メールの添付ファイルを開いた直後から端末が重くなったり、セキュリティソフトが「Trojan.JS.NEMUCOD」などの検知を出したりすると、不安になる方も多いと思います。特にJS/Nemucodは、単体で完結するよりも「別のマルウェアを呼び込む入口」として使われやすく、気づかないうちに被害が広がることがあります。
初動で慌てて削除や復元を進めると、被害拡大の恐れが高まるだけでなく、後から原因を追うための証拠となり得るデータが失われる可能性もあります。
そこで本記事では、JS/Nemucodマルウェアの基本から、リスクと安全な対処法、企業環境での調査ポイントまでを整理して解説します。
目次
JS/Nemucodマルウェアとは
JS/Nemucodは、JavaScriptで書かれたトロイの木馬型ダウンローダーで、メール添付（.js）や悪意あるWebサイトからダウンロードされて実行されることがあります。最大の特徴は、感染した端末で別のマルウェアを追加で取得して実行させる「入口役」になりやすい点です。
例えば、ランサムウェア（NemucodAESなど）や、情報窃取・広告クリック型などのマルウェア（例：Kovter系）を後から落とす挙動が指摘されてきました。つまり、JS/Nemucodを放置すると、後続の被害が本格化する可能性があるため注意が必要です。
なお、同じ「.js」拡張子でも正規のスクリプトが存在するため、検知名だけで即断せず、検知ログや実行経路を合わせて確認することが重要です。
JS/Nemucodの疑いのあるサイン6選
JS/Nemucodは「後続マルウェアを落とすまで」目立った症状が出ないこともあります。次のようなサインが複数重なる場合は、感染の可能性を疑って状況を整理してください。
- メール添付の「.js」ファイルや、ZIP内のスクリプトを開いた心当たりがある
- セキュリティソフトが「JS/Nemucod」「Trojan.JS.NEMUCOD.*」などを検知した
- 不審な通信（見覚えのないドメインへの接続）が増えた
- 不明なプロセスが起動し、タスクスケジューラやスタートアップに増減がある
- ファイルが暗号化された、拡張子が変わった、身代金メモ（.txt/.html等）が出た
- 共有フォルダや別端末でも、同様の検知・異常が出始めた
サインが出た段階では、原因が「単発の誤検知」なのか「後続マルウェアまで進んでいるのか」で対応が変わります。ここで自己判断の削除や復元を急ぐと、証拠となり得るデータが失われる可能性があり、侵入経路や影響範囲の特定が難しくなることがあります。
不審な兆候が複数当てはまる場合は、端末の状態を保ちながら、検知ログや実行元ファイルなどの情報を先に整理しておくと安全です。
当社では、官公庁・上場企業・捜査機関などを含む幅広いインシデントに対応してきた実績をもとに、状況に応じた対応方針をご提案しています。初期診断は無料で、24時間365日対応しておりますので、早い段階で状況を整理することが重要です。
JS/Nemucodの手口
JS/Nemucodは、感染までの入口と、感染後の「追加ダウンロード」がセットで語られることが多いマルウェアです。代表的な流れを3つの観点で整理します。
メール添付（.js）やZIP内スクリプトの実行
典型的には、請求書・配送通知・取引連絡などを装ったメールにより、.jsファイルや、ZIPに格納されたスクリプトの実行を誘導します。ファイル名が文書に見えるよう偽装されていることもあり、気づきにくい点が特徴です。
企業環境では、同一メールが複数人に届き、複数端末で同時に感染が進むことがあります。
悪性サイトからのダウンロード誘導
検索結果や広告、改ざんされたサイトなどから、ダウンロードを促すページへ誘導されるケースがあります。正規サイトのように見えても、実際には不正なスクリプトが配布されていることがあるため注意が必要です。
後続マルウェアのダウンロードと実行
JS/Nemucodは「本命の被害」を起こすマルウェアを後から落とす前提で設計されることがあります。ランサムウェアや情報窃取、常駐型の不正プログラムなどが追加されると、被害は端末単体から共有フォルダや社内ネットワークへ広がる可能性があります。
入口となったメールやサイトが特定できても、後続で何が落とされたかは環境ごとに異なります。見えている検知だけを削除しても、裏で別の常駐や追加通信が残っていることがあるため、客観的なログ整理が欠かせません。
JS/Nemucodは「入口役」であることが多く、表面上の検知を除去できても、後続マルウェアや外部送信の有無が残っている可能性があります。影響範囲を誤ると、同じ手口で再発したり、社内外への説明が難しくなったりすることがあります。
