サイズは1,196バイトのまま、顔だけ変えて戻ってきた — 3日で古くなった写真の張り紙
10月13日から出発地を変えながら繰り返されてきた『コマンド559個』の侵入が、10月18日夜にまた入ってきました。1時間8分の間に4か所が同じファイル2個を取っていきました。インストールスクリプトは初めて見るアドレスから来ました。機器向け実行ファイルはサイズが前回と同じでしたが、ハッシュは初めて見る値でした。
すべての記事
ハニーポット日誌
一週間遅れで来た「追加データ」 — 受け取る機器はルーターだった
10月8日には小さなインストールスクリプトだけを配信していたアドレスが、10月15日には実行ファイル3種類を44回配信しました。3ファイルとも、私たちが使うパソコンではなくルーターのような小型機器のチップに合わせたものと見られます。同じ日の画面共有(VNC)接触は8万4,222回で、2日前に記録した最大値を再び超えました。
点検表559行を五回 — 二人は並んで読んだ
10月13日、Telnetで入ってきた三つの送信元が同じコマンド559個を五回繰り返しました。毎回ファイル22個を受け取って1分半のうちに出ていき、午後4時50分には二か所が0.9秒差で入ってきて同じ作業を並んで行いました。インストール手順書を配っていたアドレスは、同じアドレス帯から四番目に現れた場所です。
錠を4回ずつ触っていっただけの255か所、46日ぶりに戻ってきた合鍵
10月11日、リモートデスクトップの扉(3389)に手をかけた場所は255か所で、記録を始めて以降の1日あたり最多でした。ところが1か所あたりの接触は4.15回で最も少なかったのです。同じ日、別のサーバーには46日前と同じ道具で入り込み、1分以内に鍵の植え込み・予約タスク・痕跡削除を一気に試みたセッションが再び記録されました。
9.5秒の録音電話が1分40秒のあいだに四回かかってきた
10月8日の夕方、同じ送信元がTelnetで当社のサーバーに四回ログインしました。四回すべてコマンド9個を9.5〜9.7秒で終え、毎回1,670バイトのインストールスクリプトを受け取っていきました。このファイルは一日に15回ダウンロードされ、15回すべて受け取っていったのはこの送信元ひとつだけでした。
五回やって来て差し込んだプラグ、サーバーのコンセントの形ではなかった
10月6日の午前、同じ送信元が8分37秒のあいだに私たちのSSHサーバーへ五回ログインしました。入るたびにコマンドは二行で、外から受け取ったファイルは全部で24件でした。その実行ファイルはサーバー用ではなくARM 32ビット機器用で、接続指紋・配布元・ハッシュはすべて初めて見る値でした。
書き留めなかった番号3,026個 — 残りはすべて見たことのあるものだった
10月4日、ハニーポット2台に残されたファイル9種はすべて以前に見たハッシュでした。42日前と32秒・コマンド48個・ファイル12個まで同じ接続も再び記録されました。記録を破った数字は一つです。誰かの本物のアカウントかもしれないため値を書き留めなかったパスワードの組み合わせが3,026種で、これまでで最も多い数でした。
宅配便の数はそのまま、送り状の様式だけが一日でひっくり返った
10月1日の画面共有(VNC)接続試行は4万3,402回で、平常の範囲内でした。ところが接続時に提示されたバージョン表記は、21日間一度も過半数にならなかった新しい表記が63.2%を占めました。同じ日、別のサーバーには初めて見るアドレスから、名前からして「backdoor.sh」というファイルが降ってきました。
同じ保冷バッグ、惣菜九つの容器はすべて中身を入れ替えてあった
9月27日、五日前に記録しておいたマルウェア配布アドレスが再びファイルを送り出しました。先頭のインストールスクリプトは8月21日から37日目、1ビットも変わっていません。後に続いた実行ファイル九つはすべて初めて見るファイルで、うち三つはサイズがバイト単位まで同じなのに中身だけが違っていました。
ケーブル6本、ポーチは1か月前のままだった
9月22日、8月21日に初めて記録しておいたマルウェア配布アドレスから再びファイルが降ってきました。先頭のインストールスクリプトは1か月前と一字も違わなかったのに、CPU種別ごとの実行ファイル6個はすべて初めて見るファイルでした。そのうち5個の名前は、私たちが以前に圧縮を解いて初めて知った名前とまったく同じでした。
同じカード一枚、一日に41か所 — 帳簿四冊は互いを知らない
9月20日、8月16日から毎日見えていた389バイトの公開鍵ひとつが、互いに異なる41か所から私たちのサーバーに登録されました。私たちが比べた日のうち最多だった17か所の2.4倍ですが、同じ日に一緒に跳ね上がった三つの数字とこれを一本の線でつないでくれる記録はありません。その隣では、三日前に「作り直されていない」と書いた実行ファイルが1,696バイト大きくなって同じアドレスに戻ってきました。
同じ棟、三軒目の家 — 今回の箱には管理室のステッカーが貼られていた
