JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT
Coordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2022.03.10 16:46:20 +09'00'

Emotet感染の確認方法と対策
2022年3月
一般社団法人JPCERTコーディネーションセンター

Emotetに感染してる？

1Copyright ©2022 JPCERT/CC All rights reserved.

1-1. Emotet感染に気づくポイント
Emotetに感染していると起こる症状— 不審なファイルが添付されたメールが自分の名前で送られる
過去のメール本文が引用されることもある— メールに添付されたパスワード付きzipやxlsmを開いたが中身はコンテンツの有効化を促す英語のみだった
送信者に確認しても送った覚えがないと言われる— 送った覚えのないメールのエラーメールが返ってくる— メールサーバーの調子が悪い
2

Copyright ©2022 JPCERT/CC All rights reserved.

1-3.Emotet感染によるなりすましメール送信
送信元がなりすまされているケース
B

感染していない

感染している

メールのやり取り有り
A

Aから受信したメール
Aのメールアドレスや文面
感染しているX
3

Xのメールサーバ

Copyright ©2022 JPCERT/CC All rights reserved.

Bのアドレス帳にはAとCの宛先

B-C間でメールのやり取り有り
A-C間でメールのやり取り無し
Emotetに感染させる
メール送付
C

受信者から見るとメールの差出人：
Aの氏名
メールアドレス：
メールアドレスX
メール本文：過去メールの本文なし

Emotet感染有無の確認方法

4

Copyright ©2022 JPCERT/CC All rights reserved.

2-1. EmoCheck（エモチェック）
Emotetの感染有無を確認するのに特化したツール— JPCERT/CCにて開発、githubで公開

https://github.com/JPCERTCC/EmoCheck/releases— ダウンロードして端末上でダブルクリックで実行
x86版とx64版が存在不明な場合はx86版を使用— 感染疑いのあるユーザーで実行— 現時点で最新のEmotetを検出できることを確認済
5

Copyright ©2022 JPCERT/CC All rights reserved.

2-1. EmoCheck（エモチェック）
Emotetを検出しなかった場合の出力

6

Copyright ©2022 JPCERT/CC All rights reserved.

2-1. EmoCheck（エモチェック）
Emotetを検知した場合の出力

7

Copyright ©2022 JPCERT/CC All rights reserved.

2-1. EmoCheck（エモチェック）
Emotetを検知した場合の対応— プロセス名に表示されたプロセスをタスクマネージャーで停止する— イメージパスにあるファイルがEmotet本体、それを削除する— メールの情報も盗まれるためメールのパスワードの変更が必須— 他のマルウェアに追加で感染する場合もあるためウイルス対策ソフ
トでフルスキャンを推奨
8

Copyright ©2022 JPCERT/CC All rights reserved.

2-2.マルウエアEmotetへの対応FAQ
JPCERTではEmotetの対応FAQをブログで公開— 感染していた場合の対応手順や感染を防ぐための対策などを記載

Windows OSしか感染しない
メールの送信を止める手立てはないといったことも記載

9

Copyright ©2022 JPCERT/CC All rights reserved.

Emotetへの対策

10

Copyright ©2022 JPCERT/CC All rights reserved.

3-1. Emotetの感染対策
Office製品のマクロ実行の無効化— ファイル→オプション→トラストセンター→設定— マクロを使わない組織は無効化「コンテンツの有効化」を押さない。押すと感染— 使う場合は警告を表示して無効化

11

Copyright ©2022 JPCERT/CC All rights reserved.

3-1. Emotetの感染対策
一般的な不審なメール対策を行う— メールの添付ファイル、リンクには注意する— Office製品の「コンテンツの有効化」は押さない— セキュリティ製品を導入し、定期的な確認やチューニングを行う— 組織内への注意喚起

組織の管理者向け— URLHaus、FeodoTrackerのIoC活用
EmotetのダウンロードURLやC2の情報があり、遮断に活用

12

Copyright ©2022 JPCERT/CC All rights reserved.

参考
マルウエアEmotetへの対応FAQ— https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html

JPCERTCC/EmoCheck – GitHub— https://github.com/JPCERTCC/EmoCheck/releases「Emotet」と呼ばれるウイルスへの感染を狙うメールについて— https://www.ipa.go.jp/security/announce/20191202.html

URLhaus （EmotetのダウンロードURLを掲載）— https://urlhaus.abuse.ch/

Feodo Tracker （EmotetのC2サーバーを掲載）— https://feodotracker.abuse.ch/とあるEmotetの観測結果— https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_104_sajo-sasada_jp.pdf

Emotet vs EmoCheck— https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_5_tani-kino-sajo_jp.pdf

13

Copyright ©2022 JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— https://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/

制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form.html

14

Copyright ©2022 JPCERT/CC All rights reserved.