一晩中鳴っていた側は手ぶら、12秒だけ留まった側が10個を置いていった

マンションの駐車場で、車の防犯アラームが一晩中鳴っていた経験があるはずです。ピーピーという音が明け方までずっと鳴って何度も目が覚めたのに、朝出てみると車は無事です。風で揺れたのか猫が乗ったのか、とにかく何事もありませんでした。

ところが同じ夜、隣の棟では音が一度も鳴りませんでした。そしてそこに停めてあった車が1台、ガラスの割れた跡もないのに中が空っぽになっています。

一晩中私たちが気にしていたのは音が鳴った側でした。実際に何かが起きた側は静かでした。

2026年8月26日の一日、私たちのハニーポットに残った記録がまさにこの形でした。その日いちばん大きな数字を作った側は何も残さず、12.5秒のセッション1つがファイル10個を置いていきました。

まず、聞き慣れない言葉を一つだけ説明しておきます。ハニーポットは、わざと脆く作ってインターネットに出しておくおとりサーバーです。本当の業務はしません。誰が入ってきて何をするのかを丸ごと記録するために開けてある機械です。以下の数字はすべてそこに記録されたものです。

この日からサーバーが2台です

事実 これまでこの日誌に出てきた数字は、すべて1台のサーバーから出たものでした。8月16日から25日までの10日分がすべてそうです。この日はじめて2台目のサーバーが同じブリーフに載りました。

事実 2台は性格がまったく違います。1台目(センサー01)は高対話型サーバーです。実際にログインができ、入ってきた人がコマンドを打つことができ、そのコマンドがすべて記録されます。2台目(センサー02)は低対話型サーバーです。ドアの前で挨拶を受けるだけで、決して開けません。

この違いが今日の記事の骨組みです。音は2台目で鳴り、事は1台目で起きました。

音が鳴った側 — 4万2千回

事実 2台目のサーバーがこの日受けた接触は42,493件です。一日をぴったり割ると約2秒に1回です。まばたきを一度するたびに、どこかからこの機械に話しかけていたことになります。

事実 そのうち**40,791件、全体の96.0%**が一つのポートに集中しました。5900番、画面共有(VNC)です。これは他人のコンピュータの画面をそのまま持ってきて、自分のマウスで操作できるようにする機能です。

事実 ところが、その40,791件を作った場所はわずか40か所でした。1か所あたり平均約1,020回です。1か所が一日じゅう1分半に1回ずつ同じドアに話しかけた計算になります。

事実 すぐ隣のポートは正反対でした。3389番のリモートデスクトップ(RDP)には1,221件を139か所が分け合って作りました。1か所あたり約8.8回です。同じサーバー上で1か所あたりの密度が約116倍の差がありました。

推定 性格の異なる2種類の活動として読みます。前者はいくつかのツールが一日じゅう張り付いている執拗な反復であり、後者は複数の場所が通りすがりに一度ずつ確認していく広いなぞりに近いものです。

ところが、そのドアの中では何も起こりえません

事実 ここで必ず押さえておくべきことがあります。2台目のサーバーは低対話型なので、**ログイン成功も、シェルコマンドも、認証情報もそもそも存在しません。**確保された検体も0件です。

事実 このサーバーで「コマンド」として記録されるものは、人が打ったコマンドではなくプロトコルフレームです。簡単に言えば、2台の機械が通話を始めるときにやり取りする決まった挨拶の言葉です。「ここでは何番の規格を使いますか?」と尋ねる最初の一言までしか記録されません。

事実 ですからこの42,493件について「攻撃者が侵入して何かをした」とは書けません。書けるのは規模とパターン、そしてプロトコルが定めた語彙だけです。

これが一晩中鳴っていた防犯アラームです。音は4万2千回鳴りましたが、その音が鳴ったドアは、中で何も起こりえないドアでした。

挨拶の言葉だけでも見えるもの

事実 それでも挨拶の言葉から読み取れるものがあります。画面共有の接触のうちバージョンが記録された40,769件で、**40,752件(99.96%)が 003.003 を提案しました。**残りの17件が 003.008 です。

