Tra la fine del 2019 e l'inizio del 2020, Emotet fu una delle botnet più attive e una delle operazioni criminali più pericolose. Poi la sua infrastruttura venne smantellata, e la minaccia svanì.

Da qualche tempo Emotet è tornata. Per diffondersi adopera le solite modalità: un'email dall'aspetto ufficiale contiene un link sul quale invita a cliccare per scaricare del materiale fatto passare per importante e urgente.

Detto materiale, naturalmente, non è altro che un file infetto: di solito si tratta di un documento Word che contiene del malware, tramite il quale sui Pc delle vittime vengono installati dei trojan.

Sullo stesso tema:

WordPress lancia la IA che genera un sito completo in pochi minuti

WhatsApp per Windows: non aprite quell'immagine

WordPress, già bucati 6.000 siti da un malware ruba-credenziali

Non è tutta colpa di Microsoft o di Crowdstrike

Per ospitare i loro file infetti, gli admin di Emotet hanno deciso di sfruttare una delle piattaforme più diffuse del web: Wordpress.

Sfruttando vulnerabilità non corrette, violano i siti Wordpress e vi installano una web shell, ossia uno script che consente di gestire da remoto il server su cui il sito stesso è ospitato. È così che caricano i file contenenti il malware.

Proprio questo è però anche il punto debole di Emotet. Lo script di web shell adoperato non è uno dei più avanzati in circolazione, e in tutti i casi gli amministratori delle botnet hanno tenuto la stessa password.

Proposte di lettura:

10 miliardi di password rubate e pubblicate in chiaro

Buone azioni e serrature ridicole

L'UE vara il Portafoglio per l'Identità Digitale

Gli hacker adesso si affidano alla IA per creare malware

Così all'orizzonte è apparso un giustiziere sconosciuto che, scoperta la password, ha preso a sabotare l'operato di Emotet, sostituendo i file infetti con delle innocue Gif animate (che riportiamo in coda all'articolo).

Il misterioso vigilante ha iniziato metodicamente a individuare i siti Wordpress violati e a portare avanti la propria opera di sostituzione; secondo le società di sicurezza che sorvegliano la diffusione di Emotet, ha già manomesso circa un quarto di tutti i link diffusi da Emotet.

Dal punto di vista degli utenti, ciò significa che, se anche cliccano sul collegamento presente nella email iniziale, anziché scaricare il file infetto scaricano un'innocua immagine animata: l'opera di Emotet viene così vanificata.

Sullo stesso tema:

LastPass violato di nuovo, sottratti i dati degli utenti

Troppi deepfake nei colloqui di lavoro, l'FBI lancia l'allarme

Opera lancia gli indirizzi composti da sole emoji

Sviluppatore open source sabota le proprie librerie. Migliaia di app nei guai

Gli amministratori di Emotet - secondo quanto segnala Joseph Roosen, membro del gruppo di white hat Cryptolaemus - sarebbero perfettamente a conoscenza dell'opera del giustiziere mascherato, e avrebbero anche cercato di correre ai ripari.

L'opera di sabotaggio è stata tuttavia soltanto rallentata, e non fermata, dalla controffensiva. La guerra, insomma, continua.

Al momento nessuno ha idea di quale sia la vera identità della persona che sta vanificando tanti tentativi di infezione di Emotet: non si sa nemmeno se si tratti di una persona soltanto o di un gruppo.

Per approfondire:

La falsa app di Squid Game che nasconde un malware

Bye bye, Emotet

Anno nuovo, nuova versione di DanaBot

Sgominato Emotet, la madre di tutti i malware

È lecito ipotizzare che possa trattarsi di qualcuno che lavora per un'azienda specializzata in sicurezza informatica, m potrebbe benissimo trattarsi del membro di un gruppo di cybercriminali rivale.

Quel che è certo è che, vigilante o no, gli utenti dovrebbero sempre tenere a mente che è una pessima idea cliccare sui link presenti nelle email senza aver verificato con estrema attenzione la destinazione.

Qui sotto, le tre Gif messe al posto dei file infetti.