微软安全团队发现一起恶意软件Emotet攻击导致组织网络崩溃事件

在根据国外安全信息网站整理的恶意软件之十恶不赦排行榜中，二月份恶意软件Emotet居于第二位，Emotet是一种高级的自我传播和高级模块化的木马，可以通过包含恶意附件或链接的网络钓鱼垃圾邮件进行传播 

最近，国外安全媒体报道了一起有关Emotet通过攻击致使某组织的整个网络被关闭的安全事件，该事件由微软的监测与响应团队发现，微软的检测与响应团队（DART）调查研究显示Emotet最早开始攻击“Fabrikam”（化名）的组织，利用网络钓鱼电子邮件将该组织其一名员工作为目标。收件人打开附件后，文件通知将以cmd.exe格式打开并与Internet通讯。接收者同意了附件申请内容，从而导致员工的凭据被窃取，并将传递到攻击者的服务器。

该攻击活动通过被感染员工的电子邮件帐户实施第二阶段攻击，向员工电子邮件的外部联系人发起网络钓鱼电子邮件攻击，以最大限度的感染计算机。几天以后，恶意软件Emotet成功地使所有受感染计算机的CPU以最大的负荷运转，使计算机无法正常提供服务。这样一来，恶意软件有效地实现了关闭网络的目的，并停止Fabrikam的所有IT操作。

开篇我们简单介绍了Emotet这个恶意软件，或许这是他新的十年里轰轰烈烈地开始，进入了20年代。1月初，思科Talos跟踪到它针对的是.mil和.gov顶级域的一系列恶意活动。不到一个月后，IBM X-Force跟踪发现该软件用量身定制的垃圾邮件消息，针对日本的目标用户进行攻击。同期，Binary Defense披露发现该恶意软件的新变种，该变种滥用wlanAPI接口在局域网（LAN）上进行传播。

 

安全专家可以使用持续的模拟网络钓鱼来帮助警醒组织，辅以安全教育提升组织内部人员的安全意识，抵御充满Emotet的网络钓鱼攻击，充分评估组织内员工对电子邮件攻击的熟悉程度和防范能力。当然，我们在网络安全等级保护测评过程中，不断提到安全防护是一个体系性的防护，其中一个方面就是最小权限概念，利用最小特权模型来限制可以访问高价值系统和数据的员工数量，在一定程度上也可以一定程度上提升组织安全性。