「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説 | ScanNetSecurity
2024.03.19(火)

「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説

トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

脆弱性と脅威 脅威動向
 トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

 トレンドマイクロでも、Emotetを拡散させるマルウェアスパム、新たなEmotet本体とそのドロッパーの検体、及び遠隔操作サーバ(C&Cサーバ)などの活動再開を確認しているという。

 トレンドマイクロによると、Emotetのボットネット再構築の初期段階では、別のボットであるTrickbotからのダウンロードが使用されている。既にEmotetのボットネットからのマルウェアスパム送信の再開も確認済みで、その拡散手法として、テイクダウン前と同様に不正マクロを含むWordもしくはExcel文書ファイルからEmotet本体であるDLLファイルがダウンロードされ、実行される流れを確認している。

 不正マクロを含む文書ファイルはメールへの直接添付に加え、パスワード付き圧縮ファイルに含まれている場合も確認しており、その他本文内のURLからダウンロードするケースも報告されている。これらの不正文書ファイルを含むマルウェアスパムの内容は、テイクダウン前と同様、以前に送信したメールの返信形式のものも確認されている。現在は英文のマルウェアスパムのみで、日本語のスパムは観測されていない。Emotet活動再開後に見られた変化として、C&C通信がHTTPからHTTPSになったことを確認している。

 ラックではEmotetへの対策として、メールに添付されているOffice文書ファイルを安易に開かない、本文内にあるメールのリンクにはアクセスしないことを挙げ、Office文書ファイルを開封した場合でも、「コンテンツの有効化」ボタンをクリックせずにファイルを閉じるよう注意を呼びかけている。
《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×