コマンド1行、3.6秒 — その中に5段階すべてが入っていた

3日連続でTelnetだった完結セッションが、4日目にSSHへ変わりました。侵入者は3.6秒滞在し、コマンドはたった1行でした。

昨日、ある侵入者が私たちのサーバーに 3.6秒 滞在しました。

コマンドはたった1行でした。ところが、その1行の中に見て回ること、ファイルを取得すること、実行権限を与えること、実行すること、鍵を仕込むことがすべて入っていました。泥棒がドアを開けて入ってきて家を見て回り、道具を取り出し、裏口の鍵をコピーして出ていくまで3.6秒かかった、ということです。

ところが今回はTelnetではありませんでした

事実昨日の完結性上位5セッションのうち 3件がSSH でした。

これがなぜ特別なのかというと、8月16日・17日・18日と3日連続で「完結セッションはすべて Telnet」だったからです。4日目にその構図が崩れました。

Telnetは古いプロトコルです。今も開いたままの機器は、たいてい古いルーターやIPカメラのようなものでしょう。ところがSSHに移ってきたということは、攻撃者が見ている標的が変わった可能性があるという意味です。

事実 ATK-CA5936(130.12.x.x)がSSHログインに成功しました。セッションは3.61秒、実行されたコマンドは1個。ところが観測された意図は 5種でした。

最後の項目が重要です。SSH鍵を仕込んでおけば、パスワードを変えてもまた入ってくることができます。錠前を変えても無駄になる鍵を1本作っておいて出ていくわけです。

昨日観測された完結セッションを時系列に並べると、こうなります。

最後の行が目に留まります。同じ別名が13時間27分後に戻ってきて、 秒単位までほぼ同じ挙動 を繰り返しました。人間ではなくスクリプトだという意味です。

事実昨日1日のログイン試行は 975回 でした。異なるIP3か所以上で観測された組み合わせだけに絞っても、こういうものが出てきます。

ID	パスワード	観測されたIP数
admin	admin	19か所

この組み合わせ1つを19か所から試しました。特別な脆弱性を突いたのではありません。 ただドアをノックしてみただけです。 そして開きました。

今お使いのルーター、IPカメラ、NASの管理者パスワードが初期値のままなら — 昨日私たちのサーバーで起きたことがそちらでも起きている可能性が高いです。

事実セッション3件が 399バイトのOpenSSH秘密鍵 ファイルを残しました。 3回観測されました。

興味深いのは、これまでの3日間で観測された389バイトの「公開鍵」とは ハッシュも異なり、種類も異なる という点です。同じツールを使う別のキャンペーンか、同じキャンペーンがツールを変えたかのどちらかです。推定どちらなのかは、今持っているデータでは区別できません。

sha256

43728fbfb98bb39ff61a2db0fc2905bd6937997062b05b9ab8b186fdee18c09a399バイトのOpenSSH秘密鍵 · 3回観測 · 本日のテーマとなるセッション3件が残した

url

(URL未記録)今回の件は出所が記録されていません

観測された挙動をMITRE ATT&CK技法に置き換えると、こうなります。 すべて[推定]です — 私たちが見たのは挙動であって、攻撃者の意図ではありません。

推定 2016年から続く Miraiボットネット系列 と構造が同じです。

デフォルト認証情報で入り込んだ後、ウェブサーバーの特定のパスからCPUアーキテクチャ別のバイナリをダウンロードし、合うものだけを実行させる方式です。昨日観測されたファイル名の規則も、その系列の慣習に従っていました。

Miraiは米国司法省の起訴記録が残っている事件であり、複数のベンダーによる公開分析レポートがあります。10年が過ぎたのに同じ手口が依然として通用するというのが、この話の核心です。

コマンド1,333個は すべてログインに成功した後に 実行されたものです。

同じ観測分を短い動画にもしました。

このブログは、知っていることと知らないことを区別して書きます。昨日の観測分で確認できなかったことです。

コマンド1行に本当に5個の動作が入っていたのか。 意図は5種に分類されましたが、コマンドの原文とTTYリプレイがブリーフになく、直接確認できませんでした。複数の動作がつなぎ合わされたものと見られますが、断言はしません。
攻撃者のASN・ISP・国籍。 GeoIP・ASNデータベースを持っていません。 推定しません。
ダウンロードされたファイルの出所URL。 今回の件は記録されていません。
この3件が同じ組織なのか。 フィンガープリントが同じだということと、同じ人物だということは別の話です。

この記事は2026-08-19のハニーポット観測分をもとに作成されました。 IPはマスキングし、引用した認証情報は異なるIP3か所以上で観測されたものだけを含めています。