IT時事ネタキーワード「これが気になる！」（第90回）エモテット10カ月ぶり活動再開

　エモテットの復活についてはセキュリティ企業「Recorded Future」のリリース（英文）が詳しい。これによれば、2021年1月のユーロポールによるテイクダウンから10カ月後、エモテットの活動の再開を確認。4月25日に「完全制圧」といわれた中での復活は、驚くべきことと書かれている。

　11月15日、トリックボットという別のマルウエアが、以前トリックボットに感染したシステムにエモテットをインストールすることで、エモテットのコントロールサーバーの復活に成功した。添えられたスクリーンショットは、テイクダウンから復活までのエモテットの休止期間が見て取れる。くしくも復活したタイミングはエモテットを制圧したセキュリティチームの3周年の記念日だ（そのタイミングを意図していたのかは不明）。

　サイバー救急センターを運営するセキュリティ企業・LACによれば、11月の17日頃から日本組織においても攻撃メールが届き始めたという。IPAも「11月からEmotetの攻撃活動が再開し、ウイルスに感染させる手口に変化がありつつ、12月現在も攻撃が継続しています。また、少数ながら企業等からIPAへ被害の相談が寄せられています」と記述。「今後、再び被害が拡大していく可能性があり、改めて注意を徹底していただくようお願いします」と注意を喚起した。

　エモテットの状況については、IPAの『「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて』に詳しく書かれている。なお、何かある都度追記される方式になっており、右上の「最終更新日」を確認のうえ、履歴から新情報を定期的にチェックすることをお勧めする。

文書ファイルの「編集を有効にする」に注意

　復活したエモテットはこれまでの攻撃と同様、取引先や知り合い、公共機関などを装ったメールに添付したファイルを開かせる手口が主だ。なお、メールを経由して入手したオフィス文書ファイルを開いてしまった場合、「編集を有効にする」「コンテンツの有効化」はクリックしてはならない。

　12月9日に追記された「攻撃活動再開後の状況／被害相談の例」には、新たな攻撃手口である「Excelファイルの悪用」と「PDF閲覧ソフトの偽装」が掲載されている。

　Excelファイルの悪用については、数カ月前に着信した取引先の相手のメールによく似た文面で、Excelファイルが添付されていた事例が紹介されている。相談者は急ぎの用件と思い確認しようと添付ファイルを開き、特に意識せず「コンテンツの有効化」ボタンをクリックした。翌日、別の取引先や知人から、相談者を詐称した不審メールが送られてきたとの連絡で、ウイルス感染被害に気付きIPAに相談したという経過だ。

　PDF閲覧ソフトを偽装する新しい手口についてはメールの本文中のURLをクリックすると、閲覧可能なPDFファイルが存在するかのような画面（攻撃者の用意した偽のWebサイト）へ誘導される。そこでPDF文書ファイルの閲覧ソフトを装ったウイルスファイルをダウンロードさせ、利用者の手で実行させるというものだ。

　エモテットの攻撃では、過去にやり取りされたメールが攻撃者に盗まれ、内容やメールアドレスが転用されて、ウイルスメールとして送られるケースが多い。重要な顧客や取引先、あるいは知人からのメールに見えても、すぐに添付ファイルやURLリンクは開かず、本物かどうか落ち着いて確認し、必要に応じて電話やテキストメッセージなど、確実な手段で送信元へ問い合わせるよう心掛けよう。

感染の可能性があるときはツール「EmoCheck」で確認など対策

　エモテットの予防策や対策については、JPCERT/CC（JPCERTコーディネーションセンター）の「マルウエアEmotetへの対応FAQ」が分かりやすい。主な例については、画像付きで解説されている。最終更新日が2021年12月1日となっているので、常に新しい状況に対応しているのが分かる。さらに、実際の攻撃への対策は、1月13日更新の「侵入型ランサムウェア攻撃を受けたら読むFAQ」が有用だ。

　感染有無の確認手段として、エモテット感染有無の確認を行うツール「EmoCheck」が同ページで紹介されているので、疑わしい場合は使ってみるとよい。ツールの提供とともに、感染が判明したときの駆除方法、活動が行われたかどうかのチェック方法なども詳しく解説されていて、参考になる。

　困ったときの相談窓口としては、IPAの「情報セキュリティ安心相談窓口」がお薦めだ。「よくあるご相談」「役立つコンテンツ」などをよく読んだうえ、電話、メール、FAX・郵送などで相談しよう。実際に被害に遭い自分の名前でメールが送られたなどの場合の相談や届け出は、「標的型サイバー攻撃特別相談窓口」から行える。

　最近、企業や機関がランサムウエア攻撃で身代金を要求された場合、身代金を払わない企業も増えてきているという。優秀なシステムがあれば、復旧用のソフトウエアと、ネットワーク外に保管されたバックアップから、データはある程度復旧できるからだ。

　システム復旧のノウハウの向上などで身代金を支払わない企業が増え、攻撃側も個人情報や特殊な情報などにターゲットを変えつつある話もある。サイバーセキュリティは“いたちごっこ”だ。攻撃者は裏掲示板などでエキスパートを募り、分業してあらゆる手段を使う。引き続き警戒と情報収集を怠らないよう心掛けたい。

※掲載している情報は、記事執筆時点のものです