Emotet 恶意软件：传播方式及自我防护

---

Emotet 是一种最初被创建为银行木马的计算机病毒。其目标是访问海外设备并窃取私人信息。据报道，一些基本的防病毒程序会被 Emotet 欺骗，从而使其隐藏起来。一旦激活，该恶意软件就会像计算机蠕虫一样传播，并试图访问其他联网系统。

垃圾邮件是 Emotet 主要传播方式。相关电子邮件包含一个危险链接或损坏的文件。如果您下载该文件或点击该链接，则会自动将其他恶意软件下载到您的计算机上。由于电子邮件看起来非常具有说服力，许多人因此成为了 Emotet 的受害者。

Emotet 最初是在 2014 年德国银行客户受到木马攻击时被发现的。客户的登录信息被泄露给了 Emotet。在接下来的几年里，该病毒最终在全球范围内传播。随着 Emotet 从银行木马转变为 Dropper，它现在可以将恶意软件重新加载到目标系统中。然后由这些恶意软件造成系统实际损害。

Emotet 使用了一些功能，可以帮助该程序避开某些反恶意软件工具的检测。Emotet 使用类似蠕虫的特性传播到其他连接的计算机。这有助于恶意软件的传播。由于此功能，美国国土安全部得出结论，Emotet 是最昂贵和破坏性最强的恶意软件之一，影响着公共和私营部门以及个人和组织，导致每个事件的清理成本高达 100 万美元。

恶意链接、启用宏的文档文件或恶意脚本都可以传播感染。Emotet 电子邮件可能会使用知名品牌来使其看起来真实可信。Emotet 可能会使用关于“您的发票”、“付款详情”或来自知名快递公司的即将到来的货物等诱人的文本，试图诱骗人们点击恶意文件。

Emotet 经历了多个版本迭代。早期版本带有感染的 JavaScript 文件。后来的版本开始使用支持宏的文档从攻击者的命令和控制 (C&C) 服务器下载病毒有效载荷。

为了避免被发现和分析，Emotet 使用多种技术。值得注意的是，Emotet 可以检测它是否在虚拟机 (VM) 中运行。如果发现沙盒环境（网络安全研究人员用于在安全环境中研究恶意软件的工具），它将进入休眠状态。

Emotet 如何传播？

恶意垃圾邮件是 Emotet 主要传播方式。Emotet 在梳理您的联系人列表后，会向您的朋友、家人、同事和客户发送消息。由于这些电子邮件来自您被入侵的电子邮件帐户，因此看起来不太像是垃圾邮件，因此收件人更有可能点击危险链接并下载恶意文件，因为他们感觉更安全。

如果存在网络，Emotet 会使用常用密码列表，并发起暴力破解攻击以访问其他连接的系统。如果重要的人力资源服务器的密码只是“password”，那么 Emotet 很可能会进入该系统。

它以狐狸般的方式运作，非常狡猾且难以捕捉。直到您点击破坏按钮，它才会处于活动状态。只需点击一下，受影响的系统就会陷入困境。与其处理这种恶意软件的存在，不如一开始就阻止它进入您的计算机。

构成 Emotet 的全球服务器网络中的每个服务器都至少包含一个用于控制受害者电脑和传播新恶意软件的独特功能。一旦激活，它就会访问您的邮件列表订阅者以及朋友和家人的收件箱。

Emotet 恶意软件通过暴力破解攻击渗透到任何连接的设备。如果网络在连接到其他设备时激活了此病毒，则 Emotet 会使用多种密码猜测方法来通过任何连接获取访问权限。Emotet 可以识别连接设备上保存为“password”的密码。

Emotet 恶意软件通常由网络犯罪分子使用垃圾邮件启动，有时可以避开垃圾邮件过滤器。他们通过使用受害者联系人中的人员姓名，使这些电子邮件看起来很真实。受害者在意识到邮件来自熟悉来源后，就会点击邮件。

您可能想知道，如果您天真地点击 Emotet 文档中的链接或文件，会发生什么情况。您的系统会触发宏代码，然后立即发起攻击。

第二次更新包括一种发送资金以及多个银行和垃圾邮件模块的方法。当网络世界仍在努力应对这种发展时，另一个版本偷偷潜入了公众视野。这一次，它凭借隐秘旅行的功能向前发展，为骗子奠定了基础。

