初回投稿 2018年1月5日

Emotet対策3つとウイルス感染経路Wordファイルdoc添付メールが地雷

マルウェアEmotet/エモテットとは? Windows PCウイルス対策で被害を100%防ぐ無料Emotet対策。ウイルスバスター/カスペルスキー/ノートン/ESET検出名。迷惑メール経路のWordファイルdoc/docm/rtfはMac、Androidスマホ、iPhoneでEmotet影響あり?

明らかに怪しい、あるいは必ずしも怪しいとは判断できない Eメール を受け取った?

  • Eメールに 添付ファイル がある

  • 添付ファイルはないものの
    Eメール本文中に記載された URL or リンク のクリック誘う

そんな危険な 迷惑メール(スパムメール) が、世界中のEメールアドレス宛てにバラ撒かれています。



不審な迷惑メールの特徴は?

迷惑メールの内容やテーマは次のようなパターンで、文書(ドキュメント)ファイルを確認するよう誘います。

  1. 金銭の支払いネタな請求書、Invoice(インボイス)

  2. 実在する国際運送会社を名乗る荷物の配達通知

不審メールにマクロウイルスの感染手口

受け取った迷惑メール(スパムメール)から入手できるファイルの形式は具体的にナニ?


請求書や通知と称した文書がEメールで送られてくるシチュエーションは必ずしも不自然とは言えないはずです。

セキュリティ製品やメールソフトのスパムフィルターは、文書ファイルという形式だけを見て安直に弾くことができず、古典的な Windows 向け実行ファイル(拡張子 .exe) でもないから、ファイルを手にしたユーザーさんに怪しまれないメリットもあります。

このワードファイル .doc .docm .rtf の正体は マクロウイルス という脅威であり、Windows 環境を攻撃ターゲットにするマルウェア Emotet 〔読み方 エモテット〕 の感染を意図するものです。

【マクロウイルス とは】 無題な濃いログ
オフィスソフト Microsoft Office に実装されている標準機能 Visual Basic for Application、いわゆるマクロを悪用して、不正な攻撃を行うコンピュータウイルス。
マクロウイルスは Microsoft Office がインストールされてある Windows 環境で特に影響があり、その実体は Word ファイルや Excel ファイルにすぎないので、見た目で脅威を判別できないから厄介。
ちなみに、マクロウイルスは何かしらセキュリティ上の欠陥 (脆弱性) を悪用する類ではないので、Windows Update は直接的な効果がないところにも注意が必要。
世界初のマクロウイルスは1995年に確認されているものの、決して化石のような過去の遺物ではなく、2014年あたりからEメールを介してマクロウイルスをつかませる手口として ”復活” している。
Emotet とは 無題な濃いログ
Emotet 〔読み方 エモテット〕 は、欧州の国をターゲットにネットバンキング不正送金を意図するコンピュータウイルスとして2014年6月に初めて 報告(Trend Micro) された Windows の脅威。ネットバンキングウイルス Cridex の後継として投入されたと考えられている。
なお、Emotet はあくまでセキュリティ会社が勝手に名付けたものなので、アンダーグラウンド界での正式名はナゾ。
2017年4月あたりから、ネットバンキングウイルス、スパイウェア、ランサムウェアといった任意の実行ファイルを PC に送り込んで感染させる ”配信プラットフォーム” の性質を持つ 「ダウンローダー型トロイの木馬」 へ特化する路線の変更を経て、現在に至る。
Emotet 開発者グループの呼称 … TA542(Proofpoint)、MUMMY SPIDER(CrowdStrike)、Mealybug(Symantec)

なお、Emotet は特定の組織を狙った標的型攻撃ではなく、一般ユーザーも影響を受けうるウイルスメール攻撃が展開されているので、地球上の全 Windows ユーザーさんがターゲットです。

Windows XP/Vista/7/8/10 … マクロウイルスや Emotet の影響あり
macOS … Eメールの受信はあっても、マクロウイルスや Emotet の影響なし
Android スマホ
iOS (iPhone / iPad)
ガラケー Firefly
Linux
人体


心を操られる!? マクロを許可させる巧妙な手口

別に影響のない Mac やスマホではなく、Windows 上で不正なワードファイル .doc .docm .rtf を開いたらどうなる?