9月17日、8月に二度ファイルを配っていたアドレスと先頭3つの数字が同じ、三つ目のアドレスが現れました。そこから来たファイル7個はすべて27日分の記録になかったもので、5個はLinuxが自ら動かすプログラム名に似たラベルを付けていました。ところがこの7個を持ってきた侵入は、その日記録が残ったセッション5件のどこにもありませんでした。
7秒が二度 — 名札の前半はまた同じだった
9月15日の昼12時7分、テルネットで入ってきた侵入が7秒間に命令7個でファイル2個を持ち去りました。ファイルを取り出してきた住所と入ってきた住所は前の二桁が同じで、この形は9月7日・8日に続いて九日間で三度目です。そして6時間59分後、同じ所から同じことがもう一度ありました。
三日で再びあふれた郵便受け — 差出元も、名前も見覚えがあった
9月13日、リモートデスクトップのポートに届いた接触が1日42,578件となり、三日前の最高値34,811件を再び上回りました。最も多く送ってきたのはあの時と同じ別名で、三日前に16件まで減っていた名札「hello」は7,039件になりました。隣のサーバーが受け取ったファイル4種は、すべて以前に見たハッシュでした。
叩いた先は109か所のまま、ベルだけ24倍鳴った
9月10日、リモートデスクトップのポートを叩いた記録が1日で34,811件でした。8月26日から9月8日までの14日分をすべて足した21,483件の1.62倍ですが、叩いてきた先は109か所で普段の範囲内でした。訪ねてきた先が増えたのではなく、1か所が319回ずつ押した日の記録です。
実行ファイル9セット、コマンドは3行 — 33秒のものが2回
9月8日、23日分の記録になかったアドレス一つが、CPUの種類だけが違う実行ファイル9個を一度に送り込みました。それを受け取っていった侵入はコマンドをちょうど3行だけ打ち、33.25秒で終わりました。そして1分12秒後、33.26秒のものがもう一度入ってきました。
同じファイルを二組 — 内側のラベルは剥がしていなかった
9月7日、22日分の記録に一度もなかったアドレスが初めて現れました。そこから降りてきた実行ファイル二つは、サイズもほぼ同じで役割も同じなのに、数字を読む順序だけを逆にした二組でした。作った側はファイル内側のラベルを消さないまま送り出していました。
264カ所が一度ずつかすめた — 扉の前が薄くなった日
9月6日、画面共有の扉を叩いた場所が一日で100カ所から264カ所になりました。ところが叩いた回数は1.4倍増えただけで、一カ所あたりの回数はむしろ半分になりました。強く叩く少数の上に、薄くかすめる多数が重なった日の記録です。
ノートだと思っていたらホワイトボードだった — 50が35に減った日
9月5日、私たちのサーバーに入ってきたファイル6個のうち5個は、すでに20日目になる見慣れた名前でした。ところが記録を突き合わせているうちに、こちら側の数字が間違っていることを見つけました。「これまで50か所」と書いておいた欄が昨日は35か所で、それは攻撃が減ったからではありませんでした。
同じ足跡が233個 — 荷物を置いていったのは2か所だけだった
9月4日、私たちのサーバーを訪れた419か所のうち233か所が、まったく同じ接続プログラムの標識ひとつを付けてやって来ました。ところがその233か所はファイルを一つも置いていかず、この日実際に検体を届けた標識はIP 2か所だけのものが一つだけでした。最も多く刻まれた足跡と、荷物を置いていった足跡が互いに違った日の記録です。
服は毎回新しく買っていたのに、歩き方は六日目も同じだった
9月3日、五日前にブロックリストへ書き留めておいたファイル四つがそのまま再び入ってきました。ところが指紋を取ってみると三つはアーカイブ18日分に一度もなかった新しいファイルで、たった一つだけが六日目も1ビットたりとも変わっていない同じファイルでした。服を着替えても変わらないものが何なのか、その日のデータが四行で見せてくれました。
初めて見た物はたった一つ — 正門から来たのではなかった
9月2日、私たちのサーバーのドアノブは1日で44,140回回されました。ところが実際に中へ入ってきた「初めて見る物」は一つだけで、それは1日23回しか開かない通路から入ってきました。残りはすべて17日目・18日目の同じ再放送でした。
コマンドは18.5倍 — 意味が付いたのは33個に1つだった
9月1日、私たちのサーバーに入ってきたコマンドが一日で760個から14,085個になりました。ところがそのうち意図が分類されたものは422個(3.0%)だけで、実際に他人の鍵を掛けていった行為は13回でした。数字が大きくなったことと危険になったことは同じ言葉ではないので、この日は大きくなった数字の正体を分けて書きました。
昨日は107か所だったものが今日は8か所 — 四つの数字が揃って下がった
8月31日、昨日107か所・107か所・106か所・116回だった四つの数字が揃って8になりました。一緒に上がって一緒に下がったということは、それらが一つの塊だったという見方を強く示唆しますが、データが四つを結びつけてくれたことは依然としてありません。代わりに扉を叩いた発信元は324か所で16日間のうち4番目に多く、1か所あたりのセッションは2.40回で最低でした。
