初回投稿 2018年1月5日

<解決>Emotet感染防ぐマクロウイルス対策とファイアウォール設定2つ

マルウェアEmotetエモテットとは? Windows PCウイルス対策で感染被害を100%防ぐ無料Emotet対策。ウイルスバスター/カスペルスキー/ノートン/ESET検出名。迷惑メール経路のWordファイルdoc/docmはMac、Androidスマホ、iPhoneでEmotet影響あり?

怪しい、あるいは必ずしも怪しいとは判断できない Eメール を受け取った?

  • Eメールに 添付ファイル がある

  • 添付ファイルはない一方、本文に記載された URL or リンク のクリックを誘う

そんな危険な 迷惑メール(スパムメール) が、世界中のEメールアドレス宛てにバラ撒かれています。


不審メールにマクロウイルスの感染手口

受け取った迷惑メール(スパムメール)から入手したファイルの形式は具体的にナニ?


請求書や通知と称した文書がEメールで送られてくるシチュエーション…、必ずしも不自然と言えないはずです。

セキュリティ製品やメールソフトのスパムフィルターは、文書ファイルの形式だけを見て安直に弾くことができず、古典的な Windows 向け実行ファイル (拡張子 .exe) でもないから、ファイルを手にしたユーザーさんに怪しまれないメリットがあります。

このワードファイル .doc .docm .xls の正体は マクロウイルス という脅威で、Windows 環境を攻撃ターゲットにするマルウェア Emotet 〔読み方 エモテット〕 の感染を意図するものです。

【マクロウイルス とは】 無題な濃いログ
マクロウイルスは、オフィスソフト Microsoft Office に実装されている標準機能 Visual Basic for Application、いわゆるマクロを悪用して不正な攻撃を行うコンピュータウイルス。マクロウイルスが影響する環境は、基本的に Microsoft Office がインストールされてある Windows か macOS になる。
その脅威の実体は Word ファイル (.doc .docm) や Excel ファイル (.xls) にすぎないので、ユーザーがファイルの見た目dけで脅威を認識することが難しく厄介。
---
なお、マクロウイルスは何かしらセキュリティ上の欠陥 (脆弱性) を悪用する類ではないので、セキュリティ対策として Windows Update の実施は直接的な効果が無いところにも注意が必要。
世界初のマクロウイルスはだいぶ前の1995年に確認されているものの、決して化石のような過去の遺物ではなく、2014年あたりからEメールを介してマクロウイルスをつかませる攻撃手口として ”復活” している。
Emotet とは 無題な濃いログ
Emotet 〔読み方 エモテット〕 は、欧州の国をターゲットにネットバンキング不正送金を意図するコンピュータウイルスとして2014年6月に初めて 報告(Trend Micro) された Windows の脅威。ネットバンキングウイルス Cridex の後継品として投入されたと考えられている。
2017年4月あたりから、ネットバンキングウイルス、スパイウェア、ランサムウェアといった任意の実行ファイルを PC に送り込んで感染させる ”配信プラットフォーム” の性質を持った 「ダウンローダー型トロイの木馬 Emotet」 に特化する路線変更を経て、現在に至る。
---
Emotet 開発者グループの呼称 … TA542 (Proofpoint)、MUMMY SPIDER (CrowdStrike)、Mealybug (Symantec)
Emotet はあくまでセキュリティ会社が勝手に付けた名称にすぎないので、Emotet に関与するサーバー犯罪者がアンダーグラウンド界で呼ぶ正式名はナゾである。

なお、Emotet ウイルスは特定の組織を狙った標的型攻撃ではなく、広く一般ユーザーも影響を受けうるウイルスメール攻撃が展開されています。 <地球上の全 Windows ユーザーさんが感染ターゲット

Windows XP/Vista/7/8/10 … マクロウイルスや Emotet の感染影響あり
macOS … Eメールの受信はあっても、マクロウイルスや Emotet の感染影響なし
Android スマホ
iOS (iPhone / iPad)
ガラケー Firefly
Linux
人体


心を操られる!? マクロを許可させる巧妙な感染手口

Windows 上で不正なワードファイル .doc .docm .rtf を開いたらどうなる?

