Het Emotet-botnet is na een stilte van vijf maanden weer actief met een nieuwe spamcampagne, zo melden Microsoft en verschillende securitybedrijven. Emotet is een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren, wachtwoorden steelt en zelf zeer lastig te verwijderen is.

Om zich te verspreiden maakt Emotet gebruik van e-mails die als bijlage doc-bestanden met kwaadaardige macro's bevatten. Zodra de ontvanger van de e-mail de macro's in het document inschakelt wordt Emotet geïnstalleerd en zal vervolgens proberen om andere machines in het netwerk te infecteren.

Emotet kan aanvullende malware downloaden en was verantwoordelijk voor een aantal zeer ernstige ransomware-uitbraken bij grote organisaties. Onder andere de Ryuk-ransomware zou via initiële Emotet-infecties binnen bedrijven worden verspreid. Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, bestempelde Emotet eerder al tot de gevaarlijkste malware ter wereld. Het is niet voor het eerst dat Emotet een "break" neemt. Vorig jaar verstuurde het botnet gedurende een periode van vier maanden geen malafide mails.

De nieuwe spamcampagne, die volgens securitybedrijf Proofpoint meer dan 250.000 e-mails telt, maakt gebruik van dezelfde tactieken die Emotet eerder toepaste. De e-mails hebben als onderwerp "RE:" en "Invoice" gevolgd door een willekeurig getal. Daarnaast is er een .doc-document met een kwaadaardige macro meegestuurd.

"We hebben tot nu toe in tienduizenden e-mails in deze campagne honderden unieke bijlagen en links gezien. De download-url wijst meestal naar gecompromitteerde websites, een kernmerk van de Emotet-operatie", aldus Microsoft.

Net als bij vorige bijlagen krijgt de ontvanger in het doc-document instructies om macro's in te schakelen, waarna Emotet op het systeem wordt geïnstalleerd. Eenmaal actief downloadt en installeert Emotet aanvullende modules om wachtwoorden te stelen, e-mails te verzamelen en zichzelf naar andere machines in het lokale netwerk te verspreiden.