【図1】デジタルアーツが受信したEmotetメールの例

従来の「VBAマクロ」ではなく、「Excel4.0マクロ」を用いる手口に変化
「Excel4.0（XLM）マクロ」とは、現在ではあまり使われなくなった古いマクロの記述方法です。しかし、新しいバージョンのExcelでも、未だに実行可能となっており、アンチウイルス回避や解析妨害のため、このマクロを悪用した攻撃が多く存在します。「xlsm」ファイルを開いてコンテンツを有効化（マクロを有効）すると、非表示のシートにばらばらに記述された文字を使って組み立てられたコードによって「Excel4.0マクロ」が実行され、感染へと至ります。従来のEmotetは、VBAマクロ実行後にPowerShellを呼び出して感染させる手法が多く用いられていましたが、2022年3月時点では、「Excel4.0マクロ」しか用いられていません。

近年のOffice製品における、マクロのセキュリティリスクへの対応
Microsoftは、2021年と2022年に2つの特徴的な発表をしています※2。まず、「VBAマクロ」については、「インターネットから取得したOfficeファイルのVBAマクロをデフォルトで無効化」する措置を、2022年4月以後に適用する予定です。「インターネットから取得したOfficeファイル」とは、メールの添付ファイルも含まれます。また、現在のように利用者がワンクリックで簡単に「VBAマクロ」を有効できる、という状況も改善される見通しです。次に、「Excel4.0マクロ」については、「VBAマクロ」が有効であっても、「Excel4.0マクロ」だけを無効にできるという措置です。こちらはすでに適用されており、2021年末までにMicrosoft 365ではデフォルトで「Excel4.0マクロ」は無効となっています。

Emotetに効果は？
以下に、Emotetにおいての懸念事項をまとめました。侵入経路の多くはメールの添付ファイルやメール本文に記載されたURLです。このため、メールゲートウェイ部分でメール攻撃を防ぐ、マルウェアのダウンロードをWebプロキシで防ぐ、といった対策が有効ではないでしょうか。