Počiatočná infekcia vírusom Emotet sa zvyčajne začína inteligentne sfalšovaným, zdanlivo dôveryhodným e-mailom, ktorý obsahuje ako prílohu dokument balíka Office. Keď používateľ dokument otvorí a na výzvu aktivuje makrá, infekcia naberie obrátky. Len čo Emotet prenikne do svojho cieľa, spojí sa so svojím riadiacim serverom; ten na diaľku určí, ako sa malvér bude ďalej správať. Toto správanie sa môže v závislosti od prijatých pokynov značne líšiť.

Jednou z hlavných funkcií malvéru Emotet je vlastné šírenie zasielaním phishingových e-mailov z kontaktov získaných v infikovanom zariadení. Emotet používa na čítanie e-mailových kontaktov obete rozhranie Windows MAPI (Messaging Application Programming Interface).

Načítanie modulov, reprodukcia ako červ

Len čo sa Emotet dostane do pracovného počítača, môže načítať ďalšie moduly do pracovnej pamäte bez toho, aby sa ukladali ako súbory. Nazýva sa preto aj „fileless malware“ (malvér bez súborov), čo značne sťažuje jeho identifikáciu.

Emotet zároveň funguje ako červ a dokáže sa šíriť z jedného infikovaného počítača na ďalšie v rovnakej sieti bez aktívneho zásahu ich používateľov. Využíva na to protokol SMB (Server Message Block) spoločnosti Microsoft a číta prihlasovacie tokeny z miestneho úložiska systému Windows. Tiež vykonáva útoky hrubou silou na používateľské účty pomocou zoznamov hesiel.

Na najvyššej úrovni infekcie Emotetom útočníci manuálne preskúmajú infikovaný systém a vyhľadávajú obzvlášť dôležité údaje, ktoré následne napríklad odstránia a požadujú výkupné za ich vrátenie. Podobne funguje vydieranie: útočníci objavené citlivé informácie zašifrujú priamo na počítači obete a stiahnu si ich kópiu. Ak obeť nezaplatí požadované výkupné, vydierači zverejnia údaje na internete.

Za určitých okolností trvá odhalenie infekcie systému aj celé mesiace. Objavili sa prípady, v ktorých Emotet a jeho moduly fungovali v systéme viac než šesť mesiacov, prípadne až 18 mesiacov. Celý čas menili nepozorovane dáta. Zákerné je, že údaje zo systému nezmiznú, len sa nebadane mení ich obsah, takže zálohy sú zbytočné. Pozmenené dáta sa premietnu aj do zálohy.

Rozhodujúca je prevencia

Existuje však celý rad opatrení, ktoré sľubujú úspech v boji proti tomuto typu útoku. Rovnako ako pri všetkých phishingových útokoch aj pri prevencii infekcií Emotetom má veľký význam vzdelávanie zamestnancov spoločnosti. Ich povedomie je vhodné zvyšovať koordinovanými opatreniami, napr. internými e-mailmi a informačnými výveskami. Potrebné odborné znalosti, napr. v oblasti e-mailovej bezpečnosti, môžu zasa zamestnancom poskytnúť špecializované školenia. Z toľko diskutovaného „bezpečnostného rizika ľudského faktora“ sa tak stane ľudský faktor bezpečnosti, ktorý aktívne pomáha brániť sa proti kybernetickým útokom, ako je Emotet.

Ak sa má IT infraštruktúra technicky vyzbrojiť proti malvéru Emotet, je potrebné najskôr zistiť mieru jej zabezpečenia. Počiatočné zhodnotenie situácie možno vykonať rýchlym auditom informačnej bezpečnosti. Vykonávajú ho odborníci na bezpečnosť IT a vychádza okrem iného z koncepcie informačnej bezpečnosti „IT-Grundschutz“ Nemeckého spolkového úradu pre informačnú bezpečnosť (BSI). Odborníci vypracujú správu z auditu s manažérskym zhrnutím a znázornením zistených nedostatkov. Tá sa stáva základom pre ďalšie opatrenia.

Z technického pohľadu je počiatočným opatrením test prieniku. Pri ňom odborníci na IT bezpečnosť simulujú prienik malvéru a snažia sa nájsť odpovede na nasledovné otázky: Akú účinnosť majú nasadené ochranné opatrenia? Existujú slabé stránky, ktoré treba urýchlene odstrániť? Sú v sieti oprávnenia, ktoré by mohol útočník zneužiť? Počas testu odborníci hľadajú aj známky infekcie, ktorá systém postihla, no nebola zatiaľ odhalená.

Ak organizácia chce zabrániť šíreniu malvéru Emotet, mala by v prvom rade preveriť správu oprávnení – používatelia by mali mať len takú úroveň oprávnení, aká postačuje na vykonávanie ich povinností. Treba sa vyvarovať zavádzaniu všeobecných administrátorských oprávnení.