为了了解这种恶意软件的传播方式，专家们进行了一项研究。似乎 Emotet 使用 TrickBot 而不是 EternalBlue/DoublePulsar 漏洞来传播感染。TrickBot 用于长期攻击，而 Emotet（一个完全独立的恶意软件）则承载了事件。

如何保护自己免受 Emotet 恶意软件的侵害？

您可以采取以下措施来保护自己免受 Emotet 恶意软件的侵害：

• 保持更新。随时了解 Emotet 的任何新发展。您可以通过多种方式做到这一点，包括阅读卡巴斯基资源中心或进行自己的研究。

• 尽快安装制造商提供的安全升级，以帮助您堵住任何潜在的安全漏洞。这适用于所有应用程序软件、浏览器插件、电子邮件客户端、Office 和 PDF 程序，以及 Windows 和 macOS 等操作系统。

• 安装完整的病毒和恶意软件防护工具，例如卡巴斯基互联网安全软件，并确保它定期扫描您的机器是否存在漏洞。这将为您提供抵御最新病毒、恶意软件等的最佳防御。

• 避免下载可疑的电子邮件附件和点击可疑的 URL。如果您不确定电子邮件是否是诈骗邮件，请不要冒险，并联系发件人。在任何情况下都不要同意在下载的文件上运行宏。相反，您应该立即删除该文件。通过这样做，您将阻止 Emotet 拥有任何访问您计算机的机会。

• 定期创建数据的备份，并将其存储在外部存储设备上。在发生感染的情况下，您始终需要保留备份以供恢复，这意味着您不会丢失设备上的所有数据。

• 对于所有登录，仅使用强密码（网上银行、电子邮件帐户、网上商店）。这里指的是字母、数字和特殊字符的随机组合，而不是您第一只宠物的名字。您可以自己想出这些密码，也可以使用不同的应用程序为您生成密码。如今，许多程序还允许用户选择双因素身份验证。

• 文件扩展名 - 将您的计算机设置为自动显示文件扩展名。这使您可以识别可疑文件，这些文件通常包含有害程序，例如“Photo123.jpg.exe”。

如何删除 Emotet？

首先，如果您认为您的计算机上可能存在 Emotet，请不要惊慌。因为您的电子邮件联系人中的其他人也可能面临风险，请让您周围的人了解感染情况。

为了减少 Emotet 传播的机会，如果您的计算机连接到网络，请务必将其隔离。然后，您应该更新所有帐户的登录信息（电子邮件帐户、Web 浏览器等）。在未受污染或使用相同网络的不同设备上执行此操作。

Emotet 是一种多态病毒，这意味着每次访问它时，其代码的一小部分都会发生变化。因此，如果一台已清理的计算机连接到受感染的网络，它可能会非常快地再次被感染。因此，您必须一次擦除连接到网络的每台计算机。为了帮助您执行此操作，请使用防病毒应用程序。或者，您可以向专业人士寻求建议和帮助，例如您的防病毒软件供应商。

EmoCheck

EmoCheck 是一种工具，日本 CERT（计算机应急响应小组）声称将使用它来检查您的设备是否存在 Emotet 感染。但是，EmoCheck 无法 100% 保证您的计算机没有感染，因为 Emotet 是多态的。

EmoCheck 检测常见的字符模式，并提醒您可能存在木马。重要的是要记住，病毒的变异能力并不意味着您的计算机实际上没有恶意软件。

特洛伊木马 Emotet 是计算机安全史上最危险的病毒之一。任何人都可能成为受害者，包括个人、企业甚至国际政府，因为一旦该木马感染系统，它就会重新加载其他间谍软件来监视您。

Emotet 的许多受害者经常被勒索支付赎金以恢复其数据。不幸的是，没有完全防止 Emotet 感染的补救措施。不过，可以通过采取一些措施来降低感染的可能性。

如果您认为您的计算机可能感染了 Emotet，则应按照本文中的说明进行清理，并确保您拥有强大的防病毒程序来保护您。