Emotet ha vuelto: Cómo detener el malware a través de la gestión de los endpoints

Tras meses manteniéndose en la sombra, Emotet volvió a irrumpir en la prensa internacional este agosto con una nueva oleada de ataques a empresas. Pero ¿qué es Emotet exactamente? Y ¿cómo puede afectar a su organización? Es más, en vista de este último rebrote, ¿cómo puede proteger y defender su infraestructura de IT de este malware?

Con el objetivo de sensibilizar un poco más sobre este malware que no para de acaparar titulares, vamos a analizar la forma en la que este opera y después propondremos algunas técnicas de remediación claves que pueden ayudar a proteger su empresa.

¿Qué es el malware Emotet?

Al principio, Emotet era un malware troyano bancario que comenzó a realizar ataques en 2014 y, por lo que hemos podido ver, continúa causando estragos. Se puede encontrar a Emotet en otros tipos de malware, como el ransomware, ya que, para tener una mayor repercusión, se pueden incluir otros programas en él. De hecho, una de las cuestiones que hace que esta oleada de malware sea particularmente única es que, tras afectar al ordenador, un binario incrustado muestra el comportamiento de otros tipos de malware como el ransomware, los CryptoLocker y los wipers, y puede llegar a infligir un daño aún mayor al objetivo.

Los troyanos bancarios son softwares complejos que pueden extraer datos de usuarios de diferentes formas:

• Registro del teclado: útil para guardar las contraseñas en sitios web sensibles
• Grabación de pantalla: para obtener una contraseña introducida con un teclado virtual, como suelen utilizar los sitios web de los bancos
• Website hooking: fcaracterísticas que pueden activarse únicamente cuando el usuario está visitando un determinado sitio web (comercio electrónico o banco) donde se utilizan datos bancarios
• Control remoto: los datos extraídos se envían a un servidor controlado por el atacante para reutilizarlos rápidamente. Este servidor también puede utilizarse para actualizar la lista de sitios web que hay que vigilar o para explotar otras vulnerabilidades para obtener más privilegios en el ordenador objetivo

La complejidad de los troyanos bancarios también puede verse en la manera en la que se expanden y se convierten en los más eficaces a la hora de infectar usuarios. Normalmente se distribuyen en archivos adjuntos que, al parecer, son inofensivos:

• Archivos del Office con macros: tanto Microsoft Word (.doc and docx) como Excel (.xls and xlsx) son documentos que se suelen compartir entre compañeros de trabajo y que generan pocas sospechas. Lo que sucede es que el atacante tan solo tiene que enviar esta especie de archivos camuflados que contienen macros (scripts que se ejecutan al abrir el documento) y esperar a que el usuario abra el archivo y active los scripts.
• Binarios con nombres de archivos falsos: en ocasiones los nombres de los archivos se pueden recortar para eliminar sus extensiones (por ejemplo, un archivo que se llame myBill.pdf.exe se mostrará como myBill.pdf en Windows Explorer), por lo que se puede confundir por un archivo normal cuando, de hecho, realmente es un binario que si se hace clic en él este se ejecutará.

En el caso de Emotet, se genera un ejecutable a partir del macro de Office y después se lanza para ejecutar un script PowerShell con el parámetro oculto (camuflando la ventana PowerShell). Una vez que el ordenador está infectado, el malware intenta replicarse en otros ordenadores que están conectados a la misma red y explota vulnerabilidades comunes que carecen de parches.

Prevención: más allá de los antivirus

A la hora de prevenir estos ataques, existen dos estrategias principales que se pueden utilizar conjuntamente para una mayor efectividad.

Las soluciones de antivirus tradicionales tienen una base de datos de firmas (por ejemplo, binarios hash o direcciones IP) que se emparejan con cada binario de lanzamiento para bloquear los que comparten elementos con Emotet.

El planteamiento de WALLIX BestSafe es diferente. Esta solución bloquea de forma proactiva comportamientos inesperados realizados por usuarios en lugar de reaccionar una vez que el proceso está en marcha. Por ejemplo, la aplicación Microsoft Word no suele iniciar un script PowerShell, por lo que se podría implementar una regla general que impida que PowerShell tenga a Word como padre. Incluso si un usuario que en principio no es sospechoso hace clic, descarga o abre un archivo malicioso, no se iniciaría ningún ataque.

De manera más general, WALLIX BestSafe es un software de gestión de endpoints (Endpoint Privilege Management, EPM) que busca controlar los procesos que se estén llevando a cabo en un ordenador y adaptar los privilegios según sea necesario para seguir el modelo del menor privilegio tanto para usuarios como para administradores. También cuenta con un «proceso de bloqueo de lista negra/lista blanca» que ayuda a bloquear los procesos maliciosos para que estos nunca lleguen a ejecutarse, independientemente de los privilegios del usuario.

Gracias a dos sencillas normas de gestión de los endpoints, BestSafe es capaz de detener los exploits más peligrosos de Emotet:

• Impide que el proceso vulnerable utilizado en su ataque (wmiprvse.exe) se lance desde los comandos PowerShell: la carga útil no se descargará en el objetivo.
• Impide la función «oculta» de PowerShell: el parámetro oculto permite que el script se ejecute sin tener que abrir una ventana PowerShell. Este comportamiento no es común en ejecuciones normales.

Los usuarios no tienen por qué perder tiempo comprobando que cada archivo está protegido antes de comenzar a realizar su trabajo. Las reglas globales reducen esta sobrecarga al distinguir las acciones aprobadas de las sospechosas o no permitidas, y al agilizar el análisis y la terminación automática.

Las reglas se crean en la ventana «reglas de privilegios»:

Los padres que no disponen de autorización para ejecutar el PowerShell se añaden a la sección Propiedades de la Regla, debajo de los Procesos de Padres:

Seguidamente BestSafe aplica estas reglas para bloquear tanto el proceso como el ataque.

Como muchas cuestiones en ciberseguridad, la detección de malware es una lucha entre seguridad y usabilidad. Los usuarios tienen que ser flexibles y eficientes, sin embargo, los equipos de IT y las organizaciones necesitan proteger sus datos e infraestructuras.

El planteamiento innovador de Endpoint Privilege Management que tiene WALLIX BestSafe le permite conseguir el equilibrio perfecto entre seguridad y productividad. Sin esperar a los escáneres de antivirus, sin abrumar al Helpdesk de su empresa con solicitudes de asistencia. Las normas generales hacen que la detección y prevención del malware –incluido el temido Emotet– sea simple y eficaz.

Si desea obtener más información sobre cómo WALLIX BestSafe protege los endpoints, ¡no dude en ponerse en contacto con nuestro equipo de expertos WALLIX!