マルウェア Emotet ダウンローダーの攻撃処理を含むマクロ入り Word 文書ファイル 拡張子 doc docm rtf
Emotet 感染の引き金 Word ファイル

まず最初に、Microsoft Office の [Enable content] (日本語の表記は [コンテンツの有効化]) ボタンを押すよう英語で指示を出す案内メッセージが記載されてある文書が表示されました。

~ マクロを許可するよう指示するメッセージ例 ~

This document created in online version of Microsoft Office Word To view or edit this document, please click Enable editing button on the top yellow bar, and then click Enable contentYou are attemping to open a file that was created in an earlier version of Microsoft Office. If the file opens in Protected View, click Enable Edition and then click Enable Content. This document only available for desktop or laptop versions of Microsoft Office Word. To open the document, follow these steps: Click Enable editing button form the yellow bar above. Once you have enabled editing, please click Enable content button.This document was created in OpenOffice. To edit this document, click Enable editing button from the yellow bar above. Once you have enabled editing, please click Enable content button form the yellow bar above. You are attemting to open a file that was created in an earlier version of Microsoft Office if the file opens in Protected View, click Enable Editing and then click Enable CententMicrosoft Office Activation Wizard Thank you. Your copy of Microsoft Office is activated. To make you changes take effect, click Enable Editing and Enable Content PROTECTED VIEW The action can't be completed because the file is open in Protected View. Some active content has been disabled. Click Enable Editing and Enable Content. Word couldn't start last time. Safe mode could help you troubleshoot the problem. To start Microsoft Word in safe mode press Enable Editing and Enable Content. PRODUCT NOTICE Word hasn't been activated. To keep using Word without interruption, Enable Editing and Enable Content.

この英語のメッセージは ユーザーを騙す完全なウソ です。

  1. Microsoft Office はデフォルトではマクロを動作させない制限がある

  2. 一方で、マクロの動作を Windows ユーザーさんの意思において ”手動で許可” できる

この ”手動で許可” が深刻な事態を招くトラップになっています。

Emotet(エモテット) の感染を狙うメール攻撃者は、ブチ当たる人間の壁に真っ向から立ち向かい、コトバを使って 人間の脳に囁いて心を操る戦略 を投入し、マクロの動作の許可を誘います。

イメージ 1
セキュリティの警告 [コンテンツの有効化]

かなりヤバいことに、Word ファイルを開いた直後に警告された意図が分からない Windows ユーザーさんがいて、中には警告されたという認識もなく、ファイルを正常に表示する作業の一環と思い込みます。

こうして、躊躇することなく自爆ボタン [コンテンツの有効化] をポチッとな → ドッカ~ン! THE END!

悲しいかな、警告や確認の場面があるのに、何も考えずに進めるユーザーさんが必ずいて、セキュリティソフトは羽交い締めにでもして人間の行動をリアルに 「押すな!」 と阻止できないのが現実です。


PowerShell や Windows Script の悪用で Emotet 感染

どう対処すれば Emotet(エモテット) に感染しなくなるのか?

現物を調査すると、ウイルス対策のポイントが丸分かりなので、不正な Word ファイルを開く → マクロを許可する → 攻撃をモロに喰らう、という感染実験を行ってみました。

その時の Windows のプロセスの様子がコチラ♪ (使用ソフト Sysinternals Process Explorer)

マクロウイルスなワード文書ファイル .doc を開き、[コンテンツの有効化] ボタンを押してマクロの動作を許可するとマルウェア Emotet に感染する直前の Windows の様子。プロセスで Microsoft Word のツリーにぶら下がる PowerShell が Emotet の実行ファイルをダウンロード
《過去》 2019年2月までのプロセスの様子
Microsoft Word -> コマンドプロンプト -> PowerShell

マクロが処理されると、Microsoft Word とのプロセスの親子関係を分離させる目的で WMI wmiprvse.exe から PowerShell を起動する
《現在》 プロセスの様子 2019年2月~
WMI WmiPrvSE.exe -> PowerShell

