Il 27 gennaio Europol ha annunciato che Emotet è stato smantellato. Le forze dell’ordine di Paesi Bassi, Germania, Stati Uniti, Regno Unito, Francia, Lituania, Canada e Ucraina hanno preso il controllo della sua infrastruttura in un’operazione coordinata da Europol ed Eurojust. Per anni Emotet è stato il malware più temuto dalle aziende, la porta d’ingresso di molte delle peggiori infezioni ransomware.
Era nato nel 2014 come trojan bancario, ma col tempo era diventato un servizio di distribuzione per altri criminali. Arrivava con email credibili, spesso risposte a conversazioni reali rubate da caselle già infette, con allegati Word che chiedevano di attivare le macro. Una volta installato si diffondeva nella rete locale e usava il PC per inviare nuove email. Soprattutto, vendeva l’accesso alle macchine infette ad altri gruppi, che vi installavano TrickBot, QakBot e infine ransomware come Ryuk.
Centinaia di server di comando sparsi per il mondo rendevano la rete molto resistente. Per questo l’operazione ha colpito tutta l’infrastruttura insieme; i server principali si trovavano nei Paesi Bassi.
Un aggiornamento firmato dalla polizia
Gli investigatori non si sono limitati a spegnere i server. Hanno usato il canale di aggiornamento di Emotet per inviare alle macchine infette una nuova configurazione, che le fa comunicare con server controllati dalla polizia tedesca, e un modulo che disinstallerà il malware il 25 aprile alle 12, ora locale di ogni computer. Per una volta, l’aggiornamento automatico che arriva sui PC infetti è quello buono. Le autorità olandesi, intanto, hanno raccolto un archivio di indirizzi email rubati che chiunque può consultare per verificare se il proprio è coinvolto.
La rimozione non chiude il conto
Chi era infetto da Emotet ha quasi sempre ricevuto anche altri malware, che non spariranno ad aprile. Se nei mesi scorsi hai avuto un’infezione, cerca nei sistemi TrickBot, QakBot e Cobalt Strike, e cambia le password salvate nei browser e nei client di posta. Verifica il tuo indirizzo nell’archivio della polizia olandese. Blocca con i criteri di gruppo le macro di Office provenienti da Internet: sono state il vettore principale di Emotet e restano quello di molti altri. E insegna a diffidare anche delle risposte a conversazioni vere quando l’allegato è inatteso: una telefonata al mittente costa meno di un ripristino.
Chi stava dietro Emotet non è stato fermato del tutto. La guardia resta alzata.