事実 この規格を定めた国際文書(RFC 6143)はバージョンを3つ定義しています。3.3、3.7、3.8です。ほぼすべてがそのうち最も低いもので話しかけました。

推定 低いバージョンで話しかける理由は一つです。**そうすれば古いサーバーまで全部が聞き取れるからです。**特定の相手を狙ったのではなく、旧型まで一度になぞろうとする汎用ツールの側に近いという意味として読みます。

事実 ファイル共有(SMB)側も同じ方向です。240件のネゴシエーションで提案された方言は NT LM 0.12 55 · LANMAN1.0 45 · LM1.2X002 45 · PC NETWORK PROGRAM 1.0 25 · Windows for Workgroups 3.1 25 · LANMAN2.1 25 · LANMAN 20 です。すべてSMB1系であり、SMB 2.??? はわずか2件です。

事実 リモートデスクトップ側では、接続するときに付けて送る名札(クッキー)が残りました。hello 604 · <ip> 449 · Administr 2 · (空の値) 1 · aZRyuAPjX 1 · tWpPMjUMh 1。

推定 上位2つが hello と <ip> であるのは、人が打ったユーザー名とは見なしにくいものです。ツールが空欄にそのまま埋め込んだプレースホルダーとして読みます。<ip> は、本来IPアドレスが入るべき場所にその文字がそのまま残っている形です。

静かだった側 — 12.5秒で10個

事実 同じ日、1台目のサーバーではコマンド14,344個が実行されました。一日で割ると約6秒に1回ずつ、誰かが私たちの機械の中で何かを打っていたことになります。私たちが持っている10日分の記録で最も多い日です(直前の最高は7,574個、+89%)。

事実 そのうち、この日最も深く入り込んだ部類に入るセッションの一つが**11時29分30秒に始まり42秒に終わりました。12.5秒です。**その12.5秒の間にコマンドを3個打ち、**ファイル10件を受け取っていきました。**1.25秒に1個の割合です。

事実 そのセッションがしたことは3段階でした。ファイルのダウンロード → 実行権限の付与 → ダウンロード後の実行。ここで実行権限の付与とは何かを説明しておきます。Linuxでは、ファイルはただ受け取っただけでは実行されません。「これは実行してよいファイルだ」という印を別に付けてやる必要があります。その印を付ける行為が、この日サーバー全体で182回ありました。

