マルウェア『Emotet』の感染再拡大に関する注意喚起

2022年4月27日

平素は弊社サービスをご利用頂き有難うございます。

2019年11月末ごろにメディアで取りあげられて以降、知名度を上げた『Emotet（エモテット）』ですが、2021年1月、欧州刑事警察機構（Europol）によるテイクダウン作戦が成功したことから、Emotetの脅威が去っていました。しかし2021年11月に活動再開が確認され、当社にも数多くのお問い合わせを頂いております。

こちらにEmotetの概要や手口、そして感染予防策を​ご案内いたします。

 

≪Emotetの概要≫
Emotetは、情報の窃取に加え、更に他のウイルスへの感染のために悪用されるウイルスであり、悪意のある者によって、不正なメール（攻撃メール）に添付される等して、感染の拡大が試みられています。Emotetへの感染を狙う攻撃メールの中には、正規のメールへの返信を装う手口が使われている場合があります。これは、攻撃対象者（攻撃メールの受信者）が過去にメールのやり取りをしたことのある、実在の相手の氏名、メールアドレス、メールの内容等の一部が流用された、あたかもその相手からの返信メールであるかのように見える攻撃メールです。

このようなメールは、Emotetに感染してしまった組織から窃取された、正規のメール文面やメールアドレス等の情報が使われていると考えられます。すなわち、Emotetへの感染被害による情報窃取が、他者に対する新たな攻撃メールの材料とされてしまう悪循環が発生しているおそれがあります。

 

≪Emotetの手口≫
「正規のメールへの返信を装う手口」が下記の図１になります。攻撃メールの受信者（A氏とします）が取引先に送信したメールが丸ごと引用され、返信されてきたかのように見える内容で、ウイルスが添付され、A氏へ送り付けられてきたと思われる状況の攻撃メールです。

図1　Emotetへの感染を狙う攻撃メールの例

[出典]IPA：「Emotet」と呼ばれるウイルスへの感染を狙うメールについて
https://www.ipa.go.jp/security/announce/20191202.html


 

メールの差出人は、A氏がメールをやり取りした相手になりすましています。A氏が実際に送信したと思われるメールが流用されており、全体的に、返信メールのように見せかけています。この例では、メールの本文として「中です。取り急ぎご連絡いたします。」という、やや不完全な文章が攻撃者によって付け加えられています。

この攻撃メールの不正な添付ファイルを開くと、MicrosoftやOfficeのロゴ等と、数行のメッセージが書かれた文書が表示されます（図2）

図2 添付ファイルを開いた時の画面の例

[出典]IPA：「Emotet」と呼ばれるウイルスへの感染を狙うメールについて
https://www.ipa.go.jp/security/announce/20191202.html

 

Microsoft Office内の「マクロの設定」という項目を変更している場合を除き、この手口の不正ファイルでは、基本的にはファイルを開いただけではウイルスに感染することはありません。安全のため、文書ファイル内に埋め込まれているマクロの動作が止められているためです。しかし、利用者がマクロの実行等を許可する操作を行った場合は、悪意のあるマクロが動作し、ウイルスに感染させられてしまいます。

　具体的には、「コンテンツの有効化」ボタンをクリックすると、マクロの動作を許すことになります。また、添付ファイルを開いた状況により、その前に「編集を有効にする」というボタンが表示される場合がありますが、その際は両方をクリックするとマクロの動作を許すことになります。すなわち、このファイルに表示されている、「文書ファイルを閲覧するには操作が必要」というメッセージは、利用者を騙し、最終的に「コンテンツの有効化」ボタンをクリックさせるための罠になります。画面に表示された内容に惑わされず、入手したファイルが信用できるものと判断できる場合でなければ、「編集を有効にする」「コンテンツの有効化」というボタンはクリックしないよう注意してください（図3）。





図3 「コンテンツの有効化」ボタンに注意

[出典]IPA：「Emotet」と呼ばれるウイルスへの感染を狙うメールについて
https://www.ipa.go.jp/security/announce/20191202.html

 

≪Emotetの感染予防策≫

　・身に覚えのないメールの添付ファイルは開かない。メール本文中のURLリンクはクリックしない。

　・自分が送信したメールへの返信に見えるメールであっても、不自然な点があれば添付ファイルは開かない。

　・OSやアプリケーション、セキュリティソフトを常に最新の状態にする。

　・信頼できないメールに添付されたWord文書やExcelファイルを開いた時に、マクロやセキュリティに関する警告が表示された場合、「マクロを有効にする」「コンテンツの有効化」というボタンはクリックしない。

　・メールや文書ファイルの閲覧中、身に覚えのない警告ウインドウが表示された際、その警告の意味が分からない場合は、操作を中断する。

　・身に覚えのないメールや添付ファイルを開いてしまった場合は、すぐにシステム管理部門等へ連絡する。

 


WordやExcelのマクロ機能に関する設定の変更、Emotetに感染した場合の影響等については、下記 JPCERT/CC から公開されている注意喚起及びFAQをご参考下さい。

　「マルウエア Emotet の感染に関する注意喚起」（JPCERT/CC）
　　　　https://www.jpcert.or.jp/at/2019/at190044.html

　「マルウエアEmotetへの対応FAQ」（JPCERT/CC）
　　　　https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html