2022-03-26

Emotet覚書2

一段落ついた感じ。ウイルスバスターもきっちり「隔離」してくれているようで、とりあえず落ち着いた。「Emotet」に感染したかな？と思われるときに取るべき行動を書きとめておく。なお、今月再燃したEmotetは下記のよう。

www.daj.jp

対策

1．対象のPCをインターネットから遮断する

2．影響しそうな顧客、職員に連絡

3．Emocheck

4．ウイルスチェック

5．メールのパスワードを変更

1．対象のPCをインターネットから遮断する

まずはインターネットから切断する、LANケーブルを抜く、wifiからも外すこと。wifiはルーターそのものをシャットダウンします。

2．影響しそうな顧客、職員に連絡

どこまで影響するか難しいところ。メールのやりとりをする職員、顧客に電話等で連絡する。「当社の名前を騙るメールに注意してください。Emotetです。」過去にやりとりのあったメール先（受信、送信）は全て対象となる。

3．Emocheck

下記のサイトより最新のバージョンを入手すること。使用している端末に応じ「emocheck_x86.exe」または「emocheck_x64.exe」を使用する(不明な場合はemocheck_x86.exeを使えばOK)。

◎JPCERTCC/EmoCheck - GitHub

https://github.com/JPCERTCC/EmoCheck/releases

4．ウイルスチェック

信頼のおけるウイルスソフトで全検索する。またマルウエアもチェックする（一応、「Malwarebytes」のフリ版ーでチェックした）。Emotetは種々のマルウエアを呼び込むようです。

5．メールのパスワードを変更

メールアドレスも変更した方が良いが業務に支障を来たす。最低限の処置としてメールサーバのパスワードを変更する。PC側をクリーンにしてもメールサーバーのパスワードが盗まれていると、際限なく踏み台にされます。新しいパスワードは安全な状態に強化する。

2022-03-18

Emotet覚書

職場でEmotetがまん延してるようで、あちこちから悲鳴が上がっています。取引先やお役所関係の名前を装って届くので、注意していないと「ありゃ？」とメールを開いてしまっているようです。

メールタイトルは既存のメールを使い回されますし、中味の日本語表現や文章言い回しもよくよく気をつけないとワカリマセン。今日びでは毎回10通、50通、100通とメールを受信してることも不思議ではないです。一目で迷惑メールとわかるものもあり、それらは文句なしに削除できますが。『Emotet』はかなり巧妙です。

たとえばこんな具合、、、

f:id:mzo:20220318200504j:plain

f:id:mzo:20220318200618j:plain

www.lanscope.jp f:id:mzo:20220318200504j:plain

f:id:mzo:20220318200618j:plain

他にも、zipファイルやpdfファイルを添付し、パスワードを案内してくるものもあります。で、一読しただけでは差出人に心当たりがあるので開いてしまう。

多くの場合はwordやexcelの添付ですが、添付ファイルを開いただけでは感染しません。マクロの実行で感染します。ですので不用意にマクロを実行しないこと、officeで自動実行は行わない設定にしておきましょう。

「あれ？こんなファイル依頼したっけかな？」と思ったら、差出人に確認することが大事です。また、差出人は正しくてもソースを確認すると全然知らないメールアドレスであったりします。例えば吉田さんを名乗って来たメールですが、ソースを見ると「akada@nanncyara.com」だったりと全然違うものだったりします。

ソースの表示が解らないなら、「返信」をクリックすると返信先にメールアドレスが表示されます。尚、この場合実際に送信しないよう注意してください、確認するだけです。

当然、職場内には「まずは怪しいメールは開かないこと！」と周知したのですが、これが解らない。怪しいか調べるために開いてしまうということが多発しました。それだけかEmotetは巧妙な偽装を行います。

・不審なメールを安易に開かない

・添付ファイル付きメールに注意する

・オフィスソフトのマクロを自動実行しない

wwg.co.jp

www.youtube.com