推定 12.5秒は、人が画面を見て判断する速度ではありません。あらかじめ組まれた手順がそのまま回った時間として読みます。

一日を時間順に

時間順に並べるとこうなります。表は長いです。**2行目と3行目の数字を並べて比べてみてください。**47分離れた別々の送信元なのに、値が一つも違いません。

1. 2026-08-26T04:04:28Z ~ 04:05:14Z (46.2秒)
   事実 ATK-E17FA9(185.153.x.x, SSH)ログイン成功。コマンド18個、ダウンロード2件。intents が 偵察 — システム → 永続化 — SSH鍵の埋め込み → 永続化 — cron → 痕跡削除 と4段階つながった、この日唯一のセッションである。当日全体で「永続化 — cron」は1件であり、このセッションがその1件だ。hassh フィンガープリント f555226df1963d1d3c09daf865abdc9a (SSH-2.0-libssh_0.9.6)
2. 2026-08-26T04:44:36Z ~ 04:45:56Z (80.0秒)
   事実 ATK-CC4D29(217.60.x.x, テルネット)ログイン成功。コマンド17個、intents 5種 — ダウンロード後の実行・実行権限の付与・偵察(システム)・永続化(SSH鍵の埋め込み)・ファイルのダウンロード。download_count は 0
3. 2026-08-26T05:31:33Z ~ 05:32:39Z (66.9秒)
   事実 ATK-081597(138.2.x.x, テルネット)ログイン成功。コマンド17個、intents 5種が上記の ATK-CC4D29 と完全に同一で、completeness も 17 で同じ。47分間隔、別々の送信元
4. 2026-08-26T05:32Z (上記2件の対照)
   推定 コマンド数・意図の組み合わせ・完結性がすべて一致する2つのテルネットセッションは、同じ自動化ツールが作ったものとして読める。テルネットには SSH ハンドシェイクがないため hassh フィンガープリントが残らず(両セッションとも fingerprint・client が空文字列)、フィンガープリントで確認する方法はない
5. 2026-08-26T07:26:42Z ~ 07:26:55Z (12.6秒)
   事実 ATK-F5F4F4(61.46.x.x, テルネット)ログイン成功。コマンド22個、ダウンロード11件、completeness 42 で当日1位。intents は「防御の無力化」ただ一つであり、当日全体の「防御の無力化」1件がこのセッションである。この別名が受け取っていったファイルは sha256 01ba4719…546b — サイズ1バイト、file_kind は 'very short file (no magic)'
6. 2026-08-26T11:29:30Z ~ 11:29:42Z (12.5秒)
   事実 ATK-10149C(45.198.x.x, SSH)ログイン成功。コマンド3個、ダウンロード10件、completeness 41。intents 3段階 — ファイルのダウンロード・実行権限の付与・ダウンロード後の実行。hassh フィンガープリント 16443846184eafde36765c9bab2f4397 (SSH-2.0-Go)
7. 2026-08-26T11:29Z (上記セッションのペイロード対照)
   事実 この別名にひもづく検体は hxxp://5[.]182[.]210[.]174 の一か所から来た。そのうちファイル名が /ok である 1,608バイトの Bourne-Again シェルスクリプトが sha256 94d15544…5440 · f98ba385…7d73 · 2b40a245…5eeb の三つで互いに異なる。残りの四つは CPU 系列が異なる ELF 32ビット実行ファイルである — PowerPC MSB 50,092バイト / Intel 80386 LSB 45,860 / MIPS-I 68,632 / ARM EABI4 62,600、すべて statically linked stripped
8. 2026-08-26T11:29Z (解釈)
   推定 同じアドレス・同じサイズなのにハッシュだけが異なる三つのファイルは、配布元がリクエストごとに内容を少しずつ変えて送り出しているという意味として読める。だとすれば、ハッシュベースのブロックはこのファイルに対して一度も有効であったことがない。ただし JSON にファイルの内容がないため、何が違ったのかは確認できない
9. 2026-08-26 日次集計 (センサー 01)
   事実 コマンド意図の分類 — 偵察(システム) 2,391 / 実行権限の付与 182 / ダウンロード後の実行 46 / ファイルのダウンロード 46 / 痕跡削除 18 / 永続化(SSH鍵の埋め込み) 17 / 偵察(ネットワーク) 1 / 永続化(cron) 1 / 防御の無力化 1
10. 2026-08-26 日次集計 (センサー 01)
    事実 sha256 a8460f44…f8f2 — 389バイトの OpenSSH RSA 公開鍵ファイルが、異なる別名12か所から計14回観測された(ATK-2C9913·09A5AE·EA9CD5·AEFFBD·E856A7·0870EF·831C59·E17FA9·4795D8·82E025 ほか)。複数の送信元が同じ鍵ファイル一つを埋め込んでいる
11. 2026-08-26 日次集計 (センサー 02)
    事実 接触 42,493件 / 固有の送信元 253か所。サービス別に VNC 40,791(固有 40) · RDP 1,221(固有 139) · SMB 240(固有 43) · LDAP 94(固有 13) · MSSQL 61(固有 7)、そして ADB セッション 86。5サービスの合計 42,407 + ADB 86 = 42,493 で総計が合う
12. 2026-08-26 (センサー 02, プロトコル語彙)
    事実 VNC 接触のうちバージョンが記録された 40,769件で、003.003 が 40,752件(99.96%)、003.008 が 17件である。SMB ネゴシエーションで提案された方言は NT LM 0.12 55 · LANMAN1.0 45 · LM1.2X002 45 · PC NETWORK PROGRAM 1.0 25 · Windows for Workgroups 3.1 25 · LANMAN2.1 25 · LANMAN 20 ですべて SMB1 系であり、'SMB 2.???' はわずか2件である。RDP クッキーは hello 604 · <ip> 449 · Administr 2 · (empty) 1 · aZRyuAPjX 1 · tWpPMjUMh 1
13. 2026-08-26 (センサー 02, 解釈)
    推定 003.003 は RFC 6143 が定義した三つのバージョン(3.3 / 3.7 / 3.8)のうち最も低いものである。ほぼすべてが最も低いバージョンを提案したということは、相手が旧型サーバーまで一度になぞろうとする汎用スキャナーの側に近いという意味として読める。SMB 側も同じ方向だ — 240件のうち SMB2 を提案したネゴシエーションが2件だけなら、話しかける語彙そのものが旧型に合わせられている