マルウェア Emotet ダウンローダーの攻撃処理を含むマクロ入り Word 文書ファイル 拡張子 doc docm rtf
Emotet 感染経路になっている Word ファイル実物

まず最初に、Microsoft Office の [Enable content] (日本語の表記は [コンテンツの有効化]) ボタンを押すよう、英語で指示するメッセージが記載された文書が表示されます。

~ マクロを許可するよう指示するメッセージ例 ~

This document created in online version of Microsoft Office Word To view or edit this document, please click Enable editing button on the top yellow bar, and then click Enable contentYou are attemping to open a file that was created in an earlier version of Microsoft Office. If the file opens in Protected View, click Enable Edition and then click Enable Content. This document only available for desktop or laptop versions of Microsoft Office Word. To open the document, follow these steps: Click Enable editing button form the yellow bar above. Once you have enabled editing, please click Enable content button.This document was created in OpenOffice. To edit this document, click Enable editing button from the yellow bar above. Once you have enabled editing, please click Enable content button form the yellow bar above. You are attemting to open a file that was created in an earlier version of Microsoft Office if the file opens in Protected View, click Enable Editing and then click Enable CententMicrosoft Office Activation Wizard Thank you. Your copy of Microsoft Office is activated. To make you changes take effect, click Enable Editing and Enable Content PROTECTED VIEW The action can't be completed because the file is open in Protected View. Some active content has been disabled. Click Enable Editing and Enable Content. Word couldn't start last time. Safe mode could help you troubleshoot the problem. To start Microsoft Word in safe mode press Enable Editing and Enable Content. PRODUCT NOTICE Word hasn't been activated. To keep using Word without interruption, Enable Editing and Enable Content.

この英語のメッセージは Windows ユーザーを騙す完全なウソ です。

  1. Microsoft Office はデフォルト状態ではマクロを動作させないセキュリティ制限がある

  2. 一方、マクロの動作を Windows ユーザーさんの意思で ”手動で許可” ができる

この ”手動で許可” が深刻な事態を招く Emotet 感染トラップになっているのです。

Emotet の感染を狙うメール攻撃者は、人間の壁に真っ向から立ち向かい、コトバを使って 人間の脳に囁いて心を操る戦略でマクロの動作の華麗に許可させます

イメージ 1
セキュリティの警告 [コンテンツの有効化]

躊躇することなく自爆ボタン [コンテンツの有効化] をポチッとな → ドッカ~ン!感染 THE END!

* 不正な Word ファイルを開いた直後に警告される意図がサッパリ分からないユーザーさんがいる
* 警告の認識がなく Word ファイルを正常に表示する作業の一環と思い込むユーザーさんがいる

悲しいかな、警告や確認の場面があるのに、何も考えずにズンズン進めるダメな Windows ユーザーさんが必ず出現し、一方でセキュリティソフトはユーザーさんを羽交い締めにしてリアルに 「押すな!」 と阻止できません。


PowerShell の悪用で Emotet ウイルス感染に一直線

どう対処すれば Emotet(エモテット) に感染しなくなるのかいな?

『事件は会議室で起きてるんじゃない!現場で起きてるんだ!』 よろしく、現物を分析してみると、ウイルス対策のポイントが丸分かりなので Emotet 感染実験を行ってみました。

不正な Word ファイルを普通に開く

マクロをホイホイッと許可する

感染攻撃をモロに喰らう

その時の Windows のプロセスの様子がコチラ♪ (使用ソフト Sysinternals Process Explorer)

マクロウイルスなワード文書ファイル .doc を開き、[コンテンツの有効化] ボタンを押してマクロの動作を許可するとマルウェア Emotet に感染する直前の Windows の様子。プロセスで Microsoft Word のツリーにぶら下がる PowerShell が Emotet の実行ファイルをダウンロード
《過去》 2019年2月までのプロセスの様子
Microsoft Word -> コマンドプロンプト -> PowerShell

