2> SOLUTION </h2>\n<h3 class=\"western\">Moyens de d\u00e9tection relatifs \u00e0 Emotet</h3>\n<p class=\"western\" align=\"justify\">Plusieurs flux existent contenant des indicateurs de compromission actualis\u00e9s relatifs \u00e0 Emotet, ce code faisant l\u2019objet de nombreuses investigations dans les secteurs public et priv\u00e9. Parmi ces flux, <span style=\"color: #0000ff;\"><u><a href=\"https://paste.cryptolaemus.com/\">https://paste.cryptolaemus.com/</a></u></span> et <span style=\"color: #0000ff;\"><u><a href=\"https://feodotracker.abuse.ch/browse/\">https://feodotracker.abuse.ch/browse/</a></u></span> repr\u00e9sentent des <b>sources fiables qu\u2019il est recommand\u00e9 d\u2019int\u00e9grer dans ses moyens de d\u00e9tection et de blocage.</b></p>\n<p class=\"western\">A noter aussi :</p>\n\n<ul>\n \t<li>Les chercheurs de Cryptolaemus fournissent notamment des expressions r\u00e9guli\u00e8res permettant de d\u00e9tecter des liens utilis\u00e9s dans les courriels malveillants. Ils sont disponibles dans les bulletins quotidiens de l\u2019\u00e9quipe de chercheurs, dans le paragraphe \u00ab Link Regex Report \u00bb.</li>\n</ul>\n<ul>\n \t<li>Des r\u00e8gles de d\u00e9tection YARA d\u2019Emotet ont \u00e9t\u00e9 produites par ReversingLabs : <span style=\"color: #0000ff;\"><u><a href=\"https://github.com/reversinglabs/reversinglabs-yara-rules/blob/develop/yara/trojan/Win32.Trojan.Emotet.yara\"><span style=\"color: #000000;\">https://github.com/reversinglabs/reversinglabs-yara-rules/blob/develop/yara/trojan/Win32.Trojan.Emotet.yara</span></a></u></span>.</li>\n \t<li>Emocheck, un outil cr\u00e9\u00e9 par le CERT japonais, permet de d\u00e9tecter la pr\u00e9sence du trojan Emotet sur une machine Windows. Emotet utilisant un dictionnaire pr\u00e9d\u00e9fini pour le nom de ses processus, ce programme v\u00e9rifie si un programme en cours d\u2019ex\u00e9cution correspond \u00e0 ce dictionnaire pr\u00e9cis. L\u2019outil est disponible en source ouverte : <span style=\"color: #0000ff;\"><u><a href=\"https://github.com/JPCERTCC/EmoCheck\"><span style=\"color: #000000;\">https://github.com/JPCERTCC/EmoCheck</span></a></u></span>.</li>\n</ul>\n<h3 class=\"western\">Recommandations</h3>\n<p class=\"western\">Sensibiliser les utilisateurs \u00e0 ne pas activer les macros dans les pi\u00e8ces jointes et \u00e0 \u00eatre particuli\u00e8rement attentifs aux courriels qu\u2019ils re\u00e7oivent et r\u00e9duire l\u2019ex\u00e9cution des macros.</p>\n<p class=\"western\">Limiter les acc\u00e8s Internet pour l\u2019ensemble des agents \u00e0 une liste blanche contr\u00f4l\u00e9e.</p>\n<p class=\"western\">D\u00e9connecter les machines compromises du r\u00e9seau sans en supprimer les donn\u00e9es.</p>\n<p class=\"western\">De mani\u00e8re g\u00e9n\u00e9rale, une suppression / un nettoyage par l\u2019antivirus n\u2019est pas une garantie suffisante. Seule la r\u00e9installation de la machine permet d\u2019assurer l\u2019effacement de l\u2019implant.</p>","cves":[],"links":[{"title":"Malwarebytes \u2013 2019","url":"https://www.malwarebytes.com/emotet/)"},{"title":"Bleeping Computer \u2013 juillet 2020","url":"https://www.bleepingcomputer.com/news/security/emotet-malware-now-steals-your-email-attachments-to-attack-contacts/"},{"title":"Cofense \u2013 avril 2019","url":"https://cofense.com/emotet-gang-switches-highly-customized-templates-utilizing-stolen-email-content-victims/"},{"title":"Proofpoint \u2013 ao\u00fbt 2020","url":"https://www.proofpoint.com/us/blog/threat-insight/comprehensive-look-emotets-summer-2020-return"},{"title":"US-CERT \u2013 janvier 2020","url":"https://us-cert.cisa.gov/ncas/alerts/TA18-201A"},{"title":"JP CERT \u2013 d\u00e9cembre 2019","url":"https://www.jpcert.or.jp/english/at/2019/at190044.html"}],"reference":"CERTFR-2020-ALE-019","revisions":[{"description":"Version initiale","revision_date":"2020-09-07T00:00:00.000000"},{"description":"Mise \u00e0 jour","revision_date":"2020-09-22T00:00:00.000000"},{"description":"retrait de la mention sur la transmission des \u00e9chantillons","revision_date":"2020-09-22T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte.","revision_date":"2021-02-09T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"","title":"Recrudescence d'activit\u00e9 Emotet en France","vendor_advisories":[{"published_at":"2019-05-15","title":"Article Proofpoint ","url":"https://www.proofpoint.com/us/threat-insight/post/threat-actor-profile-ta542-banker-malware-distribution-service"}]}