事実 表で目に留まるのは2か所です。一つは04:44と05:31です。別々の送信元なのに、コマンド数・意図の組み合わせ・完結性のスコアが一つも違いません。もう一つは07:26です。この日の完結性1位のセッションなのに、受け取っていったファイルが1バイトの空ファイルでした。文字1つ分の大きさです。

推定 04:44と05:31の組は、同じ自動化ツールが二度回った形として読みます。ここまでが言えることのすべてです。テルネットには接続プログラムのフィンガープリントがまったく残らないため、ツールが同じであることすらフィンガープリントでは確認できません。

同じアドレス、同じサイズ、異なるハッシュ3つ

事実 12.5秒のセッションが受け取っていったファイルが興味深いです。すべて hxxp://5[.]182[.]210[.]174 の一か所から来ました。そのうちファイル名が /ok のもの一つが、フィンガープリント3つに分かれています。

ここで**フィンガープリント(sha256)**を説明しておきます。ファイル全体を計算して取り出した64桁の値です。ファイルの中の文字が一つ変わるだけで値が丸ごと変わります。だから、2つのファイルが同じか違うかをこの値で判定します。

事実 3つのファイルは**アドレスが同じで、サイズも正確に1,608バイトで同じで、ファイルの種類も同じです。**A4半ページほどの分量のシェルスクリプトです。ところがフィンガープリントだけが 94d15544… · f98ba385… · 2b40a245… の3つに分かれます。

推定 配布する側がリクエストが来るたびに内容を少しずつ変えて送り出しているという意味として読みます。だとすれば、フィンガープリントを書き留めてブロックリストに入れるやり方は、このファイルについては**一度も有効であったことがありません。**昨日書いた値が今日合わないのではなく、書き留めるその瞬間にすでに次のものが違う値なのです。

事実 ただし、私たちのデータにファイルの内容は入っていません。何が違ったのかは確認できません。

CPUを選びません

事実 同じアドレスから降りてきた残りの4つは性格が違います。すべてELF 32ビット実行ファイルです。ELFはLinuxでそのまま実行されるプログラムのファイル形式です。

事実 4つはそれぞれ異なるCPU系列用です。**PowerPC 50,092バイト · Intel 80386 45,860 · MIPS-I 68,632 · ARM EABI4 62,600。**すべて statically linked stripped です。簡単に言えば、外から借りて使う部品なしに単独で動くように作っておき、人が読めるような名札はすべて消した状態だという意味です。

事実 4つを全部合わせても約222KBです。スマートフォンの写真1枚より小さいです。

推定 CPUの種類ごとにあらかじめビルドを用意しておいたということは、相手を選ばないという意味です。サーバーであれルーターであれネットワークカメラであれセットトップボックスであれ、ログインさえ突破できれば、その機械に合うものを一つ選んで入れればよいのです。