Emotet ダウンロードに JScript Encoded Script ファイル .jse を開いて wscript.exe Windows Script Host を起動する
《過去》 プロセスの様子 2020年1月
Microsoft Word -> wscript.exe

Windows のシステムに最初から組み込まれている正規プログラム PowerShell、…実行ファイルでいう powershell.exe が起動するパターンだと、いったいぜんたい PowerShell は何をしているのでしょうか?

powershell.exe に渡されたパラメータ enco のスクリプトは Base64 エンコードで難読化されていて攻撃処理の内容が判断できない
powershell.exe に渡されたパラメータ文字列
 Base64 エンコードの処理があって読み取れず

Base64 のデータをデコードして難読化を解除すると PowerShell スクリプトには 5つの URL に接続を試みて .exe ファイルをダウンロードしてきて実行する
デコード後の PowerShell スクリプトの内容
ナゾの URL アドレスが5つ見えたっ!

この URL が外部ネットワークの ”ウイルス置き場” であり、powershell.exe を介して接続を試みて、マルウェア Emotet(エモテット) の実行ファイル .exe をダウンロードしてきます。 (使用ソフト Telerik Fiddler)

イメージ 6
powershell.exe による通信トラフィックの様子

  • ウイルス置き場
    WordPress を使用しているハッキングされた一般サイトのサーバーを悪用している
    運営者が気づいて対処するのを見越して、予備を含む5つの接続先が準備されてある

  • PC はもともと安全と判定されている一般サイトの正当なサーバーに接続するだけ
    → セキュリティ製品を迂回されうる

一連の流れをまとめると、Windows ユーザーさんの意思でワードファイル .doc .docm .rtf をポチポチッと開いて、マクロの動作を許可するボタンをポチーッと押した結果、メインとなるマルウェア Emotet(エモテット) が裏でコッソリとダウンロードされてきて感染する、となります。


キュリティソフトを真っ先に出し抜こうとする Emotet

ちなみに、こういう風に PowerShell を悪用してメモリ上にのみ攻撃処理を展開する手法のことを、セキュリティ界隈では 「ファイルレス攻撃」 「ファイルレス マルウェア」 と呼びます。

  1. 正当な場面でも使われる Office マクロ、WMI、PowerShell、Windows Script の悪用
    → ウイルス感染を防ごうと頑張る セキュリティソフトの検出が迂回される

  2. Windows ユーザーさんは裏で起こったトンでもな攻撃にサッパリ気づけない
    → 何かウィンドウ画面が表示されることもなく 感染症状として目に見ない

この恐ろしい攻撃を防ぐため不安を煽りつつ、Emotet(エモテット) の対策と称して ”サイバーセキュリティ製品” を便乗 PR する記事も目にする?

Emotet 対策3つでウイルス感染防ぐ

迷惑メールで Emotet(エモテット) をいきなり手渡されることはないことを押さえた上で、Windows PC を護る有効な Emotet 対策として、次の3つの作業でバシッと先手を打つのがポイントです。

  1. マクロウイルスの根本的な防止対策 (無料)

  2. ファイアウォールの設定で Emotet 対策

  3. スクリプトファイルのウイルス感染防止対策 (無料)

「怪しいEメールを開かない」 「不審なファイル・URLを開かない」 を口で唱える
対応が後手に回り、後出しジャンケンの様相になっているセキュリティソフトに託す
→ そんな Emotet 対策は破綻するからダメ

ってことで、Emotet(エモテット) に100%感染しなくなる効果的な 無料ウイルス対策 がコチラ♪


【1】 Emotet 対策としてマクロウイルスの無効化

そもそも、マクロウイルス対策は Microsoft Office に最初から標準実装されています<対策にお金がかからない

具体的な作業は、Microsoft Word や Microsoft Excel の [オプション] → 左メニューの [セキュリティセンター](トラストセンター) → [セキュリティセンター](トラストセンター) ボタン → 左メニューの [マクロの設定] で4択オプションの変更です。

