Emotet: loader złośliwego oprogramowania stojący za ransomware

Czym jest to zagrożenie?

Loader złośliwego oprogramowania to mały program, którego jedynym zadaniem jest po cichu zainfekować urządzenie, a następnie pobrać i zainstalować drugi, groźniejszy ładunek — zwykle ransomware, trojana bankowego lub narzędzie zdalnego dostępu. Samego loadera rzadko się zauważa; widać dopiero szkody wyrządzone przez ładunek.

Emotet (aktywny w latach 2014–2023) był najgroźniejszym loaderem na świecie — w szczytowym okresie Europol nazwał go „najniebezpieczniejszym złośliwym oprogramowaniem na świecie”. Zainfekował miliony urządzeń, ukrywając się w dokumentach Microsoft Office wysyłanych w realistycznie wyglądających e-mailach phishingowych. Po instalacji wynajmował dostęp do zainfekowanych komputerów innym grupom przestępczym — ten model biznesowy de facto uprzemysłowił cyberprzestępczość.

Choć sam Emotet jest w dużej mierze uśpiony od końca 2023 roku, wymyślony przez niego model infekcji żyje dalej w jego następcach, którzy w latach 2025–2026 aktywnie powodują poważne włamania.

Jak działał Emotet (i jak działają dziś jego następcy)

Klasyczny łańcuch Emotet (2018–2022):

Przychodzi przekonujący e-mail phishingowy — często odpowiedź w prawdziwym, wykradzionym wątku korespondencji („przejmowanie wątków”), przez co wygląda wiarygodnie.

Załączony dokument Word każe „Włączyć makra”, aby wyświetlić treść.

Włączenie makr po cichu uruchamia w tle loader Emotet.

Emotet łączy się ze swoimi serwerami dowodzenia, pobiera kolejne ładunki (TrickBot, Qakbot) i rozsyła się e-mailem do wszystkich Twoich kontaktów.

Kolejny ładunek kradnie dane do bankowości lub uruchamia ransomware (Ryuk, Conti).

Zwrot w 2022 roku — Microsoft wyłącza makra:

W lipcu 2022 roku Microsoft domyślnie zablokował makra VBA w dokumentach Office pobranych z internetu. Niemal z dnia na dzień zniszczyło to główną metodę dystrybucji Emotetu.

Ewolucja 2023–2026 — nowe loadery, nowe kanały:

Zamiast zniknąć, przestępczy ekosystem się dostosował. Następcy aktywni w latach 2025–2026:

PikaBot (2023–2026): pojawił się jako bezpośredni duchowy następca Emotetu. Rozprzestrzenia się e-mailem z archiwami ZIP, plikami PDF i załącznikami OneNote (.one). Służy do dostarczania Cobalt Strike i ransomware do celów korporacyjnych.

Latrodectus (2024–2026): prawdopodobnie tworzony przez tych samych sprawców co Emotet (TA577/TA578). Dostarczany przez złośliwe pliki JavaScript w załącznikach e-maili. Lepiej unika wykrycia niż Emotet.

DarkGate (2023–2026): wykorzystuje Microsoft Teams, Skype i Slack jako kanały dostarczania — atakujący piszą do ofiar bezpośrednio z przejętych kont firmowych lub przez zaproszenia dla gości zewnętrznych, całkowicie omijając filtry poczty. Rozprzestrzenia się też przez malvertising (złośliwe reklamy Google).

QakBot / Qbot (powrót w 2024): unieszkodliwiony przez FBI w sierpniu 2023 roku („Operation Duck Hunt”), ale operatorzy odbudowali go i wznowili działalność w ciągu kilku miesięcy, atakując instytucje finansowe.

Zagrożenie 2026: dostarczanie wspierane przez AI:

Loadery w 2026 roku coraz częściej korzystają z treści phishingowych generowanych przez AI — e-maili z bezbłędną gramatyką w języku ofiary, personalizowanych danymi z LinkedIn i wysyłanych w psychologicznie optymalnych momentach. Tradycyjne filtry antyspamowe, wyuczone na wyłapywanie źle napisanych wiadomości, są wobec nich mniej skuteczne.

Skutki w praktyce

Rozbicie Emotetu (styczeń 2021 — Operation Ladybird): Europol i Eurojust skoordynowały działania organów ścigania z 8 krajów, przejmując infrastrukturę Emotetu. Emotet powrócił 10 miesięcy później, w listopadzie 2021 roku.

DarkGate przez Microsoft Teams (2023–2024): Microsoft poinformował, że atakujący wykorzystujący zewnętrzny dostęp w Teams w jednej kampanii wysłali zainfekowane pliki OneNote do ponad 40 organizacji na świecie.

PikaBot w 2024 roku: Cisco Talos wskazał PikaBota jako główny loader przejmujący rolę Emotetu po zniknięciu QakBota, używany w masowych kampaniach e-mailowych dostarczających ransomware Black Basta.

Powrót QakBota (grudzień 2023): zaledwie 3 miesiące po operacji FBI Duck Hunt operatorzy QakBota rozpoczęli nową kampanię phishingową wymierzoną w branżę hotelarską.

Sygnały ostrzegawcze

E-mail z prośbą o „Włączenie zawartości” lub „Włączenie makr” w dokumencie Office.

Wiadomość w Microsoft Teams z konta zewnętrznego z załącznikiem lub linkiem do pobrania pliku.

Nieoczekiwany załącznik OneNote (.one) lub HTML w e-mailu, nawet od znanego nadawcy.

Antywirus po cichu wyłączony lub narzędzia zabezpieczające przestały działać bez wyjaśnienia.

Nietypowe połączenia wychodzące do nieznanych adresów IP o nietypowych porach.