書き留めておく値

値を押すとコピーされます — 読むためではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して書いてあります(hxxp://, [.])。そのままコピーして貼り付けても接続されません。

推定 同じ表の中でも値の寿命が違います。185[.]93[.]89[.]72 のファイルは、フィンガープリント一つで8か所が引っかかります。書き留めておけば複数の送信元を一度に捕まえられます。逆に 5[.]182[.]210[.]174/ok は**一か所でフィンガープリントが三つに分かれました。**同じリストに並んで書かれる値なのに、一方は網で、もう一方はすでに破れた網です。

ここがこの日のひっくり返った地点です

事実 SSHで入ってくる接続は、プログラムごとに少しずつ異なる挨拶の言葉を使います。その挨拶の言葉を要約した値を**クライアントフィンガープリント(hassh)**と言います。どのプログラムで接続したのかを指し示す値です。

事実 私たちが累積で持っているフィンガープリントの束は45個です。8/17 33個 → 8/18 36個 → 8/19・8/20 37個 → 8/25 42個 → この日45個と、一日で3個増えました。

事実 この日いちばん大きな束は acaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)です。一日だけでIP 169か所を束ねました。この日1台目のサーバーに来た送信元が373か所なので、半数近い場所が同じプログラムを使っていたことになります。累積では356か所で、8/25の125か所からさらに増えました。

事実 そしてここが今日の核心です。**この日捕まったフィンガープリント12種が、例外なくファイルを1個も置いていきませんでした。**最も多くのIPを一つに束ねるそのツールが、検体は0件です。

事実 逆に、実際に検体10件を落としていった12.5秒セッションのフィンガープリント 16443846…4397(SSH-2.0-Go)は、この日のフィンガープリント一覧の上位12個に入っていません。

推定 最もうるさいツールと、実際に何かを残していくツールが互いに異なります。**騒音の大きさで危険度を測ると、順序が丸ごとひっくり返ります。**一晩中鳴っていた防犯アラームは手ぶらで、音が鳴らなかった側から10個が出てきました。

事実・警告 ただし線を一つ引いておく必要があります。**hassh はビルドのフィンガープリントであって、人のフィンガープリントではありません。同じディストリビューションに入っている既定の OpenSSH を使う、互いに何の関係もない人でも同じ値を持ちます。実際、この日の12.5秒セッションのフィンガープリントは、8月19日のブリーフが別の別名(ATK-CA5936)のフィンガープリントとして書き留めていた値と同じです。**それでも同じ人だとは言えません。同じライブラリを使ったツールだという意味にすぎません。

展開しなければ見えないアドレスが別にあります

事実 検体の中にはUPXで圧縮されたものがあります。UPXは実行ファイルを小さく縮めるツールですが、圧縮された状態ではファイルの表面をいくら探ってもアドレスが一つも出てきません。

事実 私たちが圧縮を展開してはじめて得た指標が12件です。すべて 31[.]77[.]227[.]121/bins/ の下にあるCPU種類別のファイル名です — parm·parm5·parm6·parm64·parm7·pm68k·pmips·pmpsl·pppc·psh4·pspc·x86_64。

事実 ところが、この日の実際のダウンロード記録に残った配布元は 5[.]182[.]210[.]174 と 185[.]93[.]89[.]72 です。圧縮を展開して出てきたそのホストとは異なります。

推定 表面だけを見る収集では、この日のトラフィックからあの12件を得る方法はありませんでした。目に見える配布元のほかに、もう一つあるという意味です。

どんなパスワードが試されたか

事実 この日のログイン試行は5,273回です。一日をぴったり割ると約16秒に1回の割合で、誰かがIDとパスワードを入れてみたことになります。送信元373か所で割ると、1か所あたり平均14回です。

事実 以下はそのうち異なるIP 3か所以上で観測された組み合わせだけを抜き出した20種です。1か所からしか出なかった組み合わせは、実際に流出した本物のアカウントである可能性があるため、値を載せません。