お金がかからないマルウェア Emotet の対策として、Microsoft Word / Excel のセキュリティ設定を変更しマクロ感染型ウイルスの無害化 「警告を表示してすべてのマクロを無効にする」→「警告を表示せずにすべてのマクロを無効にする」
Microsoft Office で Emotet 対策

警告を表示せずにすべてのマクロを無効にする(L) 【推奨】
警告を表示してすべてのマクロを無効にする(D) 【注意】
● デジタル署名されたマクロを除き、すべてのマクロを無効にする(G) Firefly
すべてのマクロを有効にする(推奨しません。危険なコードが ~ あります)(E) 【危険】

4択の中で、2番目の 「警告を表示して」 は、感染発動の引き金になっている [コンテンツの有効化] ボタンのことです。

→ Emotet 感染リスクあり
→ Emotet 感染リスクなし

設定を切り替えてマクロの動作を無効化しておくと、不正な Office ファイルをうっかり開いても Emotet(エモテット) に感染する直前のマクロの動作が処理されず、Emotet 対策として究極の100%感染回避が達成されます。

以下2つは、追加的な Emotet 対策です。


【2】 ファイアウォールの設定で Emotet 対策

上で触れたように、外部ネットワークから Emotet の実行ファイルを落としてくる ”ダウンローダー” の役割として、 Windows に組み込まれている Microsoft の正規プログラムが悪用されてます。

そこで、任意のソフトウェアの外部通信を制御する ファイアウォール の出番です。

powershell
Windows 標準のファイアウォールでブロックする?

あらかじめ、次の実行ファイルを ファイアウォールの外部通信 (送信側、アウトバウンド) でブロック対象に登録しておくと、狡猾な Emotet 攻撃者を確実に出し抜けます。

  • powershell.exe

  • wscript.exe

この Emotet 対策は、利用しているセキュリティソフトに用意されているファイアウォール機能を使う、あるいは Windows に最初から搭載されている Windows ファイアウォール で、追加投資なく実現できます。





【3】 スクリプトファイルのウイルス感染対策

不正な Windows スクリプトファイル .js .jse を開かせる攻撃手口や、”ダウンローダー” として wscript.exe が悪用される場合に有効な無料ウイルス対策です。

wscript-jse-emotet
実行するかセキュリティ警告する確認ウィンドウの表示例





[おまけ] 一般的なセキュリティ対策2つ

ウイルスメールで Emotet 感染経路ではなく、Windows 環境でネットサーフィン中に ”ウェブサイトを見る” という他愛のない行為からマルウェアが強制インストールされる被害を防ぐ有効なセキュリティ対策です。

  1. 定例更新 Windows Update の今月分は適用できている?
    https://www.microsoft.com/ja-jp/safety/protect/musteps.aspx

  2. ブラウザアドオン Adobe Flash Player は最新版に更新できている?
    https://get.adobe.com/jp/flashplayer/about/

感染確率0%に近づける有効な無料ウイルス対策をせず、ウイルス攻撃者と ”イタチごっこ” しているセキュリティソフトにすべてを託していると、Emotet に限らずトロイの木馬、スパイウェア、ランサムウェアの餌食になる悲惨な末路を迎えます。

Emotet ウイルスメール関連トピックス


Emotet ウイルスメール注意喚起ページ

ヒューマンエラー(人為的ミス) を引き起こすことが確実な人間に対して、『怪しいEメールを開くな』(←無謀な要求で無理) といった ”自力で見抜いて気合でどうにか頑張れ” 的な似非ウイルス対策で済ませていたら ダメ です。

● 公益財団法人東京都保健医療公社が運用する端末等に対する不正アクセス被害の発生による、メールアドレス等の個人情報の流出と対応について - 東京都
http://www.metro.tokyo.jp/tosei/hodohappyo/press/2019/06/07/06.html

● マルウエア Emotet の感染に関する注意喚起 - JPCERT/CC
https://www.jpcert.or.jp/at/2019/at190044.html

● 「Emotet」と呼ばれるウイルスへの感染を狙うメールについて - IPA 情報処理推進機構
https://www.ipa.go.jp/security/announce/20191202.html


