SSRC-TR-Vol.43

S.S.R.C. 定期
トレンドレポートVol.43株式会社

日立システムズ

セキュリティリサーチセンタ

S.S.R.C.トレンドレポート Vol.43
目次
1.

はじめに .......................................................................................................................... 22.

ご利用条件 ...................................................................................................................... 2

3.

概要.................................................................................................................................. 34.

トレンドレポート ........................................................................................................... 44.1.

Emotet ............................................................................................................................ 4(1)

当該期間における活動状況 .................................................................................. 4(2)

観測されている手口 ............................................................................................. 5(3)Emotet が窃取する情報 ....................................................................................... 8(4)日本国内における影響 ....................................................................................... 11(5)感染対策 ............................................................................................................. 12-1-© Hitachi Systems, Ltd. 2022. All rights reserved.

1. はじめに
S.S.R.C.（Shield Security Research Center）は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信しております。
本文書は、株式会社日立システムズ、SHIELD セキュリティセンタで日々収集を行っている世界中のサイバーセキュリティに関する情報にもとづき、セキュリティアナリストがセキュリティトレンドをまとめたレポートです。
次のご利用条件を十分にご確認の頂き、ご了承頂いた上でご利用いただきますよう、よろしくお願いいたします。

2. ご利用条件
本文書は株式会社日立システムズ（以下、「当社」といいます。）が作成しています。当社は、本Web サイト上の文書及びその内容に関し如何なる保証もするものではありません。万一、本文書の内容に誤りがあった場合でも当社は一切責任を負いかねます。また、本文書に記載されている事項は、予告なしに変更されることがありますので、予めご承知おきください。
本文書に掲載されている情報は、掲載した時点での情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2-© Hitachi Systems, Ltd. 2022. All rights reserved.

3. 概要2022 年 3 月 1 日から 2022 年 5 月 31 日の間（以下、「当該期間」といいます。）に確認されたサイバー攻撃に関する傾向は次の通りです。
当該期間において、Emotet の活動が活発化していることが確認されました。2022 年 3 月時
点で、同マルウェアに感染し悪意のあるメール配信に悪用される可能性のある「.jp」メールアドレス数が 2020 年の感染ピークと比較して 5 倍以上に増加しています [1]。
Emotet に感染すると、メールアカウントなどの情報が窃取されるほか、別のマルウェアがインストールされる、悪意のあるメール配信の踏み台として利用されるなどの可能性があります。
これらの増加傾向が伺える点について、詳細を以下に記載します。

(1) Emotet
Emotet は、メール経由で配信される情報窃取型マルウェアであり、感染すると端末からメールアカウントなどの情報が窃取されます。このマルウェアは、窃取されたアカウント情報をもとに悪意のあるメールを配信し、別のユーザへと感染を広げていくことが知られています。また、他のマルウェアに感染させるための起点として使われることもあります。

2021 年 1 月にテイクダウンが発表された Emotet ですが、同年 11 月頃から活動の再開が確認され始めました。感染手口などは以前と大きく変わっていませんが、過去に窃取された情報を悪用するなどの事例が確認されています。これらの情報を悪用して配信されるメールは、文面が自然なものであることから、正規のメールと見分けることが難しく、感染が拡大しています [1][2]。

また、主に「Reply-Chain 攻撃」と呼ばれる手法によって Emotet へ感染するケースが多く確認されています。この手法の特徴として、侵害されたアカウントが過去にやりとりしたメールに返信する形で悪意のあるファイルが送付されます [3]。

-3-© Hitachi Systems, Ltd. 2022. All rights reserved.

4. トレンドレポート
4.1.

EMOTET(1) 当該期間における活動状況
2021 年 1 月 27 日、EUROPOL(欧州刑事警察機構)及び EUROJUST(欧州司法機構)ら調整のもと、ボットネットのテイクダウンが発表された Emotet ですが、同年 11 月 14 日頃から活動の再開が観測され始めました [1]。
Emotet の活動再開以降、同マルウェアの検知数は増加しており、2022 年 3 月時点では、検知数が前月から急増し、2022 年 2 月と比較して約 3 倍のユーザが攻撃に遭遇していることが報告されています [4]。攻撃に遭遇したユーザの国別割合では、上位からイタリア(10.04%)、ロシア(9.87%)、日本(8.55%)と、日本国内においても感染が拡大していることが読み取れます。