事実 この20種のほかに、公開していない組み合わせが204種あります。公開したものより**10倍多いです。**個数だけを記し、値は書きません。

推定 表で一つ目に留まるものがあります。345gs5662d34 は辞書にある単語ではありません。IDとパスワードがまったく同じです。ところがこれが異なるIP 10か所からちょうど10回出ました。**1か所につきちょうど1回ずつです。**突破しようと粘る形ではなく、この文字列が通じるかどうかを一度だけ突いて通り過ぎる形として読みます。

事実 そして P@ssw0rd·Passw0rd·p@ssw0rd·passw0rd が表に並んでいます。大文字と特殊文字を混ぜた組み合わせですが、すでにリストに入っています。

国際的な分類表に対応させると

攻撃者が使った手口には、世界中が共通で使う番号が付いています。MITRE ATT&CK というリストです。以下でIDを押すと原文の説明に飛びます — 私たちの言葉を信じず、直接確認してみてくださいという意図で付けてあります。

• T1110.001Brute Force: Password Guessing — login_attempts 5,273 / 固有IP 373推定
• T1078.001Valid Accounts: Default Accounts — admin/admin(23 IP)、root/root(10 IP) など引用可能な組み合わせ20種推定
• T1082System Information Discovery — 「偵察 — システム」2,391件推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」46件、downloads 配列 11種推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限の付与」182件推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の埋め込み」17件推定
• T1053.003Scheduled Task/Job: Cron — 「永続化 — cron」1件推定
• T1070Indicator Removal — 「痕跡削除」18件推定
• T1562Impair Defenses — 「防御の無力化」1件推定
• T1046Network Service Discovery — センサー 02 で5つのサービスポートに253か所が接触。サービスへの接触という事実だけでマッピングしたものであり、スキャンツールを特定したものではない推定
• T1021.005 / T1021.001Remote Services: VNC / RDP — サービスの種類だけでマッピングした。低対話型センサーのため、リモートサービスが実際に使用された事実は観測されていない推定

事実 表で数字が最も小さい2行を見てください。cron 1件、防御の無力化 1件です。5,488セッションがあった日に、それぞれちょうど1回ずつです。ところが、そのそれぞれ1回がどのセッションから出たのかを私たちは知っています — cron は04:04のセッション、防御の無力化は07:26のセッションです。

推定 11行すべてが「推定」バッジです。私たちが見たのはコマンドの意図の分類と個数であって、攻撃者が自ら明かした目的ではないからです。特に一番下の2行は接触という事実だけで付けたものなので、より慎重に読む必要があります。

昨日一日の全体

事実 センサー01(高対話型)基準です。センサー02の数値はセッションの単位が異なるため足していません。

事実 **「最高値」は 8/16〜8/25 の10日間の範囲内での最高値という意味です。**それ以前の記録とは対照していません。

事実 2台目のサーバー(センサー02)はこうです。繰り返しになりますが、こちらは低対話型なのでログイン成功・コマンド・認証情報がそもそも存在しません。

事実 2つのセンサーを合わせた固有の送信元は最大626か所です。両方のサーバーに触れた場所が何か所あるのか分からないため、重複が一つもないと仮定した上限です。

事実 表の中に計算が合わないマスが一つあります。VNC接触の上位8か所の合計(7,623 / 7,599 / 5,181 / 5,178 / 5,118 / 3,354 / 3,353 / 3,334 = 40,740)が、VNCの総量 40,791 に 51 の差で近づきます。ただしこの上位リストにはサービスの区別がないため、この8か所がその40か所であると断定できません。

事実 そしてマスキングされた 159.203.x.x が異なる2つの別名(ATK-B954FC 5,178件、ATK-D9A63B 3,334件)として登場します。前の2桁が同じだけで別々の送信元であり、別名も身元ではありません。同じ組織として読んではいけません。

では何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の6項目を、この日のデータが強く裏付けている順に並べます。