関連する Emotet マルウェアの検出名

Emotet 攻撃者はセキュリティソフトのウイルス定義データで検出されない新鮮な Emotet 亜種を随時投入しています。

仮に Windows PC が Emotet に感染しても、セキュリティソフトに追って駆除されないよう、自分自身を一日に複数回更新し続けて、ユーザーに気づかれることなく Emotet の最新バージョンを維持できる耐久性があります。

【Wordファイル .doc .docm .rtf】

ESET GenScript VBA/TrojanDownloader.Agent.MUV VBA/TrojanDownloader.Agent.REF VBA/TrojanDownloader.Agent.RFF VBA/TrojanDownloader.Agent.RGB VBA/TrojanDownloader.Agent.RGL VBA/TrojanDownloader.Agent.RGO VBA/TrojanDownloader.Agent.RGQ VBA/TrojanDownloader.Agent.RGY VBA/TrojanDownloader.Agent.RHP VBA/TrojanDownloader.Agent.RIT VBA/TrojanDownloader.Agent.RIH VBA/TrojanDownloader.Agent.RIU VBA/TrojanDownloader.Agent.RJX VBA/TrojanDownloader.Agent.RKK VBA/TrojanDropper.Agent.ARR VBA/TrojanDownloader.Agent.RKE VBA/TrojanDownloader.Agent.RKU VBA/TrojanDownloader.Agent.RKV VBA/TrojanDownloader.Agent.RLF VBA/TrojanDownloader.Agent.RLL VBA/TrojanDownloader.Agent.RMA VBA/TrojanDownloader.Agent.RMM VBA/TrojanDownloader.Agent.RNH VBA/TrojanDownloader.Agent.RNP VBA/TrojanDownloader.Agent.ROD VBA/TrojanDownloader.Agent.MKP JS/TrojanDownloader.Agent.UEX

Kaspersky HEUR:Trojan.MSOffice.SAgent.gen HEUR:Trojan.Script.Generic HEUR:Trojan-Dropper.MSOffice.SDrop.gen Firefly

McAfee W97M/Downloader.xx W97M/Downloader.ip W97M/Downloader.zu W97M/Downloader.aga W97M/Downloader.aew W97M/Downloader.ate W97M/Downloader.bid W97M/Downloader.bhy W97M/Downloader.bjd W97M/Dropper.da W97M/Downloader.aie W97M/Downloader.bip W97M/Downloader.biy RDN/Generic Downloader.x RDN/Emotet

Microsoft
TrojanDownloader:O97M/Emotet!MTB TrojanDownloader:O97M/Emotet.ARJ!MTB TrojanDownloader:O97M/Emotet.UO!MTB TrojanDownloader:O97M/Emotet.VB!MTB TrojanDownloader:O97M/Emotet.VD!MTB TrojanDownloader:O97M/Emotet.AR!MTB TrojanDownloader:O97M/Emotet.VQ!MTB TrojanDownloader:O97M/Emotet.ASR!MTB Trojan:O97M/Sonbokli.A!cl Trojan:Script/Casur.A!cl Trojan:Script/Oneeva.A!ml Trojan:Script/Conteban.A!ml Trojan:Script/Foretype.A!ml Trojan:O97M/Foretype.A!ml TrojanDropper:O97M/Powdow!rfn Trojan:O97M/Madeba.A!det

Symantec W97M.Downloader ISB.Downloader!gen60 ISB.Downloader!gen76 ISB.Downloader!gen92 ISB.Downloader!gen186 ISB.Downloader!gen279 ISB.Downloader!gen334 Firefly

