7月と8月の概況

2020年7月（7月1日～7月31日）と8月（8月1日～8月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2020年3月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2020年7月の国内でのマルウェア検出数は6月と比較して減少しましたが、8月のマルウェア検出数は増加傾向に転じました。検出されたマルウェアの内訳は以下のとおりです。

*2 本表にはPUAを含めていません。

7月と8月に国内で最も多く検出されたマルウェアは、JS/Adware.Subpropでした。
JS/Adware.Subpropはアドウェアで、偽のAdobe Flash Playerのアップデートや有名ベンダーのWebバナーを悪用して、悪意のあるコンテンツや不要なソフトウェアを配布するスクリプトの検出名です。
2位のHTML/ScrInjectは、HTMLに埋め込まれた不正スクリプトで、こちらもWebサイト閲覧時に実行されます。

昨年10月頃から被害報告が増加し、2020年1月2月以降大きな動きを見せていなかったEmotetの活動が7月中旬頃から再開しました。7月中旬頃からEmotetの感染を狙ったばらまきメールが確認されています。IPAなどの機関からも注意喚起が出ています。ばらまきメールに添付されていたファイルはWordファイル（.doc）で、ESET製品ではVBA/TrojanDownloader.Agentなどの検出名として検出されます。以下のグラフは、7月～8月の日別検出数の推移を表しています。

VBA/TrojanDownloader.Agentの日別検出数の推移（2020年7月～8月・国内）

7月中旬や7月末、8月末にこのマルウェアが多く検出されていることが分かります。これは、Emotetのばらまきメールが確認されている期間と一致しています。
8月にばらまかれた添付ファイルを開くと、以下のような画面が表示されます。

添付ファイルを開いた時の画面

「編集を有効にする」ボタンと「コンテンツの有効化」ボタンをクリックしてしまうと、マクロを経由してPowerShellが実行されます。
赤枠で囲んだ変数は、難読化解除後のPowerShellのコードです。

マクロ内に書かれたPowerShellのコード

PowerShellのコード部分は、BASE64でエンコードされており、デコードすると以下のコードが現れます。

復号したPowerShellのコード

コードの文字部分は「’」「（）」「＋」で区切られており、URL部分は「＊」で区切られています。区切りの文字を消し、改行を行ったものが以下の画像です。

整形したPowerShellコード

URLのリストから１つずつアクセスし、ファイルのダウンロードを行います。その際に、ファイルサイズが22,028バイト以上だった場合、ファイルを実行します。ダウンロードに失敗した場合やファイルサイズが条件より小さい場合は、次のURLへアクセスします。
このダウンロードされるファイルがEmotetです。Emotetがダウンロード・実行された場合、情報の窃取や他のマルウェアへの感染などの被害に遭う可能性があります。感染する他のマルウェアは、Trickbotなど様々なものが確認されています。さらに、TrickbotからランサムウェアRyukをダウンロードされたケースが過去に海外で確認されています。
このような脅威の被害に遭わないためにも、セキュリティ製品の導入やシグネチャを最新の状態に保つといった基本的な対策が必要です。加えて、Office製品でのマクロの設定を無効にすること、添付ファイルを安易に開かないことやランサムウェアの被害軽減策としてのオフラインバックアップ取得といった個別の対策も重要です。

ご紹介したように、7月と8月はWebブラウザー上で実行される脅威に加えて、Emotetの活動が再開し、多数のダウンローダーが検出されています。セキュリティ製品の導入などの基本的な対策やマクロの設定を無効にするといった個別の対策が重要です。