Emotet への感染を目的とするメールについては、テイクダウン前と同様に Office ファイル上に仕込まれた悪意のあるマクロを実行させて感染活動を行う手口のほか、ショートカットファイルを利用した新しい感染手法も確認されています。このような手法が追加されたのは、Microsoft が 2つの処置「Excel4.0 マクロをデフォルトで無効化」、「インターネットから入手したファイルに含まれる VBA マクロをデフォルトで無効化」を実施したことが要因と考えられます [5] [6]。この変更によって、これまで Emotet の主要な感染経路であったＯｆｆｉｃｅファイルからの感染が難しくなり、既存の大規模なキャンペーンと並行して、別の感染手法を模索しているものと思われます。

Emotet の再開に伴って新たに構築され始めた 2 つのボットネットは、テイクダウン前に利用されていた呼称である Epoch1 ～ 3 に倣い、Epoch4, Epoch5 と呼ばれています。これらのボットネットの初期構築段階では、Trickbot を利用して Emotet のローダーが配布されていたことが判明しており、このキャンペーンは「Operation Reacharound」と呼ばれています [7]。

-4-© Hitachi Systems, Ltd. 2022. All rights reserved.

(2) 観測されている手口
Emotet への感染活動は基本的にメールを起点としており、次の 4 種類が確認されています。

1.

悪意のある PowerShell スクリプトを含むショートカットファイル、及びそのファイルを含む暗号化圧縮ファイルからの感染

2.

悪意のあるマクロを含む Office ファイル、及びそのファイルを含む暗号化圧縮ファイルからの感染

3.

添付されたファイルの URL リンクから誘導された悪意あるサイトからの感染

4.

メール本文内の URL リンクから誘導された悪意あるサイトからの感染

図 1. Emotet への感染経路

活動再開前と大きく異なるのは、上記 1.のショートカットファイル(.LNK ファイル)に含まれる悪意ある PowerShell スクリプトからの感染で、これまでの主要な感染手口であった Office ファイルを介さずに Emotet への感染が行われます。Windows では規定でこのショートカットファイルの拡張子を表示しないよう設定されているため、「example.pdf.lnk」のような別のファイル種別と誤認させるようなファイル名が設定されることも考えられます。

-5-© Hitachi Systems, Ltd. 2022. All rights reserved.

また、Emotet のローダー及び情報窃取モジュールが 64bit 版へ移行していることが確認されており、64bit で動作する OS のみを標的とするよう変化していることが示唆されています [8]。
それ以外の感染手口はテイクダウン前と大きく変わりませんでしたが、Emotet 本体のロジックにいくつかの変更が加えられています。大きな変更としては次の 6 点が確認されています [9]。

1.

1.

公開鍵暗号方式の変更 (RSA から ECC)

2.

共通鍵暗号方式の変更 (AES128 から AES256)

3.

通信プロトコルの変更 (HTTP から HTTPS)

4.

コマンドセットの追加 (rundll32.exe)

5.

通信先 IP アドレス記法の変更

6.

新たなモジュールの追加 (Thunderbird, プロセスリスト)

公開鍵暗号方式の変更
テイクダウン以前の Emotet では、セッションキーの暗号化と署名の検証に RSA 鍵を使っていましたが、活動再開後の Emotet では、より暗号強度が高く高速に処理が可能な ECC 鍵を使用しています。

2.

共通鍵暗号方式の変更
テイクダウン以前の Emotet では、収集した情報の暗号化に AES-128 を使っていましたが、活動再開後の Emotet では、より暗号強度が高い AES-256 を使用しています。

3.

通信プロトコルの変更
テイクダウン以前の Emotet では、コマンド＆コントロールサーバ（以下、C2 サーバ）との通信プロトコルに HTTP を使っていましたが、活動再開後の Emotet では HTTPS を使用しています。1, 2 の暗号強度の確保に加えて通信経路を暗号化していることから、1 度目のテイクダウンを踏まえてセキュリティの確保に力を入れていることが読み取れます。

-6-© Hitachi Systems, Ltd. 2022. All rights reserved.

4.

コマンドセットの追加
検知回避及び解析妨害のために、ランダムな文字列の PATH に Emotet 本体を設置し、rundll32.exe 経由で呼び出すよう変更されています [10]。

本体が設置される PATH の正規表現パターン%LOCALAPPDATA%\\[a-zA-Z]{4,16}\\[a-zA-Z]{3,15}\.[a-zA-Z]{3}

本体が設置される PATH の例 (ユーザアカウント名が User の場合)
C:\Users\User\AppData\Local\kPnQnxk\hhIuTJcrU.wnb

5.

通信先 IP アドレス記法の変更
難読化及び検知回避のために、IP アドレスが 16 進数, 8 進数で記載されていることが確認されています [11]。

16 進表記された IP アドレス (10 進表記で 203.0.113.1 の場合)
0xcb007101

8 進表記された IP アドレス (10 進表記で 203.0.113.1 の場合)
0313.0000.0161.0001

6.

