{ "id": "1154123d-96ce-4b3c-ab3d-89a926b61670", "created_at": "2026-04-06T00:22:26.005946Z", "updated_at": "2026-04-10T03:20:18.081289Z", "deleted_at": null, "sha1_hash": "da7b08131192a8c4c2700a989cf0f9d9cec54219", "title": "【注意喚起】マルウェアEmotetが10カ月ぶりに活動再開、日本も攻撃対象に | LAC WATCH", "llm_title": "", "authors": "", "file_creation_date": "0001-01-01T00:00:00Z", "file_modification_date": "0001-01-01T00:00:00Z", "file_size": 1086441, "plain_text": "【注意喚起】マルウェアEmotetが10カ月ぶりに活動再開、日本\r\nも攻撃対象に | LAC WATCH\r\nBy サイバー救急センター\r\nPublished: 2021-11-19 · Archived: 2026-04-05 13:21:50 UTC\r\nサイバー救急センターの脅威分析チームです。\r\n日本時間の2021年11月15日、マルウェアEmotetの活動が再開され、11月17日頃から日本組織においても\r\n攻撃メールが届き始めていることを当社で確認しています。\r\nこれまでEmotetは、その攻撃手口から世界中で大きな被害をもたらし、当社では二度に渡り注意喚起を\r\n行ないました。現在は検知数が少ない状況ですが、このような背景から今後猛威をふるう可能性が十\r\n分考えられます。本注意喚起では、活動を再開したEmotetのポイントをまとめましたので対策にお役立\r\nてください。\r\n関連記事\r\n【注意喚起】猛威をふるっているマルウェアEmotetの検知状況について\r\n【注意喚起】猛威をふるっているマルウェアEmotet検知数の急増と対策について\r\n目次\r\n1. Emotetの手口\r\n2. これまでのEmotetとの相違点\r\n3. Emotetのボットネットの状況\r\n4. 対策\r\nEmotetの手口\r\nEmotetへの感染は、Emotet自体が配信するメールによって引き起こされるケースと、自組織内の他の感\r\n染PCから横展開（ラテラルムーブメント）で感染するケース、Trickbotと呼ばれる別のマルウェアから\r\n二次感染するケースの3通りが確認されています。これらのうちメールに関しては、窃取されたメール\r\nの内容が悪用されて返信形式で届くことがあり、ユーザが開封しやすく注意が必要です。\r\nEmotetの感染を目的としたメールは、過去の経緯を踏まえると、メール本文にURLリンクが記載されて\r\nいるもの（A）や、メールにファイルが添付されているもの（B,C,D）の4パターンが考えられます（図\r\n1）。11月17日時点ではA、C、Dの3パターンのメールが観測されている状況です。PDFファイルを使用\r\nしたBのパターンについては確認していませんが、従来のEmotetが利用していた手口であり、今後悪用\r\nされる可能性があるため、注意しておく必要があります。\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 1 of 6\n\n図1 Emotet感染までの流れ\r\nいずれのケースでも最終的に不正なマクロ付き文書ファイルをユーザが開き、「コンテンツの有効\r\n化」をクリックすることでマクロが実行され、Emotetをダウンロードした後に感染に至ります。Emotet\r\nに感染してしまった場合は、ユーザの気づかないうちに、メールや添付ファイル、メールアドレス、\r\nWebブラウザやメーラーに保存されたパスワードなどの情報が窃取されることや、Emotetへの感染を引\r\nき起こすメールを他の組織や個人に送信することがあります。\r\nまた、自組織内のネットワークの他のPCへ感染を広げる機能も存在するため、自組織の多数のPCが\r\nEmotetに感染する可能性もあります。これらの動作は、Emotetが追加機能（モジュール）をダウンロー\r\nドした場合に起こるものであるため、被害は環境や状況に応じて異なります。\r\nその他、Emotetの感染後にランサムウェアやバンキングマルウェアなどの他のマルウェアに追加で感染\r\nする過去事例も当社では確認しています。\r\nこれまでのEmotetとの相違点\r\n新しいEmotetは以前のものから変更が加えられており、通信の方法やデータの暗号化手法などが異なり\r\nます。ここでは相違点を紹介します。\r\n文書ファイル（ダウンローダ）\r\nダウンローダとしては、docm形式とxlsm形式の文書ファイルが確認されています。文書ファイルを開\r\nいた場合、図2の内容が表示されます。このとき「コンテンツの有効化」ボタンをクリックすると、マ\r\nクロが実行されてEmotetをダウンロードする通信が発生します。なお、文書ファイルの内容は頻繁に変\r\n更されるため、下図以外のケースにご注意ください。\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 2 of 6\n\n図2 Emotetへの感染を引き起こす文書ファイル（2021年11月17日時点）\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 3 of 6\n\nダウンローダの通信例を図3に示します。