EMOTET（エモテット）とは？感染拡大中のEMOTETの脅威・感染経路・事例・対策

公開日:2020/2/7 最終更新日:2022/6/7

見出し

1 Emotetの脅威
2 「なりすましメール」が迷惑メールにならない
3 EMOTET（エモテット）の感染経路
4 EMOTET（エモテット）の被害事例
5 EMOTET（エモテット）の対策

Emotetの脅威

Emotetが大きな脅威と言われているのはいくつかの理由があります。

1.検知が難しいこと

2.感染力が強く、拡散しやすい

3.環境対応力

Emotetは、感染者が過去に送受信した電子メールの情報を収集して「なりすましメール」を自動作成し、過去に送受信履歴のある他者へと拡散し続けるマルウェアです。

このため、企業などでは既存の取引先などに対して担当者名の「なりすましメール」が送信されるため、不審な点が非常に少なく感染が拡大する傾向にあります。

例えば、未完了の支払いがある、あるいは資料の送信などといった体裁を取ります。

既存取引先からそうしたメールが届いたら、添付されているwordやzipをダウンロードして開いてしまうことは珍しくないでしょう。

同時にEmotetは当初よりターゲットデバイスのレジストリを破損させて検知を回避する仕組みとなっており、外部に送信されるデータは暗号化されてレジストリに保存されます。

レジストリは検知の対象外にされていることも多く、これも検知を難しくする原因となっています。

さらに検知を逃れるためにモジュールがファイル形式ではなくメモリ上で動作するような仕組みも取り入れられています。

外部通信の内容を窃取し利用するため、

端末やウェブブラウザーに保存されたパスワードなどの認証情報の窃取

窃取されたパスワード（認証情報、他の端末への接続アカウント情報など）の悪用

メールアカウント情報とパスワードの窃取

送受信したメール本文とアドレス帳の情報窃取

窃取されたメールアカウント情報や本文などが悪用され、外部取引先や過去の送受信先へEmotet拡散のメールが送信される

協調的攻撃によりEmotetがランサムウェアを持ち込むこともあるため、端末内ファイルがすべて暗号化され「人質」となり金銭を要求されることも（フロリダ州レイクシティのケースではおおよそ50万ドルの支払い）

などが起こります。

レイクシティのケースでは、Emotet→TrickBot→Ryuk ransomwareの流れが確認されています。

Lake City’s IT network was infected with malware on June 10. The city described the incident as a “triple threat.”

In reality, an employee opened a document they received via email, which infected the city’s network with the Emotet trojan, which later downloaded the TrickBot trojan, and later, the Ryuk ransomware.

Florida city fires IT employee after paying ransom demand last week