新たなモジュールの追加
既存の Outlook 用モジュールに加えて、Thunderbird からも情報を窃取することができるようモジュールが追加されています。
従来の Emotet に備わっていた、実行環境のプロセスを列挙して C2 サーバに送信するための機能は、初期チェックイン時の処理から切り離され新たなモジュールとして搭載されていることが確認されています。

Emotet が配信するマルウェアについても、従来の Trickbot, Qakbot, IcedID, Ursnif, ZLoader
から、Cobalt Strike beacon のみへと変更されています。

-7-© Hitachi Systems, Ltd. 2022. All rights reserved.

(3) Emotet が窃取する情報
Emotet は、感染後に通信の暗号化に使われる公開鍵などの情報を C2 サーバに送信します。
その後、感染端末上で動作しているプロセスの一覧やシステム情報が C2 サーバに送信されると、情報窃取及びスパム配信用のモジュールが返送されます。 [12]図 2. Emotet 感染後の流れ

この活動によって配信されるモジュールの一例を下記に示します。

1.

メール認証情報窃取モジュール
NirSoft によって開発されている Mail PassView ソフトウェアのモジュールが悪用されています。このモジュールによって、OutLook, Windows Mail, Thunderbird などのメールクライアントに保存されている認証情報が窃取されています。

-8-© Hitachi Systems, Ltd. 2022. All rights reserved.

2.

Web ブラウザ認証情報窃取モジュール
NirSoft によって開発されている WebBrowser PassView ソフトウェアのモジュールが悪用されています。このモジュールによって、Internet Explorer, FireFox, Chrome, Safari, Opera などのブラウザに保存されている認証情報が窃取されています。

3.

Outlook 情報窃取モジュール
Outlook Messaging API を用いて、Outlook クライアント内の情報を抽出するモジュールです。連絡先に登録されているユーザの表示名やメールアドレスなどのアカウント情報を窃取するモジュール、送受信したメールから連絡先、件名、本文などを窃取するモジュールの 2種類が確認されています。

4.

Thunderbird 情報窃取モジュール%AppData% フォルダ配下に保存されている Thunderbird のプロファイルから、Thunderbirdクライアント内の情報を抽出するモジュールです。連絡先に登録されているユーザの表示名やメールアドレスなどのアカウント情報を窃取するモジュール、送受信したメールから連絡先、件名、本文などを窃取するモジュールの 2 種類が確認されています。

5.

スパム配信モジュール
Emotet への感染を広げるため、スパムメールの配信を行うためのモジュールです。このモジュールは C2 サーバからのタスクを受け取るまで定期的に問い合わせを行います。
C2 サーバからスパムを送信するためのサーバや送信先のリスト、件名や本文、添付ファイルなどのテンプレートをタスクとして受け取ると、それらの配信を行います。
また、このモジュールは 1 つの感染端末に複数配置されることがあると報告されています。

-9-© Hitachi Systems, Ltd. 2022. All rights reserved.

6.

感染拡大モジュールこのモジュールは、感染端末のネットワークリソースに対して自身をコピーし、サービスとして起動させることで LAN 内の別端末に対して感染を広げます。また、感染拡大の際に利用される認証情報にはハードコードされたパスワードリストを用いていることが報告されています。

7.

ポート転送モジュール
このモジュールは、UPnP(ユニバーサルプラグアンドプレイ)機能を有しており、Emotet のトラフィックを許可するようルータの設定を変更します。また、新たに Emotet に感染した端末の通信を転送するために、感染端末を C2 サーバへ接続するためのプロキシとして動作させることが報告されています。

これらの活動によって、インターネットに直接接続していない端末でも、LAN 内の C2 プロキシサーバ経由で認証情報を窃取されるおそれがあります。

-10-© Hitachi Systems, Ltd. 2022. All rights reserved.

(4) 日本国内における影響
日本国内においても、Emotet による被害は拡大しており、2022 年 3 月時点で感染拡大に悪用される可能性のある「.jp」メールアドレス数は、活動再開前のピーク時の約 5 倍以上となっています。
手口の変化としては、感染した端末から窃取したメールアカウント情報、過去のメール情報をもとに、件名や添付ファイル名に実在の組織名や署名を記載して正規のメールに見せかけるものなどが確認されています。

メール本文の変化として、テイクダウン前と比較するとより自然な日本語の文であることが確認されています。内容についても、請求書への記入や捺印など具体的な指示が書かれており、正規のものと誤認しやすい文章となっています。これらのメールで使用されている情報の一部では、テイクダウン前に窃取されたとみられるものが確認されています。

2022 年 2～4 月の期間において、日本国内の Emotet 検知数は他国と比較しても急増しており、3 か月の合計検知数でヨーロッパの 8 倍、アメリカの 11 倍となっていることが報告されています [13]。

-11-© Hitachi Systems, Ltd. 2022. All rights reserved.

