日経クロステック/日経NETWORK2023.03.20有料会員限定コピーしました全2220文字PR「最凶」マルウエア(悪意のあるプログラム)といわれる「Emotet」がしつこくも活動を再開した。サイバー攻撃の情報収集や対策支援などを手掛けるJPCERTコーディネーションセンター(JPCERT/CC)が2023年3月7日に確認した。同年3月16日までには、活動を再開したEmotetは感染を広げるため、巨大な文書ファイルを使う手口とおとり画像を使う手口を新たに加えたことも判明した。従来の対策に加えて、セキュリティー製品の設定変更といった追加措置を講じる必要がある。大容量ファイルで攻撃、製品仕様の裏をかくEmotetの活動が確認されたのは2022年11月以来だ。3カ月あまりの期間をおいた今回は、新たに2つの手口が明らかになった。1つはZIP形式で圧縮した、米Microsoft(マイクロソフト)のWordファイルを添付したメールを送りつける手口。1つは同社のノートアプリ「OneNote」のファイルを添付する手口だ。前者の圧縮されたWordファイルを送りつける手口では、被害者がZIPファイルを展開し、さらにWordファイルのマクロを実行するとEmotet本体がダウンロードされてパソコンに感染する。この基本的な流れは従来通りだが、展開後のWordファイルのサイズがこれまでと異なる。展開後のWordファイル、そして被害者がマクロを実行してしまった後にダウンロードされるDLL(ダイナミック・リンク・ライブラリー)が、いずれも500M(メガ)バイト以上とかなり大きいのだ。その背景についてJPCERT/CCの佐條研マルウェアアナリストは「一部のマルウエア対策ソフトなどの検査を回避するためと考えられる」と説明する。500Mバイト以上のWordファイルをZIP形式で圧縮して送りつけてくる[画像のクリックで拡大表示]どういうことか。マルウエア対策ソフトなどは一般に、メールなどで新しいファイルを受け取ると脅威の有無を検査する。一部のソフトはサイズが大きいファイルの検査を省略するという。処理性能が低いパソコンを考慮してのことだ。サイバー犯罪者はこの仕様に注目し、展開後のWordファイルやDLLのサイズを500Mバイト以上にすることでマルウエア対策ソフトの検査をすり抜けようとしているわけだ。後者のOneNoteの手口では、OneNoteのファイルにおとりの画像とEmotetに感染させるためのスクリプトを含ませている。ファイルを実行すると、ある画像(おとり画像)が表示されるがそれを見ようとすると「View」ボタンをダブルクリックするよう促される。素直に従うとViewボタンの背後に巧妙に隠されたスクリプトファイルを実行してしまい、感染につながる。今回は、JPCERT/CCが公開するEmotetの感染確認ツール「EmoCheck」でも検知できないケースが確認された。Emotetに感染させるためのマクロの振る舞いが変わったことなどが理由として考えられる。そこでJPCERT/CCは、パソコンのメモリーをスキャンして、動作中のEmotetを検知する機能を追加し、EmoCheckの新版「v2.4」を2022年3月20日に公開した。データサイズの上限を点検する活動を再開したEmotetに、IT管理者はどう備えればよいか。JPCERT/CCの佐條氏は基本の対策を引き続き実践しつつ、新たな手口を踏まえた対策を追加で講じたいと助言する。この記事は有料会員限定です。次ページでログインまたはお申し込みください。実践型データサイエンティスト育成塾BIツールを使いながら実践演習でビッグデータ解析手法を体できる!パソコン完備の会場で身体一つで体験型研修。2日間でデータサイエンティストになれます。エクセルよりもっと大量のデータで効率よく分析できるようになりたい方に最適。【第13期】8回のセミナーでリーダーに求められる“コアスキル”を身につけ、180日間に渡り、講師のサポートの...IT法務リーダー養成講座システム開発・運用に関するもめ事、紛争が後を絶ちません。人手不足に悩み、働き方改革の必要性が問われるIT企業。日本初のデジタルバンク「みんなの銀行」誕生の軌跡に学ぶ「みんなの銀行」という日本初のデジタルバンクをつくった人たちの話です。「次の一手」が分かるDXの祭典。2023年6月に大阪で開催します。情報変更・解約6/1開催ウェビナー『ChatGPTは我々の仕事をいかに変えるのか?。