巧妙化する怪しいメール

新型コロナウイルスへの注意喚起や賞与通知をかたる「Emotet」の進化する手口

2019年にさまざまな日本企業を襲ったマルウェア「Emotet」とは何か。専門家の話を基に、動向と対策を紹介する。

公開 2020年03月26日 05時04分

著者

大久保心織

[TechTargetジャパン]

印刷する

　2019年後半から国内で感染が広がっているマルウェア「Emotet」。どのような攻撃手段を用い、どのような危害を及ぼす恐れがあるのか。NRIセキュアテクノロジーズが観測した最新の脅威情報を基に解説する。

併せて読みたいお薦め記事

メールセキュリティ対策を知る

メールによるサイバー攻撃

Emotetとは

　Emotetは2014年ごろに初めて観測されたマルウェアで、メールが主な拡散経路だ。攻撃者はメールに「Microsoft Word」形式のファイルを添付したり、メールの本文中に悪質サイトのURLを挿入したりして、標的にそれらのファイルやリンクを開かせることでデバイスの侵害を試みる。

　感染の流れはこうだ。標的がWord形式のファイルを開くとマクロが起動し、コマンド実行ツール「PowerShell」を起動させてEmotet本体である実行可能ファイルをダウンロードする。メール本文中にURLが挿入された場合も同様に、標的がリンクをクリックして悪質サイトにアクセスすると、勝手に実行可能ファイルのダウンロードが始まる。その後実行可能ファイルが自動で起動し、デバイス内の機密データを盗み取ったり、別のマルウェアをダウンロードしたりといった攻撃につなげる。

　NRIセキュアテクノロジーのセキュリティオペレーションセンター（SOC）が観測したデータによれば、Emotetは2019年9月から10月にかけて活動が活発化した。その後同年12月に一旦活動を休止する動きを見せたものの、2020年1月に入って活動を再開した。この期間に国内企業のEmotetに対する警戒度は急速に高まった。これはセキュリティインシデント対策を推進する一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が2019年11月にEmotetに関する注意喚起を公開したことにも表れている。JPCERT/CCはこの注意喚起の中で「2019年10月後半からEmotetの感染に関する相談を多数受けている」旨に言及し、対策を呼び掛けている。

巧みな日本語を操る攻撃者

NRIセキュアテクノロジーズの天野一輝氏

　国内でEmotetが大規模に拡散した原因として、NRIセキュアテクノロジーズでセキュリティアナリストを務める天野一輝氏は「日本企業を狙った攻撃活動の増加」を挙げる。

　Emotetは標的が過去にやりとりした取引先のメールアドレスを装うだけでなく、メールの文面を引用するといった手法を用いる。こうした手口に加えて、2019年11月から年末にかけて「賞与通知」、2020年1月に入ってからは「新型コロナウイルス」などを件名に含むメールが見つかるなど、標的が関心を持ちそうな要素を巧みに利用する。

　天野氏によると、メールを用いたサイバー攻撃を観測する時間帯は夕方が多い一方で、Emotetを観測する時間帯は午前中に集中する傾向がある。「国内企業では『出勤後すぐメールを確認する人が多い』という事情をEmotetの攻撃者が理解しており、午前中にメールが開かれることを狙っているのではないか」と同氏は分析する。

　2020年1月以降に観測したメールでは「攻撃者が学習したと思われるほどメールに使用される日本語が上達している」と天野氏は言う。「齟齬」（そご）などの難しい単語の使用、本文の内容と一致した名前のファイルの添付といった事例があり、今後も警戒が必要だ。

対策はメールセキュリティの強化

　Emotet対策に役立つセキュリティ製品としては以下が挙げられる。

メールセキュリティ製品
- 「フィルタリング」機能や「メール無害化」機能によってメールによるEmotetの侵入を防ぐ。フィルタリング機能は、エンドユーザーに届く前に悪質メールを除外する機能を指す。メール無害化機能は、有害な添付ファイルを画像化したり、メール本文に含まれる悪質なリンクを無効化したりと、攻撃につながる要素を取り除く
セキュリティ教育サービス
- 「標的型攻撃メール訓練」サービスのような従業員に対するセキュリティ教育サービスを利用して、エンドユーザーが悪質なメールを受信した際の適切な対処を支援する
エンドポイントセキュリティ製品
- プログラムの不審な振る舞いを検出する機能で、PowerShellの起動プロセスを監視する

　こうしたセキュリティ製品の利用だけでなく、JPCERT/CCが配布している感染確認ツール「EmoCheck」の利用、「Microsoft Office」形式ファイルのマクロの無効化なども有効だ。

　国内企業の事情に合わせた巧みな攻撃を仕掛けるEmotetは、今後も進化を続けると考えられる。「国内外の配布元Webサイトを使い分けている形跡があるが真意は不明」（天野氏）であるなど、引き続き警戒が必要だ。メールという日常的に触れるコミュニケーションツールに潜む脅威だからこそ、日頃からの対策に努めたい。

印刷する