専門家に依頼することで、侵入経路、活動履歴、影響を受けた端末やデータの範囲を整理し、再発防止まで一貫して判断しやすくなります。状況が曖昧な段階でも構いませんので、早めに相談窓口を活用してください。
JS/Nemucod感染で想定されるリスク
JS/Nemucodは「入口役」になりやすいため、想定リスクは後続マルウェアを含めて考える必要があります。代表的なリスクを整理します。
ランサムウェア感染による暗号化被害
後続としてランサムウェアが動作すると、端末内や共有フォルダのファイルが暗号化され、身代金を要求する画面やメモが表示される危険があります。業務データが読めなくなることで、復旧までの時間とコストが増えやすくなります。
情報窃取や認証情報の漏えい
キーロガーなどの情報窃取系が追加されると、ID・パスワード、ブラウザ保存情報、業務アカウントの認証情報が狙われる可能性があります。漏えいが疑われる場合は、単に駆除するだけでなく、どの情報が影響を受けたかの見極めが重要です。
追加マルウェアによる常駐と踏み台化
バックドアや広告クリック型などが入ると、端末が外部操作の踏み台として悪用されることがあります。見た目の症状が軽くても、外部との不審通信が継続している場合は注意が必要です。
共有フォルダ・他端末への横展開
企業環境では、同じメールを受け取った別ユーザーや、同一セグメントの端末へ影響が広がることがあります。特に共有フォルダの暗号化や、認証情報の使い回しがある場合は、被害が連鎖しやすくなります。
判断が難しいときはどうすればいい？
「検知は出たが実害が分からない」段階でも、状況を正しく把握することが大切です。復旧を急ぐほど、証拠となり得るデータが失われる可能性が高まり、原因と影響範囲を取り違えるリスクが上がります。
JS/Nemucod感染が疑われるときの対処法
対処は「被害拡大を止める」「状況を記録する」「影響範囲を把握する」の順で進めるのが基本です。環境によって最適解は変わるため、まずは安全にできる範囲から着手してください。
ネットワークから切り離す
まずは外部との通信や横展開を抑えるため、対象端末をネットワークから切り離します。有線LANを抜く、Wi-Fiをオフにするなど、できる範囲で構いません。業務影響がある場合は、関係者と共有しながら最小限の範囲で実施してください。
- 有線LANを抜き、Wi-FiやVPN接続を停止します。
- 共有フォルダへのアクセスや同期ソフトの動作を一時停止します。
- 実施時刻と実施内容をメモし、後の調査に備えます。
検知状況と関連ファイルを記録する
慌てて削除する前に、検知名、検知時刻、対象ファイルの場所、メールの送信元や件名などを記録します。後続マルウェアの有無を判断する際に、こうした情報が重要になります。
- セキュリティ製品の検知ログ（検知名・時刻・パス）を保存します。
- 該当メールがある場合は、件名・送信元・添付名を控えます。
- 画面表示や警告はスクリーンショットで残し、端末時刻も分かる状態にします。
セキュリティソフトでフルスキャンする
定義ファイルを最新化したうえでフルスキャンを実施し、「JS/Nemucod」「Trojan.JS.NEMUCOD.*」などの検知対象を隔離・削除します。ただし、後続マルウェアが別経路で残っている可能性もあるため、検知結果だけで「完全に解決」と判断しないことが大切です。
- セキュリティソフトをアップデートし、定義を最新にします。
- フルスキャンを実行し、検知されたファイルを隔離・削除します。
- 検知結果のレポートを保存し、再起動や追加スキャンの有無を判断します。
ランサムウェア兆候の有無を確認する
暗号化が進んでいる場合は、拡張子の変化や身代金メモ（.txt/.htmlなど）を確認し、無理な復旧操作は避けてください。復旧を急いで上書きが進むと、証拠となり得るデータが失われる可能性があります。
- 暗号化されたファイルの拡張子や、身代金メモの有無を確認します。
- メモの文面・ファイル名・作成日時を記録し、スクリーンショットを残します。
- バックアップの有無と、バックアップ先が安全かを確認します。
企業環境では影響範囲を切り分ける
端末単体で収まるか、同一メール受信者や同一セグメントに広がっているかで、優先順位が変わります。メールゲートウェイ、プロキシ、EDR、Windowsイベントログなどを保全し、「最初の実行→ダウンロード通信→後続起動」の時系列を整理できる状態にしておくと、封じ込めと再発防止につながります。
