【Emotet】怪しいメールを受信したので調査をお願いしてみた

JPCERTコーディネーションセンター（JPCERT/CC）や独立行政法人情報処理推進機構（IPA）などが注意喚起しているEmotet（エモテット）ですが、その猛威は留まるところを知りません。

高性能のウイルス対策ソフトウェアや次世代ファイアウォールといったセキュリティ対策の実施は有効な手段ではありますが、感染してしまった際の早期発見・対処の備えも忘れてはいけません。

今回は、当社のあるメールアドレス宛にもEmotetが送られてきましたので、発見までの経緯と対処についてご紹介します。

Emotetに限らずマルウェア感染の対策・対処にお悩みの方は、ぜひＪＢサービスへご相談下さい。

目次

1. 不審なメールが届いた
2. セキュリティ担当者に相談した10分後にEmotetと判明
3. 調査からわかったこと
4. まとめ

社員Iが利用しているメールアドレス宛に、不審なメールが届いたことが事の始まりです。

• 件名は返信を表す「Re:」だったこと
• 送信元は取引先のアドレスに見えたこと

上記の2点から、特に疑いもせずにメールを開封してしまいました。

内容は、3年前に取引先へ送信したメールに返信する形で短文のメッセージがあり、Wordファイルが添付されていました。

添付のファイル名が文字化けしていたことやメール本文が怪しかったことから、担当者Iは添付ファイルを開封せずセキュリティ担当者に相談しました。

※不審なメールのイメージ

相談メールを送った10分後に「添付ファイルはマルウェアなので削除してください。」とセキュリティ担当者から一次回答がありました。

担当者Iは該当メールを削除し、念のため導入済みのウイルス対策ソフトウェアでスキャンを実行しました。幸いなことに、端末はマルウェアに感染していないことがわかりました。

セキュリティ担当者がどのように調査したのか、利用したセキュリティ対策ツールのキャプチャー画像とあわせてご紹介します。

こちらの画像は、判定結果のサマリーです。本ケースでは、

• Malwareの箇所にFEODO（Emotet等が属するマルウェアファミリー）の記載があったこと
• Severityの項目にPowerShellを実行し、実行ファイルを作成していると記載されていたこと

以上のことから、本検体はドロッパー・ダウンローダーであり、Emotet等のバンキング系のマルウェアを作成する動作をしていると判断したとのことです。

また、こちらの画像では攻撃の詳細を把握できるようになっています。

• 実行されたPowerShellのコードが難読化されていること（難読化されたコードは黒くマスクしています）
• 本ファイルを開いたWordのプロセスがPowerShellを実行し、更に別のExeファイル（マルウェア本体）を実行している様子（下部の図）

その他にも、通信先の情報（通信先のIPアドレスや国情報）も確認できます。今回のケースでは、アメリカとカナダに通信する仕組みが仕組まれていたとのことでした。