Hem diğer cihazlara saldırılar için kullanılan virüslü cihazlardan oluşan kontrollü bir ağ olan botnet, hem de virüslü cihazlardan genellikle finansla ilgili farklı türde verileri çalabilen kötü amaçlı bir yazılım olan Emotet, deneyimli tehdit aktörleri tarafından işletilerek siber suç dünyasının en büyük oyuncularından biri haline geldi.
Emotet, Ocak 2021’de farklı ülkelerden katılan kolluk kuvvetlerinin ortak çabaları sonucunda kapatıldı. Ancak Kasım 2021’de botnet geri döndü ve o zamandan beri etkinliğini kademeli olarak artırıyor. Önce farklı bir bot ağı olan Trickbot üzerinden iletilen botnet ağı, şimdi ise kötü niyetli spam kampanyaları aracılığıyla kendi kendine yayılıyor.
Şubat 2022’de 2 bin 843 olan kurban sayısının Mart ayında 9 bin 086’ya yükseldiğini ve üç katından fazla sayıda kullanıcının saldırıya uğradığını gösteriyor. Tespit ettiği saldırı sayısı Şubat 2022’de 16 bin 897 iken Mart’ta 48 bin 597’ye yükseldi.
Tipik bir Emotet bulaşması, kötü amaçlı bir makro içeren Microsoft Office eklerinin istenmeyen e-postalarla gönderilmesiyle başlıyor. Saldırganlar bu makroyu kullanarak bir modül yükleyiciyi bırakmak ve çalıştırmak için kötü niyetli bir PowerShell komutu başlatabiliyor. Bu komut daha sonra modülleri indirmek ve başlatmak için bir komuta ve kontrol sunucusuyla iletişim kurabiliyor. Bu modüller, virüslü cihazda çeşitli farklı görevler gerçekleştirebiliyor.
Kaspersky araştırmacıları, çoğu geçmişte Emotet tarafından şu veya bu şekilde kullanılmış olan 16 modülden 10’unu analiz etti. Buna göre Emotet’in mevcut sürümü virüslü cihazların ağda saldırıyı yaymasına zemin hazırlıyor, Thunderbird ve Outlook uygulamalarından e-postaları ve e-posta adreslerini çalabiliyor, Internet Explorer, Mozilla Firefox, Google Chrome gibi popüler web tarayıcılarından şifreleri toplayabiliyor ve otomatik spam kampanyaları oluşturabiliyor.