ダウンローダの通信は以前の傾向と大きな変化はありません\r\nが、User-Agentに「WindowsPowerShell」が含まれることがあります。\r\nこの通信によってサーバからDLL形式のEmotetがダウンロードされ、その後Emotetが実行されます。な\r\nお、このとき接続するサーバは、多くの場合正規のサイトが改ざんされたものです。\r\n図3 ダウンローダの通信例\r\nEmotet（本体）\r\nEmotet本体は、C2通信の動作に変更があり、HTTPSを使用するようになりました（図4）。これによ\r\nり、トラフィックを復号していないプロキシサーバのログでは通信の特徴をもとにC2通信を見つけ出\r\nすことが難しくなったといえます。\r\nその他の変更点としては、HTTPリクエストにおいてPOSTメソッドからGETメソッドに変わったことや\r\nUser-Agentがセットされていないこと、Cookieを使用することなどが挙げられます。\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 4 of 6\n\n図4 Emotetの通信例\r\nC2通信先に関しては従来通りEmotet本体にハードコーディングされていますが、こちらも変更が行わ\r\nれており、XORで暗号化されています。図5に示す通り、C2通信先はIPアドレスであり、80や443、\r\n7080、8080番ポートを使用する傾向があります。\r\n図5 Emotetの通信先\r\nEmotetのボットネットの状況\r\nEmotetは、2021年1月にEUROPOL（欧州刑事警察機構）によってボットネットのテイクダウンが行わ\r\nれたことで一時的に終息に向かいました。しかしながら、今回Emotetの活動が再開されたことでボット\r\nネットが新たに構築され始めた状況にあります。新たなボットネットは、テイクダウン前まで利用さ\r\nれていたボットネットであるEpoch1～Epoch3を踏襲し、Epoch4およびEpoch5と呼ばれています。\r\nEmotetのC2通信先を可視化したものを図6に示します。赤色の点がEmotet、紫色の点がC2通信先を表し\r\nています。左が11月15日にTrickbot経由で最初に配られたとされるEmotet、中央と右が11月17日に観測\r\nしたEmotetです。徐々にC2通信先数が増えており、ボットネットが拡大していることが窺えます。\r\n図6 EmotetのC2通信先の全体像\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 5 of 6\n\n対策\r\nメールに添付されているOffice文書ファイルは安易に開かない、本文内にあるメールのリンクにはアク\r\nセスしないことが重要です。また、Office文書ファイルを開いてしまった場合でも、「コンテンツの有\r\n効化」ボタンをクリックしなければ、マクロは実行されず、Emotetへ感染はしません（図7）。このよ\r\nうなOffice文書ファイルを開いてしまった際は、ボタンをクリックせずに、ファイルを閉じてくださ\r\nい。\r\n図7 感染を引き起こさないために注意すべき操作\r\nまた、Office製品のマクロ実行を強制的に無効に設定することも可能です。自組織内の業務でマクロ実\r\n行が不要という場合には、以下のMicrosoft社やIIJ社のサイトを参考に設定を変更することもご検討く\r\nださい※。\r\n※ Office ドキュメントのマクロを有効または無効にする\r\n※ マルウェア感染対策を目的としたVBAマクロ実行の無効化\r\n攻撃メールの内容や添付ファイル、Emotetの機能などは、今後変わっていく可能性がありますので、各\r\n組織のセキュリティご担当者様におかれましては、当社を含めたセキュリティ企業および組織の情報\r\n発信にて、定期的にEmotetの動向とその対策をご確認ください。\r\n感染時の対応や対策方法について、不安な点がありましたらサイバー救急センターまでご相談くださ\r\nい。\r\nサイバー救急センター　脅威分析チーム\r\n（松本拓馬、武田貴寛、髙源武彦、石川芳浩）\r\nSource: https://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nhttps://www.lac.co.jp/lacwatch/alert/20211119_002801.html\r\nPage 6 of 6", "extraction_quality": 1, "language": "JA", "sources": [ "Malpedia" ], "references": [ "https://www.lac.co.jp/lacwatch/alert/20211119_002801.html" ], "report_names": [ "20211119_002801.html" ], "threat_actors": [], "ts_created_at": 1775434946, "ts_updated_at": 1775791218, "ts_creation_date": 0, "ts_modification_date": 0, "files": { "pdf": "https://archive.orkl.eu/da7b08131192a8c4c2700a989cf0f9d9cec54219.pdf", "text": "https://archive.orkl.eu/da7b08131192a8c4c2700a989cf0f9d9cec54219.txt", "img": "https://archive.orkl.eu/da7b08131192a8c4c2700a989cf0f9d9cec54219.jpg" } }