マクロが処理されると、Microsoft Word とのプロセスの親子関係を分離させる目的で WMI wmiprvse.exe から PowerShell を起動する
《現在》 プロセスの様子 2019年2月~
WMI WmiPrvSE.exe -> PowerShell

Emotet ダウンロードに JScript Encoded Script ファイル .jse を開いて wscript.exe Windows Script Host を起動する
《過去》 プロセスの様子 2020年1月
Microsoft Word -> wscript.exe

Windows のシステムに最初から組み込まれている正規プログラム PowerShell、…実行ファイルでいう powershell.exe が起動しているパターンだと、いったいぜんたい PowerShell は何を処理しているのでしょうか?

powershell.exe に渡されたパラメータ enco のスクリプトは Base64 エンコードで難読化されていて攻撃処理の内容が判断できない
powershell.exe に渡されたパラメータ文字列
 Base64 エンコードの処理があって読み取れず

Base64 のデータをデコードして難読化を解除すると PowerShell スクリプトには 5つの URL に接続を試みて .exe ファイルをダウンロードしてきて実行する
デコード後の PowerShell スクリプトの内容
ナゾの URL アドレスが5つ見えたっ!

この URL が外部ネットワークの ”ウイルス置き場” であり、powershell.exe を介して接続を試みて、マルウェア Emotet の実行ファイル .exe をダウンロードしてきます。 (使用ソフト Telerik Fiddler)

イメージ 6
powershell.exe による通信トラフィックの様子

  • Emotet 本体のウイルス置き場
    WordPress を使用しているハッキングされた一般サイトのサーバーを悪用している
    運営者が気づいて対処するのを見越して、予備を含む5つの接続先が準備されてある

  • セキュリティ製品を迂回されうる
    PC はもともと安全と判定されている一般サイトの正当なサーバーに接続するだけ

一連の流れをまとめます。

Windows ユーザーさんの意思でワードファイル .doc .docm .rtf をポチポチッと開いて、マクロの動作を許可するボタンをポチーッと押した結果、メインとなるマルウェア Emotet が裏でコッソリとダウンロードされてきて感染する、となります。


キュリティソフトを真っ先に出し抜く Emotet

ちなみに、こういう風に PowerShell を悪用してメモリ上にのみ攻撃処理を展開する手法のことを、セキュリティ界隈では 「ファイルレス攻撃」 「ファイルレス マルウェア」 と呼んでいます。

  1. 正当な場面で使われる Office マクロ、WMI、PowerShell、Windows Script の悪用
    → ウイルス感染を防ごうと頑張る セキュリティソフトの検出が迂回される

  2. Windows ユーザーさんは裏で起こったトンでもな攻撃にサッパリ気づけない
    → 何かウィンドウ画面が表示されることもなく 感染症状として目に見ない

この恐ろしい攻撃を防ぐため、いろいろ不安を煽りつつ Emotet の対策と称した ”サイバーセキュリティ製品” を便乗 PR する記事を目にするけど、購入を検討する必要性なし♪

Emotet 対策2つでウイルス感染100%防止

迷惑メールで Emotet をいきなり手渡されることはない、ということを押さえた上で、Windows PC を護る有効な Emotet 対策として、次の2つの作業で先手をバシッと打つのがポイントです。

  1. マクロウイルスの根本的な感染防止対策

  2. ファイアウォールの設定で Emotet 対策

次のような、Emotet 対策は破綻するからダメダメ

「怪しいEメールを開かない」 「不審なファイル・URLを開かない」 をお口の中で唱える
対応が後手に回り、後出しジャンケンの様相になっているセキュリティソフトにせんぶ託す

…ってことで、Emotet(エモテット) に100%感染しなくなる効果的な 無料ウイルス対策 がコチラ♪


【1】 Emotet 対策としてマクロウイルスの無効化

そもそも、マクロウイルス対策は Microsoft Office に最初から標準実装されています<対策にお金がかからない

具体的な作業は、Microsoft Word や Microsoft Excel の [オプション] → 左メニューの [セキュリティセンター](トラストセンター) → [セキュリティセンター](トラストセンター) ボタン → 左メニューの [マクロの設定] で4択オプションの変更です。