107か所がそれぞれちょうど一度ずつ — 誰も二度は触らなかった
8月30日、異なる発信元107か所が同じIDと同じパスワード一つを持ってやって来ました。ところが一か所が叩いた回数は平均1.05回でした。昨日は九か所だったものが一日で107か所になり、同じ389バイトの鍵ファイルも同じ107か所から出てきました。
新しいものは何一つなかった — 14日目、同じファイルが九か所から
8月29日、私たちのハニーポットには初めて見るものが一つもありませんでした。389バイトの同じファイルが14日目、この日は互いに異なる九か所から出てきて、配布元二か所もそのままでした。「何も起きなかった」と「毎日同じことが起きていた」は違う言葉なので、この日は変わらなかったということ自体を書きました。
箱が四つ届いたのに、送り状に差出人がなかった
8月28日、二日間何も捕まらなかったサーバーからファイルが四つ一度に出てきました。合計773,937バイト、送り元はすべて同じ一箇所でした。ところがこのファイルには『どこから来たのか』を書く欄がそもそも存在せず、ブロックリストに載せるアドレスも通報すべき配布元も残りませんでした。
訪れた場所は最多、やったことは6分の1 — 増えたのはただ一つ
8月27日、私たちのサーバーに入力されたコマンドは2,313個で、一日で6分の1になりました。ところが訪れてきた送信元は442か所で3日連続の最多を更新し、同じく最多を記録した行動はただ一つ「他人の公開鍵を仕込むこと」でした。389バイトの同じファイルが12日目、この日は互いに異なる26か所から出てきました。
一晩中鳴っていた側は手ぶら、12秒だけ留まった側が10個を置いていった
8月26日、私たちのサーバー2台が受けた接触は4万2千件と5千件でした。最もうるさかった側はファイルを1個も残さず、12.5秒留まったセッション1つが10個を置いていきました。音の大きさで危険を測ると順序がひっくり返るということを、この日のデータが二度示してくれました。
叩いた回数は平凡だったのに、入り込んだ後がすべて最高値だった
昨日、私たちのサーバーのドアを叩いた回数そのものは平凡でした。ところが、ドアが開いた後の行動три つが同じ日に揃って10日間の最高値を記録しました。他人の名前を入館名簿に載せたのが69回、立ち寄った記録を消したのが70回 — ちょうど1つ差でした。
ハッシュの賞味期限は一日だった — 傷まなかったのは先頭の一行だけ
昨日、私たちのハニーポットに一昨日とまったく同じアドレスから、まったく同じ名前のファイルが再び降ってきました。ところが実行ファイル三つは中身が丸ごと入れ替わっており、先頭のローダースクリプト一つだけが二日連続で同じでした。ブロックリストに書き込む値ごとに賞味期限が違うということを、昨日のデータが自ら測ってくれました。
名札を付け替えた — リストは二日で外れた
昨日、私たちのハニーポットに二日ぶりで実行ファイルが戻ってきました。二日前の配布元とアドレスの先頭が同じ隣の番地から、ファイル名の規則だけそっくり変わった状態で。あらかじめ書き留めておいた悪性ファイル名12個は一つも引っかからず、代わりに一日に三度繰り返された5秒間の行動が残りました。
四日前と同じ20秒が、3.8倍速く再びやって来た
昨日、私たちのハニーポットは観測史上もっとも混み合っていました。セッション3,553件、コマンド7,574個。ところがサーバーへ降りてきた悪性実行ファイルは一件もなく、あるセッションは四日前の記録と七つの値が同一でした。違ったのは所要時間ひとつだけです。
初めて見るアドレスからファイルが三つ — 表札に見覚えがあった
昨日、私たちのハニーポットに、五日間一度も現れなかった新しいアドレスが登場しました。ところがフォルダ名も、ファイル名の付け方も、以前のアドレスとまったく同じでした。初めて見るアドレスを初日に見分けられた理由と、それによって言えること・言えないことを分けて書きました。
結びつける指紋がないとき残るもの — セッションの形
昨日ハニーポットで完結したテルネットセッション4件が、コマンド数31個、ダウンロード1件、滞在時間68秒台まで同じでした。テルネットには接続プログラムの指紋が存在せず、普段使っている束ね方が通用しませんでした。指紋なしで何を手がかりに束ねたのか、その束ねがどこまでしか語らないのかを整理しました。
ファイルは一つも残っていないのに、鍵だけが三日目も増え続けている
63秒のセッション一つが、検体は一件も残さずSSH公開鍵だけを植えて出て行きました。同じハッシュの鍵が8/16・8/17・8/18と三日連続で出ており、植えた送信元は10か所 → 12か所 → 16か所へと増えています。ウイルス対策ソフトが捕まえるファイルが存在しない侵害を、どう気づけばいいのかを整理しました。
コマンド1行、3.6秒 — その中に5段階すべてが入っていた
3日連続でTelnetだった完結セッションが、4日目にSSHへ変わりました。侵入者は3.6秒滞在し、コマンドはたった1行でした。