「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説 | ScanNetSecurity
2026.02.22(日)

「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説

トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

脆弱性と脅威 脅威動向
 トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

 トレンドマイクロでも、Emotetを拡散させるマルウェアスパム、新たなEmotet本体とそのドロッパーの検体、及び遠隔操作サーバ(C&Cサーバ)などの活動再開を確認しているという。

 トレンドマイクロによると、Emotetのボットネット再構築の初期段階では、別のボットであるTrickbotからのダウンロードが使用されている。既にEmotetのボットネットからのマルウェアスパム送信の再開も確認済みで、その拡散手法として、テイクダウン前と同様に不正マクロを含むWordもしくはExcel文書ファイルからEmotet本体であるDLLファイルがダウンロードされ、実行される流れを確認している。

 不正マクロを含む文書ファイルはメールへの直接添付に加え、パスワード付き圧縮ファイルに含まれている場合も確認しており、その他本文内のURLからダウンロードするケースも報告されている。これらの不正文書ファイルを含むマルウェアスパムの内容は、テイクダウン前と同様、以前に送信したメールの返信形式のものも確認されている。現在は英文のマルウェアスパムのみで、日本語のスパムは観測されていない。Emotet活動再開後に見られた変化として、C&C通信がHTTPからHTTPSになったことを確認している。

 ラックではEmotetへの対策として、メールに添付されているOffice文書ファイルを安易に開かない、本文内にあるメールのリンクにはアクセスしないことを挙げ、Office文書ファイルを開封した場合でも、「コンテンツの有効化」ボタンをクリックせずにファイルを閉じるよう注意を呼びかけている。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 信和、サイバー攻撃を受けた可能性のある事象を確認

    信和、サイバー攻撃を受けた可能性のある事象を確認

  2. CI/CDツールに内在する脆弱性を悪用 ~ 学校法人アジア学院に不正アクセス

    CI/CDツールに内在する脆弱性を悪用 ~ 学校法人アジア学院に不正アクセス

  3. フォレンジック調査を無駄にしないため サイバー攻撃被害発生時にやってはいけないNG行動集、個人情報保護委員会が公表

    フォレンジック調査を無駄にしないため サイバー攻撃被害発生時にやってはいけないNG行動集、個人情報保護委員会が公表

  4. 長年使っていない Facebook アカウントが乗っ取り→パスワード変更しようとするも WhatsApp 認証に変わっていて→自分に認証コードが届かない

    長年使っていない Facebook アカウントが乗っ取り→パスワード変更しようとするも WhatsApp 認証に変わっていて→自分に認証コードが届かない

  5. IPA「セキュリティ要件適合評価及びラベリング制度 (JC-STAR) 通信機器 ★3セキュリティ要件」公開

    IPA「セキュリティ要件適合評価及びラベリング制度 (JC-STAR) 通信機器 ★3セキュリティ要件」公開

ランキングをもっと見る
PageTop