お金がかからないマルウェア Emotet の対策として、Microsoft Word / Excel のセキュリティ設定を変更しマクロ感染型ウイルスの無害化 「警告を表示してすべてのマクロを無効にする」→「警告を表示せずにすべてのマクロを無効にする」
Microsoft Office で Emotet 対策

警告を表示せずにすべてのマクロを無効にする(L) 【推奨】
警告を表示してすべてのマクロを無効にする(D) 【注意】
● デジタル署名されたマクロを除き、すべてのマクロを無効にする(G) Firefly
すべてのマクロを有効にする(推奨しません。危険なコードが ~ あります)(E) 【危険】

4択の中で、2番目の 「警告を表示して」 は、Emotet 感染の引き金になる [コンテンツの有効化] ボタンのことです。

→ Emotet 感染リスクあり
→ Emotet 感染リスクなし

設定を切り替えてマクロの動作を無効化しておくと、不正な Office ファイルをうっかり開いても Emotet に感染する直前のマクロの動作が処理されず、Emotet 対策として究極の100%感染回避が達成されます。


【2】 ファイアウォールの設定で Emotet 対策

上で触れたように、外部ネットワークから Emotet の実行ファイルを落としてくる ”ダウンローダー” の役割として、 Windows に組み込まれている Microsoft の正規プログラムが悪用されます。

そこで、任意のソフトウェアの外部通信を制御する ファイアウォール の出番です。

powershell
Windows 標準のファイアウォールでブロックする?

あらかじめ、次の実行ファイルを ファイアウォールの外部通信 (送信側、アウトバウンド) でブロック対象に登録しておくと、狡猾な Emotet 攻撃者を確実に出し抜けます。

  • powershell.exe

  • wscript.exe

この Emotet 対策は、利用しているセキュリティソフトに用意されてあるファイアウォール機能を使う、あるいは Windows に最初から搭載されている Windows ファイアウォール で、追加投資なく実現できます。





[おまけ] 一般的なセキュリティ対策2つ

ウイルスメールで Emotet 感染経路ではなく、Windows 環境でネットサーフィン中に ”ウェブサイトを見る” という他愛のない行為からマルウェアが強制インストールされる被害を防ぐ有効なセキュリティ対策です。

  1. 定例更新 Windows Update の今月分は適用できている?
    https://www.microsoft.com/ja-jp/safety/protect/musteps.aspx

  2. ブラウザアドオン Adobe Flash Player は最新版に更新できている?
    https://get.adobe.com/jp/flashplayer/about/

感染確率0%に近づける有効な無料ウイルス対策をせず、ウイルス攻撃者と ”イタチごっこ” しているセキュリティソフトに託していると、Emotet に限らずトロイの木馬、スパイウェア、ランサムウェアの餌食になる悲惨な末路を迎えます。

Emotet ウイルスメール関連トピックス


Emotet ウイルスメール注意喚起ページ

ヒューマンエラー (人為的ミス) を引き起こす人間に対して、『怪しいEメールを開くな』 といった ”自力で見抜いて気合でどうにか頑張れ~” という似非ウイルス対策は無謀であり、Emotet 感染回避100%は実現されません。

● 公益財団法人東京都保健医療公社が運用する端末等に対する不正アクセス被害の発生による、メールアドレス等の個人情報の流出と対応について - 東京都
http://www.metro.tokyo.jp/tosei/hodohappyo/press/2019/06/07/06.html

● マルウエア Emotet の感染に関する注意喚起 - JPCERT/CC
https://www.jpcert.or.jp/at/2019/at190044.html

● 「Emotet」と呼ばれるウイルスへの感染を狙うメールについて - IPA 情報処理推進機構
https://www.ipa.go.jp/security/announce/20191202.html


