「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説 | ScanNetSecurity
2026.03.14(土)

「Emotet」テイクダウンから復活 ~ トレンドマイクロが動向やテイクダウン前との違いを解説

トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

脆弱性と脅威 脅威動向
 トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。ラック株式会社も11月19日に、Emotetの攻撃メールの確認を発表している。

 トレンドマイクロでも、Emotetを拡散させるマルウェアスパム、新たなEmotet本体とそのドロッパーの検体、及び遠隔操作サーバ(C&Cサーバ)などの活動再開を確認しているという。

 トレンドマイクロによると、Emotetのボットネット再構築の初期段階では、別のボットであるTrickbotからのダウンロードが使用されている。既にEmotetのボットネットからのマルウェアスパム送信の再開も確認済みで、その拡散手法として、テイクダウン前と同様に不正マクロを含むWordもしくはExcel文書ファイルからEmotet本体であるDLLファイルがダウンロードされ、実行される流れを確認している。

 不正マクロを含む文書ファイルはメールへの直接添付に加え、パスワード付き圧縮ファイルに含まれている場合も確認しており、その他本文内のURLからダウンロードするケースも報告されている。これらの不正文書ファイルを含むマルウェアスパムの内容は、テイクダウン前と同様、以前に送信したメールの返信形式のものも確認されている。現在は英文のマルウェアスパムのみで、日本語のスパムは観測されていない。Emotet活動再開後に見られた変化として、C&C通信がHTTPからHTTPSになったことを確認している。

 ラックではEmotetへの対策として、メールに添付されているOffice文書ファイルを安易に開かない、本文内にあるメールのリンクにはアクセスしないことを挙げ、Office文書ファイルを開封した場合でも、「コンテンツの有効化」ボタンをクリックせずにファイルを閉じるよう注意を呼びかけている。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 奴らの仕事は自社製品を壊しまくること ~ Microsoft 攻撃研究チーム「STORM」が示すセキュリティの本気度

    奴らの仕事は自社製品を壊しまくること ~ Microsoft 攻撃研究チーム「STORM」が示すセキュリティの本気度

  2. 誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ~ JAL「手荷物当日配送サービス」システム障害

    誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ~ JAL「手荷物当日配送サービス」システム障害

  3. 厚生労働省初動対応チームの派遣を受け対応 ~ 白梅豊岡病院にランサムウェア攻撃

    厚生労働省初動対応チームの派遣を受け対応 ~ 白梅豊岡病院にランサムウェア攻撃

  4. アドバンテストのネットワークに不正アクセス、ランサムウェア展開可能性

    アドバンテストのネットワークに不正アクセス、ランサムウェア展開可能性

  5. L2 スイッチでゼロトラストを実現、「セキュリティ予算」でなく「ネットワーク機器予算」で導入 ~ パイオリンクが語る超現実解

    L2 スイッチでゼロトラストを実現、「セキュリティ予算」でなく「ネットワーク機器予算」で導入 ~ パイオリンクが語る超現実解PR

ランキングをもっと見る
PageTop