(5) 感染対策
IPA は Emotet への感染を防ぐためというだけにとどまらず、一般的なウイルス対策として、次のような対応を勧めています [2]。

⚫

身に覚えのないメールの添付ファイルは開かない。メール本文中の URL リンクはクリックしない。

⚫

自分が送信したメールへの返信に見えるメールであっても、不自然な点があれば添付ファイルは開かない。

⚫

OS やアプリケーション、セキュリティソフトを常に最新の状態にする。

⚫

信頼できないメールに添付された Word 文書や Excel ファイルを開いた時に、マクロやセキ
ュリティに関する警告が表示された場合、「マクロを有効にする」「コンテンツの有効化」というボタンはクリックしない。

⚫

メールや文書ファイルの閲覧中、身に覚えのない警告ウインドウが表示された際、その警告の意味が分からない場合は、操作を中断する。

⚫

身に覚えのないメールや添付ファイルを開いてしまった場合は、すぐにシステム管理部門等へ連絡する。

-12-© Hitachi Systems, Ltd. 2022. All rights reserved.

参考文献[1] JPCERT/CC, “マルウェア Emotet の感染再拡大に関する注意喚起,” [オンライン]. Available: https://www.jpcert.or.jp/at/2022/at220006.html. [アクセス日: 8 62022].
[2] 独立行政法人情報処理推進機構, “「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて,” [オンライン]. Available:
https://www.ipa.go.jp/security/announce/20191202.html. [アクセス日: 8 6 2022].
[3] BlackBerry, “停止したはずの Emotet の復活：マルウェア Emotet の最新情報,”[オンライン]. Available: https://blogs.blackberry.com/ja/jp/2022/01/threatthursday-emotet-update. [アクセス日: 8 6 2022].
[4] Kaspersky, “悪名高い「Emotet」が活動再開：2022 年 3 月の検知数は前月の約 3倍に,” [オンライン]. Available: https://www.kaspersky.co.jp/about/pressreleases/2022_vir21042022. [アクセス日: 8 6 2022].
[5] Microsoft, "Excel 4.0 (XLM) macros now restricted by default for customer
protection," [Online]. Available: https://techcommunity.microsoft.com/t5/excelblog/excel-4-0-xlm-macros-now-restricted-by-default-for-customer/ba-p/3057905.
[Accessed 8 6 2022].
[6] Microsoft, "Macros from the internet will be blocked by default in Office,"[Online]. Available: https://docs.microsoft.com/enus/deployoffice/security/internet-macros-blocked. [Accessed 8 6 2022].
[7] Bleeping Computer, "Emotet malware is back and rebuilding its botnet via
TrickBot," [Online]. Available:
https://www.bleepingcomputer.com/news/security/emotet-malware-is-back-andrebuilding-its-botnet-via-trickbot/. [Accessed 8 6 2022].
[8] TrendMicro, "Bruised but Not Broken: The Resurgence of the Emotet Botnet
Malware," [Online]. Available:-13-© Hitachi Systems, Ltd. 2022. All rights reserved.

https://www.trendmicro.com/en_us/research/22/e/bruised-but-not-broken--theresurgence-of-the-emotet-botnet-malw.html. [Accessed 8 6 2022].
[9] Intel 471, "How the new Emotet differs from previous versions," [Online].
Available: https://intel471.com/blog/emotet-returns-december-2021. [Accessed 8 62022].
[10] NTT, “JPCERT/CC, Emotet vs EmoCheck Emotet 開発者との戦い,” [オンライン]. Available: https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_5_tani-kinosajo_jp.pdf. [アクセス日: 8 6 2022].
[11] TrendMicro, "Emotet Spam Abuses Unconventional IP Address Formats toSpread Malware," [Online]. Available:
https://www.trendmicro.com/en_id/research/22/a/emotet-spam-abusesunconventional-ip-address-formats-spread-malware.html. [Accessed 8 6 2022].
[12] Black Lotus Labs, "Emotet Redux," [Online]. Available:
https://blog.lumen.com/emotet-redux/. [Accessed 8 6 2022].
[13] Vade, “Vade がマルウェアの検知状況を調査、日本企業への攻撃の 8 割以上がEmotet,” [オンライン]. Available:
https://prtimes.jp/main/html/rd/p/000000024.000061783.html. [アクセス日: 8 62022].

-14-© Hitachi Systems, Ltd. 2022. All rights reserved.