関連する Emotet のウイルス検出名

Emotet 攻撃者はセキュリティソフトのウイルス定義データで検出されない新鮮な Emotet 亜種を随時投入しています。

仮に Windows PC が Emotet に感染しても、追ってセキュリティソフトに駆除されないよう、自分自身を一日に複数回更新し続けて、ユーザーに気づかれることなく Emotet の最新バージョンを維持できる耐久性があります。

【Wordファイル .doc .docm .rtf】

ESET GenScript VBA/TrojanDownloader.Agent.MUV VBA/TrojanDownloader.Agent.REF VBA/TrojanDownloader.Agent.RFF VBA/TrojanDownloader.Agent.RGB VBA/TrojanDownloader.Agent.RGL VBA/TrojanDownloader.Agent.RGO VBA/TrojanDownloader.Agent.RGQ VBA/TrojanDownloader.Agent.RGY VBA/TrojanDownloader.Agent.RHP VBA/TrojanDownloader.Agent.RIT VBA/TrojanDownloader.Agent.RIH VBA/TrojanDownloader.Agent.RIU VBA/TrojanDownloader.Agent.RJX VBA/TrojanDownloader.Agent.RKK VBA/TrojanDropper.Agent.ARR VBA/TrojanDownloader.Agent.RKE VBA/TrojanDownloader.Agent.RKU VBA/TrojanDownloader.Agent.RKV VBA/TrojanDownloader.Agent.RLF VBA/TrojanDownloader.Agent.RLL VBA/TrojanDownloader.Agent.RMA VBA/TrojanDownloader.Agent.RMM VBA/TrojanDownloader.Agent.RNH VBA/TrojanDownloader.Agent.RNP VBA/TrojanDownloader.Agent.ROD VBA/TrojanDownloader.Agent.MKP JS/TrojanDownloader.Agent.UEX

Kaspersky HEUR:Trojan.MSOffice.SAgent.gen HEUR:Trojan.Script.Generic HEUR:Trojan-Dropper.MSOffice.SDrop.gen Firefly

McAfee W97M/Downloader.xx W97M/Downloader.ip W97M/Downloader.zu W97M/Downloader.aga W97M/Downloader.aew W97M/Downloader.ate W97M/Downloader.bid W97M/Downloader.bhy W97M/Downloader.bjd W97M/Dropper.da W97M/Downloader.aie W97M/Downloader.bip W97M/Downloader.biy RDN/Generic Downloader.x RDN/Emotet

Microsoft
TrojanDownloader:O97M/Emotet!MTB TrojanDownloader:O97M/Emotet.ARJ!MTB TrojanDownloader:O97M/Emotet.UO!MTB TrojanDownloader:O97M/Emotet.VB!MTB TrojanDownloader:O97M/Emotet.VD!MTB TrojanDownloader:O97M/Emotet.AR!MTB TrojanDownloader:O97M/Emotet.VQ!MTB TrojanDownloader:O97M/Emotet.ASR!MTB Trojan:O97M/Sonbokli.A!cl Trojan:Script/Casur.A!cl Trojan:Script/Oneeva.A!ml Trojan:Script/Conteban.A!ml Trojan:Script/Foretype.A!ml Trojan:O97M/Foretype.A!ml TrojanDropper:O97M/Powdow!rfn Trojan:O97M/Madeba.A!det

Symantec W97M.Downloader ISB.Downloader!gen60 ISB.Downloader!gen76 ISB.Downloader!gen92 ISB.Downloader!gen186 ISB.Downloader!gen279 ISB.Downloader!gen334 Firefly

