Er is een nieuwe versie van de Emotet-malware ontdekt die e-mailbijlagen van slachtoffers gebruikt voor nieuwe aanvallen, alsmede contactlijsten steelt. Naast nieuwe besmettingen kan dit ook tot datalekken leiden. Emotet is een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren, wachtwoorden steelt en zelf zeer lastig te verwijderen is.

Om zich te verspreiden maakt Emotet gebruik van e-mails die als bijlage doc-bestanden met kwaadaardige macro's bevatten. Zodra de ontvanger van de e-mail de macro's in het document inschakelt wordt Emotet geïnstalleerd en zal vervolgens proberen om andere machines in het netwerk te infecteren. Emotet kan aanvullende malware downloaden en was verantwoordelijk voor een aantal zeer ernstige ransomware-uitbraken bij grote organisaties.

Onder andere de Ryuk-ransomware zou via initiële Emotet-infecties binnen bedrijven worden verspreid. Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, bestempelde Emotet eerder al tot de gevaarlijkste malware ter wereld.

Vorig jaar werd er een versie ontdekt die meelifte op eerdere e-mails van al geïnfecteerde slachtoffers om zo nieuwe slachtoffers te maken. Zo werd de inhoud van het oorspronkelijke bericht aan de kwaadaardige e-mail toegevoegd, aangevuld met een tekst en link die naar de malware wijst. De nieuwe versie maakt nu ook gebruik van e-mailbijlagen van eerdere e-mails.

Die worden naar nieuwe slachtoffers gestuurd, aangevuld met een link die naar een document met de Emotet-malware wijst, zo melden beveiligingsonderzoeker Marcus Hutchins en securitybedrijf Cofense. Tevens kan de nieuwe versie ook e-mailcontent en contactlijsten stelen. Door het toevoegen van bijlagen zou het bericht authentieker moeten overkomen. Ook zou het detectie van malafide e-mails lastiger maken. Het gebruik van e-mailbijlagen van slachtoffers kan daarnaast tot datalekken leiden, aangezien aanvallers hier toegang toe hebben gehad en die bij personen terecht kunnen komen voor wie ze niet bedoeld zijn.

Vorige week werd bekend dat het Emotet-botnet na een periode van vijf maanden weer actief was geworden. De documenten waarvan Emotet gebruikmaakt bevatten instructies voor de ontvanger om macro's in te schakelen, waarna Emotet op het systeem wordt geïnstalleerd. Eenmaal actief installeren de nieuwe Emotet-versies een exemplaar van de Qakbot.