トレンド

最恐のマルウェア “Emotet(エモテット)” を徹底解剖。
特徴と今必要な対策を解説します。

Written by 鈴木 菜摘

マーケティング本部にて主にLanScope Catの情報発信、企画推進を担当。サポート部門で勤務した経験から、「ユーザー目線」をモットーに活動しています!

最恐のマルウェア “Emotet(エモテット)” を徹底解剖。<br>特徴と今必要な対策を解説します。

進化したAIアンチウイルス
「CPMS powered by Deep Instinct」を無料体験

無料体験する

恐怖のマルウェア”Emotet”にどう対抗するか

恐怖のマルウェア”Emotet”にどう対抗するか

対策していても感染!?
最恐のマルウェア「EMOTET(エモテット)」の特徴と、有効な対応策について解説します。

資料ダウンロードはこちら

「Emotet(エモテット)」‐2019年11月末ごろにメディアで取り上げられ一気に知名度を上げたこのマルウェアですが、日本国内向けに大規模なばらまき攻撃があり、被害が増加しています。JPCERT コーディネーションセンター(JPCERT/CC)は2020年2月7日、マルウェア「Emotet」に感染した国内の組織が少なくとも約3,200組織に上ることを明らかにしました。
2020年2月以降、Emotetの活動に大きな動きはありませんでしたが、2020年7月頃に活動再開が確認されています。国内での感染被害は拡大し、エムオーテックスに対しても、「Emotetに感染してしまった」「Emotetの被害を防ぎたい」というご相談が後を絶ちませんでした。

そして2021年1月、欧州刑事警察機構(Europol)によるテイクダウン作戦が成功したためEmotetの脅威は去ったかと思われました。

しかし、2021年11月に活動再開が確認され、IPA(日本情報処理推進機構)から注意喚起が行われています。
参考:https://www.ipa.go.jp/security/announce/20191202.html

Emotetの攻撃手法

Emotetは、攻撃者によって不正なメールに添付されるなどして、デバイス上でそのファイルを開くと感染するウイルスです。攻撃者は、マクロ付きのWordやExcelファイルをメールに添付して、大量に送付する「ばらまき攻撃」を仕掛けてきます。Emotetのメールだと知らずにファイルを開くと感染し、メールアカウントとパスワード、アドレス帳などの情報が抜き取られてしまいます。その情報を元に攻撃者は他のユーザーへ感染メールを送信するため、取引先や顧客を巻き込んでしまいます。最悪の場合、感染元の企業は損害賠償請求や取引停止、ブランドイメージが失墜するリスクもあります。

Emotetの被害は、日本含め200ヶ国以上で拡大しており、被害総額は25億ドルと言われています。なぜ、これだけ被害が広がっているのか。それはEmotetを利用した攻撃メールが巧妙であり、見抜くことが難しくなっているからです。

しかし、どれだけ攻撃が巧妙化してもEmotetの手口を知っていれば対策は可能です。そこで今回は、Emotetの特徴と、有効な対応策について、執筆時の最新情報をもとに解説します。

Emotetの危険性=見つかりにくい様々な工夫

Emotetの感染被害が深刻化した理由は、攻撃者側が行った2つの“工夫”にあります。

1つ目は、ばらまきメールの巧妙さです。Emotetの感染経路は、メールに添付したMicrosoft WordやExcelファイルのマクロを利用して端末へ侵入・感染するという手法が確認されています

昨年11月には、正規にやり取りされているメールに「RE:」をつけて実際のメールの返信を装うことで、大規模なばらまき攻撃が行われました。元のメールのスレッドに割り込む形でEmotetのダウンロードを誘導するメールを配信するため、Emotetのばらまきメールであることを見破るのが非常に難しいといえます。

[出典]IPA:「Emotet」と呼ばれるウイルスへの感染を狙うメールについて- 図7 日本語の攻撃メールの例(2020年9月)
https://www.ipa.go.jp/security/announce/20191202.html

その後、Emotetのばらまきメールにはいくつかのバリエーションが確認されましたが、いずれも不信感を抱かせにくい工夫が施されています。

年末には賞与、2020年1月には「新型コロナウイルス」を題材にした手口が確認されるなど、社会的な関心事に便乗する傾向がある点も巧妙です。

<Emotet攻撃メールの事例>
●「12月賞与」というタイトルで、ボーナスの明細を添付して送付したと装ったメールが送られてきた。メール添付ではなく、ダウンロードURLがメール本文に記載されているケースも確認されている。
●社内のメンバーから複数人へ同時に「請求書」というタイトルの添付ファイル付きのメールが配信された。不審に思った数名が添付ファイルを開かずに返信したところ、そのメールに再度返信する形で、別のファイルを添付したメールが送られてきた。
●地域の保健所を装い、新型コロナウイルスの注意喚起の書面が添付されていることを装ったメールが送られてきた。

2つ目の工夫は、セキュリティ担当者から見つかりにくくする様々な工夫が施されていることです。

特に特徴的なのは、Emotet本体には不正なコードを多く含まない点です。
Emotetも本体は他のマルウェアを感染させるプラットフォームとしての機能がメインであり、情報窃取などの不正な動作をするモジュールを、攻撃者が用意したサーバー(C&Cサーバー)からダウンロードし、活動します。ダウンロードしたモジュールは、端末にファイルとして保存せずに端末のメモリ上で動作させるファイルレスな仕組みも取り入れており、セキュリティ調査者から解析されにくい工夫がされているといえます。

3つ目の工夫は、あたかも正規のサービスを装い、ユーザー自身にウイルスファイルをダウンロードさせようとしてきます。

[出典]IPA:「Emotet」と呼ばれるウイルスへの感染を狙うメールについて- 図14 メールから誘導される偽のウェブサイトの例(2021年12月)https://www.ipa.go.jp/security/announce/20191202.html#L17

2021年11月Emotetの活動が再開された際、新たに発見された攻撃手法です。メール本文中のURLリンクをクリックすると、PDFファイルが存在するかのような画面へ誘導されます。そこでPDFファイルの閲覧ソフトを装ったウイルスファイルをダウンロードさせ、利用者の手で実行させるという手口です。偽のウェブサイトの見た目など、今後細かい手口は変化していく可能性があります。安全と判断できない場合は、むやみに操作をしないことが大切です。

Emotetに感染するとどうなるの?