Trend Micro Trojan.W97M.POWLOAD.TIOIBEHQ Trojan.W97M.POWLOAD.TIOIBEHY Trojan.W97M.POWLOAD.TIOIBEID Trojan.W97M.POWLOAD.TIOIBEIA Trojan.W97M.POWLOAD.TIOIBEIJ Trojan.W97M.EMOTET.JKBJ Trojan.W97M.EMOTET.JKBM Trojan.W97M.POWLOAD.EIL Trojan.W97M.POWLOAD.THAAHBO Trojan.W97M.POWLOAD.THAAGBO Trojan.W97M.POWLOAD.SMBB69 Trojan.W97M.POWLOAD.SMAD71 Trojan.W97M.EMOTET.JKBJ Trojan.W97M.EMOTET.JKCA Trojan.W97M.EMOTET.JKCC Trojan.W97M.EMOTET.JKCO Trojan.W97M.EMOTET.JKCP Trojan.W97M.EMOTET.JKCW Trojan.W97M.EMOTET.JKCY Trojan.W97M.EMOTET.JKCZ Trojan.W97M.EMOTET.JKDB Trojan.W97M.EMOTET.JKDC Trojan.W97M.EMOTET.JKDD Trojan.W97M.EMOTET.JKDE Trojan.W97M.EMOTET.JKDF Trojan.W97M.EMOTET.JKDP Trojan.W97M.EMOTET.JKDQ Trojan.W97M.EMOTET.JKDR Trojan.W97M.EMOTET.MLDT Trojan.W97M.EMOTET.MLDU Trojan.W97M.EMOTET.TIOIBEJL Trojan.W97M.DLOADR.TIOIBEJD TROJ_FRS Possible_SMPOWLOADBB4 HEUR_VBA.O2
【Emotet 実行ファイル .exe】

ESET Win32/Emotet.BN Win32/Kryptik Win32/GenKryptik
https://www.virusradar.com/en/Win32_Emotet/detail

Kaspersky HEUR:Trojan-Banker.Win32.Emotet.gen Trojan.Win32.Emograbber Trojan-PSW.Win32.Emostealer Trojan.Win32.Emospam UDS:DangerousObject.Multi.Generic FireflyFramer
https://threats.kaspersky.com/ja/threat/Trojan-Banker.Win32.Emotet

McAfee RDN/Emotet-Dropped Emotet-FPF

Microsoft Trojan:Win32/Wacatac.B!ml Trojan:Win32/Wacatac.C!ml Trojan:Win32/Emotet!ibt Trojan:Win32/Emotet!MTB Trojan:Win32/Emotet.ARJ!MTB TrojanDownloader:Win32/Emotet Behavior:Win32/Emotet.A!nri Behavior:Win32/Emotet.A!​sms TrojanDownloader:Win32/Emotet!ml
https://www.microsoft.com/en-us/wdsi/threats/threat-search?query=Win32/Emotet

Symantec Trojan.Emotet Trojan.Emotet!g4 Trojan.Emotet!g5 Trojan.Emotet!g6 Trojan.Emotet!g7 Trojan.Emotet!g8 Trojan.Emotet!g9 Firefly

Trend Micro TrojanSpy.Win32.EMOTET.SMD TrojanSpy.Win32.EMOTET.SMTHBGA.hp TrojanSpy.Win32.EMOTET.SMD6.hp TrojanSpy.Win32.EMOTET.SMC5 TrojanSpy.Win32.EMOTET.SML.hp Trojan.JS.EMOTET TSPY_EMOTET
https://www.trendmicro.com/vinfo/jp/threat-encyclopedia/search/trojanspy.win32.emotet

関連キーワード忘備録メモ

[エモテット とは] [エモテット 対策] [エモテット Mac] [エモテット ウイルスバスター] [エモテット スマホ] [エモテット iPhone] [エモテット ウィルス] [エモテット 被害] [Emotet 対策] [エモテット 感染 確認] [Emotet とは] [Emotet ウイルス] [Emotet 日本] [Emotet 感染経路] [Emotet 駆除] [Emotet 解析] [Emotet Mac] [Emotet macOS] [Emotet ESET] [Emotet ウイルスバスター] [Emotet iPhone] [Emotetto とは] [ウイルスメール 開いたら] [ウイルスメール 多い] [ウイルスメール 添付ファイル] [ウイルスメール 対策] [.doc とは] [.doc 開く] [.doc 拡張子] [doc ファイル ウイルス] [docm ウイルス] [Word ファイル 添付] [Word形式 とは] [Word形式 ファイル] [ワードファイル とは] …

関連するブログ記事
請求書メールdoc/xls添付ファイルがウイルス セキュリティ対策