セキュリティの
学び場

今回の解説ニュース

今年の年初に停止措置がされたマルウェアのEmotetが活動を再開させたということです。マルウェアの内容は過去と大きく変わっていないということなので、改めてEmotetをおさらいして対策について説明します。

11月中旬からEmotetを拡散させるメールやマルウェアの検体、マルウェアをコントロールするC&Cサーバなどの活動再開が確認されています。C&Cサーバとはコマンド&コントロールサーバの略で、マルウェアに感染した端末に対して、遠隔から指示を出して操作するために使用されるサーバです。端末がどのような環境にあっても操作できるように、指示の内容はWebやDNSなど一般的な通信に隠されて行われています。

活動を再開したEmotetの拡散手法は以前と同様で、WordもしくはExcelのマクロ機能を悪用して、ファイルを開いた端末にEmotet本体がダウンロードされ実行されます。Emotetの対策としては、一般的なマルウェア対策と同様となりますので、詳細は後半の項で説明します。

なぜ「新種のマルウェアの発見」ではなく「終息されたものの再開」なのか

今回のマルウェアがEmotetであると断定したことは、マルウェアのふるまいから判断したと考えられます。そして、Emotetが過去に残した実績や歴史が、Emotetの拡散に攻撃者がこだわる意図であると推測されます。

Emotetに感染する過程を改めておさらいすると、最初のきっかけは「暗号化ZIPを含むメールの添付ファイル」か「メール本文や添付ファイル内のURLからダウンロード」の2パターンに分けられます。いずれの場合も、端末内に展開されたWordやExcelのマクロ機能を悪用して、Emotet本体がダウンロードされ実行されます。そして、以前のEmotetが猛威を振るった原因の一つである「以前に送信したメールの返信メール」に添付されることも確認されています。

例えば、同僚のパソコンがEmotetに感染したとします。感染したEmotetは、過去に自分が同僚宛に送ったメールへ返信する形で、Emotetに感染させるWordやExcelを添付してきます。自分は基本的に同僚を信頼しているので、もしかしたらファイルを開いてしまうかもしれません。このような、思わずファイルをクリックしてしまうような手法がEmotetでは使われているため、長期間にわたり猛威を振るい続けていました。

また、欧米各国の組織が連携することにより、今年の年初にEmotetの攻撃基盤は停止されました。Emotetが活動を再開するにあたり、別のマルウェアであるTrickbotからEmotetがダウンロードされていることが確認されています。Trickbotは以前、Emotetがダウンロードする側のマルウェアでしたが、今回は逆パターンでEmotetの活動再開を助けたことになります。つまり、各国が連携することで停止に追い込まれたマルウェアが、攻撃者が連携することで活動を再開したことになります。皮肉な話ですが、セキュリティが鼬ごっこと言われる要因の一つです。

復活したEmotetへの対策は一般的なマルウェア対策と同様

Emotetの対策は、一般的なマルウェア対策と同様となります。すでにご存じの方もいらっしゃると思いますが、これを機に改めておさらいしましょう。

身に覚えのない添付ファイルは開かない

まず、身に覚えのないメールの添付ファイルは開かないようにしましょう。メール本文中のURLをクリックしないことは、フィッシング攻撃の対策としても有効です。次に、自分が送信したメールへの返信であっても、不自然な点があれば添付ファイルを開かないようにしましょう。必要に応じて、メールを送信した本人に直接確認することが確実です。また、OSやアプリケーション、セキュリティソフトを常に最新の状態にしましょう。Emotetの亜種が発生したり、その他のマルウェアが脆弱性をついて感染を広げる可能性もあります。

開けてしまった場合は速やかな情報共有を

もし、信頼できないメールに添付されたWordやExcelのファイルを開いてしまい、マクロやセキュリティに関する警告が表示された場合は「マクロを有効にする」「コンテンツの有効化」というボタンはクリックしないようにしましょう。Emotet自体がダウンロードされ実行されることは水際で防ぐことができるかもしれません。
最後に、身に覚えのないメールや添付ファイルを開いてしまった場合は、操作を中断して、すぐにセキュリティ担当者や専門家に連絡しましょう。インシデント対応の基本として、被害の拡大を防ぐ観点から、速やかな情報共有が求められます。

現在のEmotetは英文メールのみで拡散されているようです。日本語メールのEmotetが観測される前に、注意喚起と対策が行き届くように心がけましょう。