では、実際にEmotetに感染した場合、どうなってしまうのでしょうか。

1.重要な情報を盗み取られる

Emotetが媒介して情報を窃取するモジュールがダウンロードされ、認証情報などの様々な情報が外部サーバーへ送信されて悪用されます。

2.ランサムウェアに感染する

ランサムウェアやワイパーがダウンロードされ、端末内のデータを暗号化、もしくは破壊して活動の痕跡を消し去ってしまいます。どのような情報が漏えいしたのかの調査すらできなくなり、ランサムウェアやワイパーの被害により端末自体が利用できなくなることで、復旧作業を行う間業務がストップしてしまいます。

3.社内の他の端末にEmotetが伝染する

Emoetは自己増殖するワーム機能を有しており、ひとたびネットワーク内に侵入すると、保護機能の隙間を探し、ネットワーク内の他の端末への侵入を試みます。さらにEmotetは、端末に潜伏して活動を行いながらも頻繁にアップデートが行われていることも確認されています。もしOSに新たな脆弱性が発見されたら、組織内で爆発的に感染が拡大する恐れもあります。

4.社外へのEmotetばらまきの踏み台にされる

Emotetで窃取したOutlookのメール情報を利用し、取り引き先や顧客へEmotetのばらまきメールを配信します。感染端末が増加するだけでなく、顧客へのばらまきメールが発生した場合には顧客への注意喚起や補償の対応が必要となり、企業のブランドイメージの低下につながります。

Emotetへの有効な対応策とは

ここまで、国内で猛威を振るうEmotetについて、その特徴と感染した場合の影響について解説してきました。Emotetの特徴を踏まえると、対策のポイントとしては次の3点があげられます。

EMOTET(エモテット)の特徴 対応策
メール添付したMicrosoft WordやExcelのマクロを利用してEMOTET(エモテット)の本体ファイルをダウンロードし、感染する。 マクロの利用に対してセキュリティ製品で制御を行う。
情報窃取などの活動を行う際には、専用のモジュールをダウンロードし、メモリ上で動作させる。 メモリ上の不審な動作に対して対策ができるセキュリティ製品を活用する。
ワーム機能を有しており、ネットワーク内で自己増殖し、感染端末を増加させる。 境界型ではなくエンドポイントでのマルウェア対策(アンチウイルス)を強化する。


また前提として基本的な対策が行われていることも非常に重要となります。
Emotetへの対策の基本として、JPCERTコーディネーションセンターでも以下の対策を推奨しています。

・組織内への注意喚起の実施
・マクロの自動実行の無効化(事前にセキュリティセンターのマクロの設定で「警告を表示してすべてのマクロを無効にする」を選択しておく)
・メールセキュリティ製品の導入によるマルウェア付きメールの検知
・メールの監査ログの有効化
・OSに定期的にパッチを適用(SMBの脆弱性を突く感染拡大に対する対策)
・定期的なオフラインバックアップの取得(標的型ランサムウエア攻撃に対する対策)

このような対策が推奨される一方で、Emotetはその巧妙な手法によって、いつの間にかネットワーク内に潜伏し、活動している恐れがあります。
Emotetを「侵入させない」対策に加えて、「侵入した場合に、感染前に検知ができる」対策として、エンドポイントのアンチウイルス製品の強化が非常に重要です。

エムオーテックスが提供するアンチウイルス「Deep Instinct」は、AI技術を活用した革新的な手法で、Emotetに対しても高精度で検知し、感染を未然に防ぐことが可能です。

例えば、WordやExcelファイルに悪性のマクロが仕組まれている場合、Deep InstinctのAIが事前検知して、WordやExcelを開かせないように制御します。
「Emotetだと気付かず、ファイルを開いてしまった」という事態を防ぎます。

現在、AIアンチウイルス「Deep Instinct」を無料で体験できるキャンペーンを実施中です。
Deep Instinctを台数無制限でインストールでき、既にご利用されているウイルス対策ソフトとの共存も可能です。また、操作方法のレクチャーや質疑応答も無料で対応させていただきます。
Deep Instinctで、ネットワーク内にEmotetが潜伏していないかを確認しませんか?

AIを活用した最新鋭のアンチウイルスを、Emotetの対策にぜひお役立てください。

進化したAIアンチウイルス
「CPMS powered by Deep Instinct」を無料体験

無料体験する

恐怖のマルウェア”Emotet”にどう対抗するか

恐怖のマルウェア”Emotet”にどう対抗するか

対策していても感染!?
最恐のマルウェア「EMOTET(エモテット)」の特徴と、有効な対応策について解説します。

資料ダウンロードはこちら

関連記事

流行中のマルウェアEmotetについて、感染有無を確認できるツール
“EmoCheck”をご紹介していますのでご活用ください。

自社ネットワーク内に潜むEmotet(エモテット)を一網打尽!
感染有無確認ツール「EmoCheck」活用のすすめ