Emotetは2014年ごろから観測されたマルウェアで、2019年頃に日本をターゲットに、多数の組織に被害を与えたものです。メールを介し感染を広げるのが特徴で、そのメールの本文も盗み出した実際の文章から作り出すため、一見正常に見えるやり取りの中に偽装されたメールが含まれること、そしてこれまでメールのやり取りを行なっていた相手にも感染させるためのメールを送りつけることなどから、拡散力もかなり強いものでした。その感染には、Office文書のマクロが使われることが多かったのは記憶に新しいかもしれません。

　11月に戻ってきてしまった、Emotetに関してはトレンドマイクロなどが公開しているブログが詳しいです。また、これまで最新情報を更新し続けてきたJPCERTコーディネーションセンターの注意喚起もアップデートが行われています。

　マクロが基点となることから、そのマクロを実行しない、というのが以前より語られてきた有効な対策でした。組織により利用度合いは異なるとは思いますが、多くの場合マクロを含む文書をメールでやり取りするような必然性は少ない、もしくは無くすことができるのではないかと思います。その点をマイクロソフトも認識しているようで、マイクロソフトはインターネットから取得したファイルに関して、既定でマクロの実行を制限するよう修正を加えました。これにより、多くのマルウェアは打撃を受け、私たちはかつての安心を取り戻すことができました。

　しかし、それで諦める攻撃者はいません。上記トレンドマイクロの記事にもあるように、次は「マクロが実行できるところにコピーしろ」という指示付きで、マクロのファイルを送りつけるという方法がとられたり、特殊なイメージファイルを経由し、インターネット経由であるというフラグを立てない形で文書を送るなど、「ポストマクロ時代」のマルウェアに進化してしまいました。

図1　2022年11月に新たに確認された誘導メッセージ（JPCERT「マルウェアEmotetの感染再拡大に関する注意喚起」より引用）

　先日＠ITにて開催されたセミナーでも、セキュリティリサーチャーのpiyokango氏をはじめ、このポストマクロ時代における私たちの構え方について触れた部分がありました。これまでのマクロ対策、そしてポストマクロ時代の対策、それぞれが必要となります。