Fait inquiétant, le célèbre malware Emotet installe désormais directement les balises Cobalt Strike, ce qui donne un accès immédiat au réseau aux acteurs de la menace et rend les attaques par ransomware imminentes.
Cobalt Strike est très populaire parmi les acteurs de la menace qui utilisent des versions piratées dans le cadre de leurs violations de réseau et est couramment utilisé dans les attaques de ransomware.
Aujourd’hui, Cryptolaemus, le groupe de recherche sur Emotet, a signalé qu’Emotet s’affranchit désormais de la charge utile primaire de TrickBot ou Qbot et installe directement des balises Cobalt Strike sur les appareils infectés.
« Emotet lui-même recueille une quantité limitée d’informations sur une machine infectée, mais Cobalt Strike peut être utilisé pour évaluer un réseau ou un domaine plus large, potentiellement à la recherche de victimes appropriées pour une infection ultérieure telle qu’un ransomware. »
« Alors que l’échantillon Cobalt Strike était en cours d’exécution, il a tenté de contacter le domaine lartmana[.]com. Peu après, Emotet a désinstallé l’exécutable Cobalt Strike. »
Il s’agit d’un changement de tactique important, car après l’installation par Emotet de sa charge utile principale, TrickBot ou Qbot, les victimes avaient généralement le temps de détecter l’infection avant le déploiement de Cobalt Strike.