Trend Micro Trojan.W97M.POWLOAD.TIOIBEHQ Trojan.W97M.POWLOAD.TIOIBEHY Trojan.W97M.POWLOAD.TIOIBEID Trojan.W97M.POWLOAD.TIOIBEIA Trojan.W97M.POWLOAD.TIOIBEIJ Trojan.W97M.EMOTET.JKBJ Trojan.W97M.EMOTET.JKBM Trojan.W97M.POWLOAD.EIL Trojan.W97M.POWLOAD.THAAHBO Trojan.W97M.POWLOAD.THAAGBO Trojan.W97M.POWLOAD.SMBB69 Trojan.W97M.POWLOAD.SMAD71 Trojan.W97M.EMOTET.JKBJ Trojan.W97M.EMOTET.JKCA Trojan.W97M.EMOTET.JKCC Trojan.W97M.EMOTET.JKCO Trojan.W97M.EMOTET.JKCP Trojan.W97M.EMOTET.JKCW Trojan.W97M.EMOTET.JKCY Trojan.W97M.EMOTET.JKCZ Trojan.W97M.EMOTET.JKDB Trojan.W97M.EMOTET.JKDC Trojan.W97M.EMOTET.JKDD Trojan.W97M.EMOTET.JKDE Trojan.W97M.EMOTET.JKDF Trojan.W97M.EMOTET.JKDP Trojan.W97M.EMOTET.JKDQ Trojan.W97M.EMOTET.JKDR Trojan.W97M.EMOTET.MLDT Trojan.W97M.EMOTET.MLDU Trojan.W97M.EMOTET.TIOIBEJL Trojan.W97M.DLOADR.TIOIBEJD TROJ_FRS Possible_SMPOWLOADBB4 HEUR_VBA.O2
【Emotet 実行ファイル .exe】

ESET Win32/Emotet.BN Win32/Kryptik Win32/GenKryptik
https://www.virusradar.com/en/Win32_Emotet/detail

Kaspersky HEUR:Trojan-Banker.Win32.Emotet.gen Trojan.Win32.Emograbber Trojan-PSW.Win32.Emostealer Trojan.Win32.Emospam UDS:DangerousObject.Multi.Generic FireflyFramer
https://threats.kaspersky.com/ja/threat/Trojan-Banker.Win32.Emotet

McAfee RDN/Emotet-Dropped Emotet-FPF

Microsoft Trojan:Win32/Wacatac.B!ml Trojan:Win32/Wacatac.C!ml Trojan:Win32/Emotet!ibt Trojan:Win32/Emotet!MTB Trojan:Win32/Emotet.ARJ!MTB TrojanDownloader:Win32/Emotet
https://www.microsoft.com/en-us/wdsi/threats/threat-search?query=Win32/Emotet

Symantec Trojan.Emotet Trojan.Emotet!g4 Trojan.Emotet!g5 Trojan.Emotet!g6 Trojan.Emotet!g7 Trojan.Emotet!g8 Trojan.Emotet!g9 Firefly
https://www.symantec.com/security-center/writeup/2017-071312-0253-99

Trend Micro TrojanSpy.Win32.EMOTET.SMD TrojanSpy.Win32.EMOTET.SMTHBGA.hp TrojanSpy.Win32.EMOTET.SMD6.hp TrojanSpy.Win32.EMOTET.SMC5 TrojanSpy.Win32.EMOTET.SML.hp Trojan.JS.EMOTET TSPY_EMOTET
https://www.trendmicro.com/vinfo/jp/threat-encyclopedia/search/trojanspy.win32.emotet

関連キーワード忘備録メモ

[エモテット とは] [エモテット 対策] [エモテット Mac] [エモテット ウイルスバスター] [エモテット スマホ] [エモテット iPhone] [エモテット ウィルス] [エモテット 被害] [Emotet 対策] [エモテット 感染 確認] [Emotet とは] [Emotet ウイルス] [Emotet 日本] [Emotet 感染経路] [Emotet 駆除] [Emotet 解析] [Emotet Mac] [Emotet macOS] [Emotet ESET] [Emotet ウイルスバスター] [Emotet iPhone] [Emotetto とは] [ウイルスメール 開いたら] [ウイルスメール 多い] [ウイルスメール 添付ファイル] [ウイルスメール 対策] [.doc とは] [.doc 開く] [.doc 拡張子] [doc ファイル] [docm ウイルス] [Word ファイル 添付] [Word形式 とは] [Word形式 ファイル] [ワードファイル とは] …

関連するブログ記事
請求書メールdoc/xls添付ファイルがウイルス セキュリティ対策