Emotet hat – wie von Security-Experten bereits befürchtet – wieder hinzugelernt. Die Schadsoftware erstellt nun auch authentische Antworten auf bestehende E-Mails wie CERT-Bund via Twitter berichtete. So verleitet sie arglose Empfänger dazu, infizierte Anhänge zu öffnen oder auf gefälschte Links zu klicken. Unternehmen haben aber trotzdem noch Möglichkeiten, gegenzusteuern.  

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in der Vergangenheit bereits mehrfach vor der Schadsoftware Emotet gewarnt. Die Malware verschickt Spam-Mails aus dem eigenen E-Mail-Programm eines Betroffenen an die Kontakte im Adressbuch, um sich weiterzuverbreiten, und wirkt dadurch besonders glaubwürdig. Einmal infiziert, lädt der Schädling weitere Malware nach. Mögliche Folgen für Unternehmen: Produktionsstopps, komplett ausfallende Infrastrukturen und wiederaufzubauende Unternehmensnetzwerke.

Wie von Security-Experten befürchtet, haben Hacker die Schadsoftware nun weiterentwickelt, wie CERT-Bund twitterte: Emotet nutzt nun nicht mehr nur die Absenderadressen, sondern produziert mithilfe ausgelesener Nachrichteninhalte gefälschte Antworten auf E-Mails und bettet authentisch wirkende Links auf die Domain des vermeintlichen Versenders ein. Die Malware macht sich damit die Technik des sogenannten „Spear Phishing“ zunutze. Hier werden Informationen über die Kontakte und das Kommunikationsverhalten des Opfers gesammelt, um eine möglichst authentische E-Mail mit Schadcode im Dateianhang zu erstellen. Emotet hat diesen Prozess automatisiert und ist dadurch in der Lage, viele authentische E-Mails in kurzer Zeit zu verschicken und sich schnell zu verbreiten. Doch trotzdem die Schadsoftware immer raffinierter vorgeht, haben Unternehmen noch die Möglichkeit, zu handeln und sich davor zu schützen.

Unternehmen haben Handlungsmöglichkeiten und sollten sie nutzen

Betrachtet man den Aufbau von Emotet genauer, ergeben sich etwa auf technischer Ebene Ansatzpunkte, um sich vor einem Angriff zu schützen. Denn der Ablauf der Infektion nutzt eine Reihe von Elementen, die eine resiliente Infrastruktur mit einer flexiblen und präventiv ausgerichteten Sicherheitsarchitektur nicht aus dem Tritt bringen kann. So überträgt sich die Infektion nicht sofort, wenn der E-Mail-Empfänger einen Anhang öffnet, sondern erst, wenn er auch die zugehörigen Makros in der angehängten Datei, etwa einem Word-Dokument, ausführt. Das bedeutet: Bei üblichen MS-Office-Einstellungen muss ein Mitarbeiter die Schadsoftware im Anhang manuell aktivieren, um sie auf das Netzwerk zu übertragen.

Die meisten Mitarbeiter benötigen Makros für das normale Tagesgeschäft jedoch nicht. Daher empfiehlt es sich, diese standardmäßig vollständig zu deaktivieren, also auch das manuelle Ausführen durch entsprechende Rechtevergabe zu unterbinden. Ein gutes Schwachstellen-Management-Tool kann hier helfen und scannen, welche Benutzer-Accounts das Ausführen von Makros erlauben. Gleiches gilt für PowerShell- beziehungsweise Administratoren-Rechte, denn momentan sind auch diese notwendig, um Emotet überhaupt zu laden.

Nachladen von Emotet-Tools erkennen

Auch wenn Emotet das IT-System bereits infiziert hat, gibt es noch Verteidigungsmaßnahmen. So lädt die Schadsoftware verschiedene Tools nach, um etwa Zugangsdaten auszuspionieren oder Daten zu verschlüsseln. Diese Standard-Tools können so als Indicators of Compromise genutzt werden. Ob nachgeladene Emotet-Tools in der eigenen IT-Infrastruktur aktiv sind, lässt sich ebenfalls mithilfe eines Schwachstellen-Management-Tools, wie dem Greenbone Security Manager, erkennen.

Emotet verteilt sich vom infizierten System aus auch über die sogenannte SMB-Schwachstelle. Diese ist bereits aus den WannaCry- und Eternal-Blue-Angriffen bekannt und lässt sich über das entsprechende Update schließen. Viele Unternehmen haben nach dem WannaCry-Ausbruch ihre Netze von außen unzugänglich für die SMB-Kommunikation gemacht, aber nicht die interne Kommunikation. Hier ist eine Prüfung auf die entsprechenden Schwachstellen das Mittel der Wahl, um noch offene Systeme zu finden und die Lücke zu schließen.

Fazit: Kleine Security-Maßnahmen haben große Wirkung

Besonders für kritische Infrastrukturen (KRITIS) wie Krankenhäuser können großflächige Computerausfälle durch die Schadsoftware Emotet katastrophale Folgen haben – und nicht nur wirtschaftliche Schäden nach sich ziehen, sondern auch eine Gefahr für den Menschen darstellen. Unternehmen sollten also jetzt handeln und ihre IT-Infrastrukturen bestmöglich schützen. Um widerstandsfähig gegen Phishing-Attacken mit fortschrittlicher Malware wie den neuen Emotet-Typus zu werden, reichen oft wenige koordinierte Maßnahmen, wie etwa nicht benötigte Makros zu deaktivieren und bereits bekannte Schwachstellen so schnell wie möglich zu schließen.