Die Schadsoftware ist flexibel, vielfältig und ständigen Änderungen und Erweiterungen unterworfen. Es ist kaum möglich, die eine Vorgehensweise von Emotet zu beschreiben. Daher folgen hier einige Beispiele bekannter Infektionen durch Emotet. Der vielleicht populärste Fall ist die Infektion der IT-Infrastruktur der Heise-Gruppe. Sie begann am 13. Mai 2019 und wurde von Heise vorbildlich aufgearbeitet, dokumentiert und der Öffentlichkeit zugänglich gemacht, damit andere Organisationen daraus lernen und eine Infektion verhindern können (2). An besagtem Tag öffnete ein Mitarbeiter eine vertrauenswürdig erscheinende Mail und den darin enthaltenen Anhang. Der Emotet-Dropper konnte sich installieren und im Windows-System des Mitarbeiters etablieren. Anschließend wurde verschiedene Malware nachgeladen und das Heise-Netzwerk infiziert. Teilweise schlugen die AV-Programme auch Alarm, so dass eine oberflächliche Reinigung erfolgte. Dass dies jedoch nicht die Ursache beseitigte wurde klar, als kurze Zeit später in den Firewall-Logfiles diverse Verbindungen zu Emotet-Servern über Port 449/tcp verzeichnet wurden. Zudem gab es verdächtige Zugriffe auf Domain Controller im Active Directory. Im Wesentlichen wurden Windows-10-Systeme kompromittiert, deren Benutzer Admin-Privilegien hatten, später dann die verbleibenden Windows-7-Systeme. Der Versuch, die Verbindungen zu den Command & Control-Servern zu unterbinden, wurde bald aufgegeben, da immer wieder neue Verbindungen hinzukamen. Was blieb, war ein kompletter Lockdown und die vollständige Abschottung des Unternehmensnetzwerks vom Internet. Heise selbst beziffert die konkreten Kosten auf weit über 50.000 Euro (3). Emotet infizierte in der Vergangenheit zahlreiche Unternehmen, aber auch Behörden, Universitäten, Krankenhäuser und andere öffentliche Einrichtungen. Teilweise waren Produktionsausfälle bis hin zu Lockdowns (siehe Heise) die Folge, so dass Dienstleistungen nicht erbracht und Mitarbeiter in Zwangsurlaub geschickt werden mussten.