2020年7月24日に「ZDNet」をはじめとする複数のテック系メディアが、Webサイト上のマルウェア「Emotet」のファイルが無力化されていると報じた。

　Emoteに感染した端末は悪意あるユーザーが操作可能なゾンビデバイスとなり、同じく感染した他のゾンビデバイス群とボットネットを構築する。そしてデバイス上のメールのやりとりを盗み出し、マクロ入りのOffice系ファイル（多くの場合がWordファイルだ）が添付されたもっともらしいなりすましメールを自動作成して勝手に送信してしまう。このメールは、ユーザーが過去に送信した文面までまねるという周到さだ。送られてきたユーザーが、知人や仕事相手からの連絡だと思ってその添付ファイルを開けば、マルウェアが勝手にダウンロードされるという仕組みで、現在流行しているマルウェア感染パターンの一つだ。

　Emotet自身を感染させるだけでなく、ランサムウェアのような別のマルウェアを感染させることも可能だという。つまり「マルウェアを感染させるためのマルウェア」ともいうべき存在だ。Emotetは2019年9月頃から猛威を振るい始めたものの、2020年2月になって各所での対策が功を奏したのか活動しなくなった。ところが2020年7月になって再び活発化しているのだという。元来、Emotetは亜種が多く、検知されにくかったが、さらに亜種の作成が活発になったことが再流行の理由とされている。

　ところが最近、Microsoftのサイバーセキュリティ研究者ケビン・ボーモント氏が「Emotetの周辺で、妙な動きが見られている」と報告した。

　報告によると、Emotetが拡散しているマルウェアを強制ダウンロードさせるマクロが仕込まれたWordファイルなどが、何者かによって置き換えられているというのだ。そしてその置き換えられたファイルも非常に独創的で、無害なGIFアニメーションファイルとなっているという。

　置き換えられるGIFアニメーションファイルには数パターンあり、「スパイダーマン」シリーズのハリー・オズボーン役で知られる俳優ジェームズ・フランコ氏やスウェーデン映画「KUNG FURY」に登場する「HACKERMAN」なるキャラクター、映画「ハリー・ポッター」シリーズに出てくるフクロウ「ヘドウィグ」の顔面アップなどだ。

　さらにこの件は、誰がどうやってファイルを置換しているか、今のところ分かっていない。ちまたではEmotetのボットネットを運用管理している組織に対抗する集団とか、善意のハッカーが登場したなど言われているものの、真相は闇の中だ。

　Emotetが添付された偽メールにうっかり釣られてしまったとしても、ダウンロードされるものが無害なGIFアニメであれば、被害は減少するだろう。正体不明の善人の活躍に期待したい。

---

上司X：　マルウェア「Emotet」の悪質なファイルが、何者かによって無害なGIFアニメに置き換わっていっている、という話だよ。

ブラックピット：　なるほど。しかし、うーん……なんだかモヤモヤするなあ。

上司X：　どうしてだ？　マルウェアの被害が減る可能性もあるんだぞ。いい話じゃないか。

ブラックピット：　いや確かに今は無害ですけどね？

上司X：　そうだな。いいことじゃないか。GIFアニメの意味はよく分からないが。

ブラックピット：　集団か個人かは知りませんけど、こういうことができるってことは、Emotetが配布している悪質なファイルを、より悪質な自分たちへ利益を誘導できるようなファイルに変更することだってできる、ってことじゃないですか？

上司X：　う、確かにそうだな。面白い現象だとばかり思っていたけど、確かにそういう側面もある。キミにしては鋭い推測じゃないか。

ブラックピット：　ふふふ、僕もたまには少しは頭を使うってことですよ！　面目躍如ってところですね。実際のとこ、油断してクリックしたあと「あー変な画像ファイルでてきた（笑）」とかで済ませているうちに、いつの間にかもっと凶悪なマルウェアをインストールするファイルになっているかもしれないわけです！

上司X：　おお。確かに。結局、最終的にやっぱり怪しいメールには極力気を付けようってことしか言えないよな。キミもな、このメールなんだっけ？　まあ開いてみるか」みたいに、うかつに添付ファイルを開くんじゃないよ。もちろん俺もキモに銘じるけど。