1. 既定アカウントと弱いパスワードからなくす(可能性: 高) — admin/admin が23か所から178回、root/root が10か所から76回、root/admin が9か所から149回試行されました。この日、完結性上位5つのセッションが例外なくログインに成功しました。一つでも生きていれば、その日のうちに開きます。突破された後はこの日観測された通りです — 偵察(2,391) → ダウンロード(46) → 実行権限(182) → 実行(46)。短い場合は12.5秒でここまで行きました。

2. パスワードログインを切って鍵ログインだけを残す(可能性: 高) — ログイン成功の後、他人の公開鍵を埋め込む行為が17件観測されました。ここでSSH鍵の埋め込みを説明しておきます。Linuxサーバーには authorized_keys(許可された鍵のリスト)というファイルがあります。ここに公開鍵が1行書かれていれば、その対を持つ人はパスワードを訊かれずに入ってきます。だから後でパスワードを変えても、その行はそのまま生き続けます。「パスワード変更完了」がインシデント終結の根拠になりません。

3. 管理ポートをインターネットにそのまま開けておかない(可能性: 高) — この日一日で373か所が2つのポートを叩き、隣のサーバーでは253か所が5つのサービスに接触しました。**標的だから来るのではなく、開いているから来ます。**告知なしに常時、候補群に入ります。

4. 同じ場所が叩き続けるなら自動でブロックする(可能性: 高) — 画面共有の接触40,791件が40か所から出ました。裏返せば良い知らせでもあります。**40か所をブロックするだけで、その日の接触の96%が消えます。**ブロックすべき対象は思ったより少ないのです。

5. サーバーから外へ出る接続を制限する(可能性: 高) — ファイルのダウンロード46件とダウンロード後の実行46件がここで断ち切られます。CPU種類別のビルドが用意されているということは、相手を選ばないという意味です。ログインが突破された後に残る最後の関門がこれです。

6. ログをサーバーの外に別途残す(可能性: 中) — 痕跡を消そうとする意図が18件、防御を無力化しようとする意図が1件観測されました。04:04のセッションは 偵察 → 鍵の埋め込み → cron → 痕跡削除 と46秒で最後まで行きました。ログがサーバーの中だけにあったなら、そのうち一部は成功していたでしょう。18件は5,488セッションに比べれば少数なので「中」としました。

以前にもあったこと

推定 **Mirai ボットネット(2016年)。**この日、引用可能な認証情報の上位が admin/admin·root/root·support/support·user/user·guest/guest·pi/pi のような既定値であり(それぞれ5か所以上)、同じ日に PowerPC・MIPS・ARM・i386 用の ELF が一つの配布元から一緒に降りてきました。**既定アカウントで入り、機器のCPUに合う実行ファイルを選んで入れる構造が同じです。**この日の観測を特定のマルウェア系統だと断定するものではなく、パターンが公開されている先例に似ているという意味です。(根拠: 米国 US-CERT 勧告 TA16-288A および公開されたソースコード・複数ベンダーの分析報告書)

推定 WannaCry(2017年)。この日、2台目のサーバーのファイル共有ネゴシエーション240件で提案された方言が NT LM 0.12·LANMAN1.0·PC NETWORK PROGRAM 1.0 などすべてSMB1系であり、SMB 2.??? は2件だけでした。9年が経ってもインターネットで話しかけてくる語彙が依然としてSMB1に合わせられている、という事実だけを指しています。この日の観測で MS17-010 の脆弱性攻撃が確認されたわけではありません — ネゴシエーション段階までしか観測されていません。(根拠: ベンダーのセキュリティ情報 MS17-010、CVE-2017-0144、CISA KEV 登載項目)

推定 **RealVNC 認証バイパス(2006年)。**この日の画面共有の接触の99.96%が RFC 6143 の最下位バージョンを提案しました。バージョンと認証方式をネゴシエートするその段階そのものが、過去の公開脆弱性の舞台だったという背景の文脈としてのみ使います。この日の観測は接触とバージョン提案までであり、認証バイパスの試みが確認されたわけではありません。(根拠: CVE-2006-2369 およびベンダーアドバイザリ)

