EmoCheckとは？配布終了後に会社のパソコンで確認することを解説

EmoCheckとは、JPCERT/CCが提供していた、マルウェアEmotetの感染の有無を確認するツールです。配布はすでに終わり、JPCERT/CCは2026年4月10日⁠のお知らせで、利用している場合は直ちに停止するよう求めています。

今日やることは、社内のパソコン、共有フォルダ、USBメモリ、手順書にEmoCheckが残っていないかを確かめることです。古い手順書に「感染したらEmoCheckを実行⁠」⁠と書かれていれば、この機会に書き換えます。

この記事は公式発表をもとに整理したもので、私たちがツールを検証したものではありません。全体はセキュリティの基本のカテゴリから見られます。

EmoCheckはなぜ配布終了になったのか？

理由は2つあります。

1つ目は、対象のEmotetの脅威がなくなったとJPCERT/CCが判断したことです。公式のGitHubのページには、Emotetの脅威がなくなったため提供を終了したと書かれており、JPCERT/CCでは2023年4月以降、Emotetの活動を確認していないとされています。

2つ目は、ツール自体に脆弱性が見つかったことです。JVN#00263243⁠によると、対象はEmoCheckのすべてのバージョンです。ファイルを読み込む場所の扱いに問題があり、細工されたDLLファイルを同じフォルダに置いた状態で実行すると、実行している権限で任意のコードを実行されるおそれがあります。対策は製品の使用停止で、JVNは「すでに配布終了しているため、使用停止を推奨」⁠と⁠し⁠て⁠い⁠ま⁠す⁠。

GitHubの配布物もなくなっており、リリースのページにも公開中のファイルはありません。

そもそもEmotetとは何だったのか？

IPAの説明によると、Emotetはメールアカウントやメールデータなどの情報を盗み、さらに他のウイルスへの二次感染にも悪用されるウイルスです。実際のメールへの返信を装う手口が知られていました。

JPCERT/CCの注意喚起⁠によると、2021年11月後半に活動の再開が確認され、2022年2月⁠に感染が急速に拡大しました。2023年3月にも配布が確認されています。

EmoCheckは、JPCERT/CCのFAQ⁠によれば2020年2月⁠にリリースされ、その後も更新されました。流行の時期に作られた社内の手順書には、今も名前が残っているかもしれません。

マルウェアとウイルスの呼び方が資料によって違う点は、マルウェアとウイルスの違い⁠で整理しています。

社内に残っていないか、どう確かめるのか？

次の順番で確認します。担当者が1人なら、手順書とよく使う共有フォルダから始めてください。

1. 手順書を探す。情報システムの手順書、緊急時の連絡表、過去の社内通知で「EmoCheck」「Emotet」⁠を検索します
2. ファイルを探す。JPCERT/CCのFAQ⁠に載っていたファイル名は emocheck_x86.exe と emocheck_x64.exe です。共有フォルダ、保守用のUSBメモリ、担当者のダウンロードフォルダを見ます。実行したフォルダには結果のテキストファイルが残っている場合もあります
3. 配布の記録を確かめる。資産管理ツールを使っているなら、これらのファイル名で検索できるかを確認します
4. 見つけたものを消す。誤って実行しないよう、実行ファイルを削除します。削除前に、場所と見つけた端末を記録します
5. 手順書を書き換える。次の節の内容に置き換え、版と日付を入れます

製造業では、保守用のUSBメモリや、現場の端末に置かれたツール集に残っていることが考えられます。たとえば、設備の保守担当者が2022年ごろに工場の端末を確認するために使ったUSBメモリが、そのまま工具箱にある場合です。普段のパソコン検査では見つからないので、現物を確かめてください。

過去の「検知されませんでした」⁠はどう読むのか？

「当時その方法では見つからなかった」⁠と⁠い⁠う記録としてだけ扱います。今の安全を示すものではありません。FAQに載っていた表示と、今の扱いを並べます。

当時のFAQは検知なしを「感染していません」⁠と説明していましたが、後の注意喚起で検知できない例が公表されています。今の扱いの欄は、私たちの整理です。理由は次のとおりです。

• JPCERT/CCは2023年3月の時点で、最新のEmoCheckでEmotetを検知できないケースを確認したと公表しました。その後v2.4.0で検知機能を改善しています
• 同じ注意喚起は、疑わしいメールを開いたアカウントでログインして実行するよう求めており、別のアカウントでは正しく検知できない可能性があるとしています
• EmoCheckはEmotetの感染確認のためのツールです。ランサムウェアなど、ほかのマルウェアの有無を示すものではありません
• 実行した時点の結果なので、その後の感染はわかりません

過去の報告書に結果を書いている場合は、消さずに「当時の結果」⁠と注記してください。記録を書き換えると、後で経緯を追えなくなります。

取引先から「EmoCheckで確認した結果を出してほしい⁠」⁠と言われる可能性もあります。その場合は、配布終了と使用停止の公式発表を示し、今行っている確認の方法を説明します。

今、感染が心配なときは何をするのか？

EmoCheckと同じ役割の無料ツールを探すより、今ある手段で順に確かめます。

1. 触りすぎない。IPAのインシデント対応の手引きは、対象機器の電源を切るなど、不用意な操作で記録を消さないよう注意を促しています。社内の担当者か保守会社に先に連絡してください
2. 本人に聞く。いつ、どのメールやファイルを開いたか、どんな画面が出たかを記録します
3. ウイルス対策ソフトで検査する。定義ファイルを最新にして実行します。JPCERT/CCのFAQも、検知しない場合でも感染していないとは言い切れないと書いています
4. 自社の端末の製品の管理者や保守会社に、ログの確認を依頼する。EDRが入っていれば、端末の動きの記録を確かめられる場合があります
5. 判断に迷ったら相談する。IPAの企業組織向けサイバーセキュリティ相談窓口は、初動の助言や専門業者の一覧の紹介を受け付けています。調査や解析そのものは行っていません

自社で調べきれない場合や、取引先への説明に調査結果が要る場合は、フォレンジック調査サービスの比較から依頼先を探せます。手引きには、訴訟対応なども見越して、必要に応じて証拠を保全する旨の記載もあります。

EmoCheckの終了から、何を学べばいいのか？

単発のツールは、対象が変われば役目を終えます。手順書に書くのはツールの名前ではなく、「誰に連絡し、誰が判断するか」⁠にしておくと、古くなりにくくなります。

平時の守りは、端末を継続して見る製品に任せる部分です。全体像はエンドポイントセキュリティの比較で、侵入後の動きまで見る製品はEDRの製品比較で確かめられます。どの製品も、検知を保証するものではなく、通知を見る人を決めて初めて役に立ちます。

なぜ会社が狙われるのかは、犯人の儲け方から見た狙われ方⁠にまとめています。