- 同じメールを受信したユーザーと関連端末をリストアップします。
- メール・プロキシ・EDRなどのログを退避し、保管期間切れを防ぎます。
- 不審通信先、怪しいプロセス、常駐化の有無を重点的に確認します。
サイバーセキュリティの専門業者に相談する
不審な兆候を確認した場合、サイバーセキュリティの専門業者への相談をおすすめします。専門業者は、感染がどのように起きたのか、後続マルウェアが存在するか、攻撃者がアクセスした可能性のあるデータや、攻撃のタイミングなどを客観的に調査できます。
自己判断で復旧を急ぐと、証拠となり得るデータが失われる可能性があり、原因特定や再発防止の設計が難しくなることがあります。専門的な調査で全体像を明確にし、最適な対策へつなげることが重要です。
私たちデジタルデータフォレンジックは、幅広い調査実績をもとに、官公庁、上場企業、捜査機関等を含む多様なインシデントに対応してきました。お電話またはメールでお問い合わせいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内していますので、まずはお気軽にご連絡ください。
詳しく調べる際はマルウェア感染調査の専門家に相談を
サイバー攻撃、不正アクセス、マルウェア感染のような問題が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。
特に、法的手続きが絡むケースや被害が広範囲に及ぶ場合は、専門家の力を借りることで被害の最小化と信頼性の高い証拠の収集が可能です。
>情報漏えい時の個人情報保護委員会への報告義務とは？詳しく解説
当社では、インシデント対応のプロが初動対応から、専門設備でのネットワークや端末の調査・解析、調査報告書の提出、ならびに報告会によって問題の解決を徹底サポートします。
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
デジタルデータフォレンジックの強み
デジタルデータフォレンジックは、迅速な対応と確実な証拠収集で、お客様の安全と安心を支える専門業者です。デジタルデータフォレンジックの強みをご紹介します。
累計相談件数47,431件以上のご相談実績
官公庁・上場企業・大手保険会社・法律事務所・監査法人等から個人様まで幅広い支持をいただいており、累積47,431件以上（※1）のご相談実績があります。また、警察・捜査機関から累計409件以上（※2）のご相談実績があり、多数の感謝状をいただいています。
（※1）集計期間：2016年9月1日～
（※2）集計機関：2017年8月1日～
国内最大規模の最新設備・技術
自社内に40名以上の専門エンジニアが在籍し、17年連続国内売上No.1のデータ復旧技術(※3)とフォレンジック技術でお客様の問題解決をサポートできます。多種多様な調査依頼にお応えするため、世界各国から最新鋭の調査・解析ツールや復旧設備を導入しています。
（※3）第三者機関による、データ復旧サービスでの売上の調査結果に基づく。(2007年～2023年)
24時間365日スピード対応
緊急性の高いインシデントにもいち早く対応できるよう24時間365日受付しております。
ご相談から最短30分で初動対応のWeb打合せを開催・即日現地駆けつけの対応も可能です。（法人様限定）自社内に調査ラボを持つからこそ提供できる迅速な対応を多数のお客様にご評価いただいています。
デジタルデータフォレンジックでは、相談から初期診断・お見積りまで24時間365日体制で無料でご案内しています。今すぐ専門のアドバイザーへ相談することをおすすめします。
調査の料金・目安について
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
機器を来社お持込み、またはご発送頂ければ、無料で正確な見積りのご提出が可能です。
まずはお気軽にお電話下さい。
【法人様限定】初動対応無料（Web打ち合わせ・電話ヒアリング・現地保全）
❶無料で迅速初動対応
お電話でのご相談、Web打ち合わせ、現地への駆け付け対応を無料で行います（保全は最短2時間で対応可能です。）。
❷いつでも相談できる
365日相談・調査対応しており、危機対応の経験豊富なコンサルタントが常駐しています。
❸お電話一本で駆け付け可能
緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。（駆け付け場所によっては出張費をいただく場合があります）
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
