A Netskope identificou quase mil documentos maliciosos do Excel espalhados por e-mail (phishing) ao longo de 12 dias apenas no mês de junho. Esses arquivos contêm o malware Emotet, que se tornou popular por seu potencial de ameaça, capaz de invadir dispositivos e roubar dados desde redes domésticas, até grandes empresas e instituições de governo.
A análise completa desta campanha do Emotet foi divulgada por Gustavo Palazolo, engenheiro de Pesquisas de Ameaças da equipe do Netskope Threat Labs e pode ser acessada na íntegra.
A Netskope já havia analisado a campanha do Emotet em abril deste ano, detectando que os cibercriminosos usavam arquivos de atalho do Windows (LNK) em vez de documentos do Microsoft Office, provavelmente como resposta às proteções lançadas pela Microsoft em 2022 para mitigar os ataques, desabilitando por padrão as macros do Excel 4.0 (XLM) e VBA (Visual Basic for Applications).
Nesta semana, a equipe identificou centenas de documentos maliciosos do Office usados para baixar e executar o Emotet, indicando que alguns cibercriminosos ainda utilizam os métodos antigos. Mesmo com a proteção da Microsoft, esse ataque ainda é viável pois muitos usuários utilizam versões desatualizadas do Office e/ou alteraram a configuração padrão para habilitar macros. O fato de os cibercriminosos ainda usarem macros do Excel 4.0 indica que as versões desatualizadas do Office e usuários com a proteção da Microsoft desabilitada ainda são comuns.
Ao pesquisar arquivos semelhantes no VirusTotal, um serviço online gratuito que analisa arquivos e URLs, a Netskope encontrou 776 planilhas maliciosas enviadas entre 9 e 21 de junho de 2022, que utilizam as macros do Excel 4.0 (XLM) para baixar e executar a carga maliciosa do Emotet. A maioria dos arquivos compartilha as mesmas URLs e alguns metadados. Foram extraídas 18 URLs das 776 amostras e quatro delas ainda estavam online e distribuindo o malware.
