JPCERT/CCは11月27日、マルウエア「Emotet」（エモテット）の感染報告が、10月後半から多数寄せられているとして注意を喚起した。実在の組織や人物を装ったメールに、Emotetが仕込まれたWord文書が添付されているという。
マルウエア「Emotet」の感染経路（図：JPCERT/CC）
Emotetは、主にメールに添付されたWordファイルやリンクを開くことで感染するマルウェア。感染すると、システムに保存されているネットワークパスワードや、Outlook・Yahoo!といったメールクライアントで使っているアカウント / パスワード、メールアドレス情報などが盗まれる。感染したPCは攻撃側の支配下に置かれ、盗んだメール情報を使った精度の高い攻撃で、周囲のPCへ被害を広げていく。
感染経路は主にメールの添付ファイル。Emotetが仕込まれた攻撃メールには実際のメール内容が転用されることがあり、取引先の担当者から送られているようにみえるメールでも、実はEmotetが盗んだ情報を元に攻撃者が送る「なりすましメール」の可能性があるという。添付のWordファイルには、「コンテンツの有効化」を促す内容があり、有効化すると（Wordのマクロ設定によっては有効化しなくとも）Emotetがダウンロードされる。
JPCERT/CCでは、Emotetの対策として以下を挙げている。
-
組織内への注意喚起の実施
-
Word マクロの自動実行の無効化
-
メールセキュリティ製品の導入によるマルウエア付きメールの検知
-
メールの監査ログの有効化
-
OSに定期的にパッチを適用（SMBの脆弱性をついた感染拡大に対する対策）
-
定期的なオフラインバックアップの取得（標的型ランサムウエア攻撃に対する対策）
メールに添付されたWordの「コンテンツ有効化」に注意。有効化すると、自動でEmotetがダウンロードされる恐れがある（図：JPCERT/CC）
また、自組織のアドレスになりすましたWord添付メールが届いたと外部組織から連絡があった場合や、Wordファイルが添付されたメールやなりすましメールが大量に送信されていることを確認した場合などは、自組織の端末がEmotetに感染している可能性がある。
感染後の対応としては、感染した端末をネットワークから隔離したり、メールのパスワードを変更したりすることを推奨。また、セキュリティ専門ベンダへ相談した上で、下記の対策を実施することを勧めている。
-
対策ソフトによる全端末のフルスキャン
-
感染した端末を利用していたアカウントのパスワード変更
-
ネットワークトラフィックログの監視
-
調査後の感染した端末の初期化
