S0367 Emotet

Emotetは、ハードコードされたパスワードのリストで、ユーザーアカウントをブルートフォースすることが確認されています。 ^{[2][3][4][5][6]}

Emotet は、PowerShell scriptを動かすためにcmd.exeを使います。 ^[9]

Emotet は 20, 22, 80, 443, 8080, 8443ポートを使用します。^{[11][8][7][12]}

Emotet は閲覧ソフトやMimikatzを含むパスワード搾取モジュールをドロップすることが確認されています。^[7]

Emotet は、システムに保存されている現在ログオンしているユーザーのパスワードを取得するモジュールを利用することが確認されています。^[4][6]

Emotet は、コマンドおよび制御メッセージング用に暗号化され、Protocol Buffersベースのプロトコルを使用することが確認されています。^[15][17]

Emotetは、収集したデータを暗号化してからC2サーバーに送信することが確認されています。^[16]

Emotetは、Outlookから電子メールデータを取得するモジュールを利用していることが確認されています。^[6]

Emotetは、C2サーバーに送信するHTTP GETリクエストのCookieにシステム情報を入れて、情報を盗み出していることが確認されています。 ^[7]

Emotetは、 ETERNALBLUE（MS17-010）のような脆弱性につけこんでSMBを悪用し、横方向の動きと拡散を達成することが確認されています。^[4][5][13]

Emotet は、ネットワークAPIをフックしてネットワークトラフィックを監視することが確認されています。^[1]

Emotetは、永続性を維持するために新しいサービスを作ることが確認されています。^[4][5]

Emotet は、マルウェアをホスティングするURL、CMD.exeの引数、およびPowerShellスクリプトを隠すために、悪意のあるドキュメント内のマクロを難読化しています。^{[8][7][9][10]}

Emotet は、悪意のあるペイロードの取り出しや、Mimikatzなどの追加リソースのダウンロードにPowershellを使用しています。^{[3][7][9][13][12]}

Emotetは、ローカルプロセスを列挙することが確認されています。 ^[18]

Emotet は、Explorer.exeおよびその他のプロセスに挿入されることが確認されています。^[9][1][4]

Emotet は、ダウンロードしたペイロードをHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runキーに追加して永続性を維持していることが確認されています。^[3][4][9]

Emotet は、スケジュールされたタスクを通じて永続性を維持します。^[4]

Emotet は、追加のペイロードをダウンロードするスクリプトを呼び出すマクロが埋め込まれたMicrosoft Word文書を送信しています。^{[3][8][7][9][12]}
（訳注：Emotetを、メール送信も含んだ、活動全体として記載されているのだと解釈しています。）

Emotet は、自身のペイロードを隠すため独自のパッカーを使っています。^[7]

Emotetは、添付ファイルがついたフィッシングメールによって配信されます。^{[11][2][3][4][8][7][9][12]}

Emotet は、リンクがあるフィッシングメールによって配信されます。^{[1][14][11][2][3][4][8][8][9]}

Emotet は、C2トラフィックの暗号化にRSAキーを使用することが知られています。^[7]

Emotetは、7080および50000などの非標準ポートを使って通信することが確認されています。^{[14][9][15][8]}

Emotetは、ユーザーがスピアフィッシングを通じて配信された悪意のあるリンクまたは添付ファイルをクリックすることをあてにしています。^[1][12]

Emotet は、ローカルの管理者パスワードを総当たり攻撃し、ラテラルムーブメント（侵入拡大）に利用します。 ^[2]

Emotetは、ローカル管理者パスワードを総当たり攻撃し、Admin $共有を悪用してラテラルムーブメント(侵入拡大)を行います。. ^[2]

Emotet は、powershell.exeを実行するためにWMIわを利用します。^[12]