私たちが分からないこと

この記事で最も重要な部分です。上に書いたことよりも書けなかったことの方が多いのです。

• **2台目のサーバーの ADB の詳細が丸ごとありません。セッション86件があったということだけが総計の計算から確認されます(5サービスの合計 42,407 + 86 = 42,493)。固有IP数も、何が投入されたのかもデータにありません。「この日 ADB 攻撃はなかった」と読んではいけません。**よりによって2台目のサーバーで唯一、投入内容が残りうるチャネルが ADB なので、この空白は次の収集で確認が必要です。
• 2台目のサーバーの検体リストが空の配列で、確保検体は0です。実際に何のファイルも投入されなかったのか、収集器が捕まえられなかったのか、区別できません。
• 一つの送信元が複数のサービスをなぞったかどうかは算出できません。上位の送信元リストにサービスの区別がなく、サービス別のIPリストもありません。サービス別の固有IPの合計(40+139+43+13+7=242)が全体の253より小さいという不等式から、**「少なくとも11か所はその5つのサービスの外」ということだけが出ます。だからこの値は0ではなく「値なし」**としました。
• 上位8か所の合計 40,740 が VNC の総量 40,791 に近いものの、サービス別に分けられた値ではないため同じだと断定できません。
• VNC のバージョン提案の合計 40,769 と VNC セッション 40,791 が**22件ずれています。**バージョンが記録されなかった接触があるという意味に見えますが、理由はデータにありません。
• RDP クッキーの Administr は9文字で切れた文字列です。元の値が何だったのか、なぜ切れたのかは確認できません。
• 1台目のサーバーでコマンド意図の値の合計は 2,703 なのに、全体のコマンド数は 14,344 です。2つの値の単位が同じか分からないため、「コマンドの何%が偵察だった」といった比率の計算はしていません。
• 12.5秒セッションのダウンロード数はセッション記録では10ですが、検体リストでこの別名にひもづく項目の合計は12(ハッシュ7個)です。セッション単位の集計と日次単位の集計が混ざっている可能性があります。
• そのセッションのフィンガープリントが**この日のフィンガープリント一覧12種にありません。**このフィンガープリントで束ねられたIP数がリストの下限(2か所)より少なかった可能性が高いですが、そのリストが上位いくつだけを載せたものなのかはデータに明記されていません。
• /ok ファイル3つがすべて1,608バイトなのにハッシュが異なる理由は確認できません。ファイルの内容がブリーフにないからです。配布元によるリクエストごとの改変なのか、他の原因なのかは未確認です。
• 参考指標に Discord Webhook のアドレスが一つありますが、**どの検体・どのセッションから出たのかをデータが結び付けてくれません。**この日観測された特定のセッションの通信チャネルだと言う根拠がありません。
• この日観測した配布元はC-TAS へ通報します。ただし確認されたのは転送レイヤーの成功までであり、KISA への登載可否はこの時点で未確認です。
• 背景として持っている脆弱性統計(追跡CVE 6,579件、CISA KEV 登載387件、ランサムウェア連携98件)は、**この日の2台のサーバーの観測と結び付くものが何もありません。**この日どこでも、特定の脆弱性を参照した攻撃は確認されていません。
• 比較対象は8/16〜8/25 の10日分だけです。それ以前とは対照していないので、「最高値」はこの範囲の中でのみ有効です。そしてその10日はすべて1台目のサーバー単独なので、2台目のサーバーには比較できる過去値がまったくありません — この日の42,493件が普段より多いのか少ないのかを判断する基準線がありません。
• ATK-XXXXXX はブリーフの間で同じ送信元を指すための識別子です。身元ではなく、マスキングされたIPを復元するのに使うこともできません。

そして以下は、そもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連するデータベースがありません。配布元 5[.]182[.]210[.]174·185[.]93[.]89[.]72·31[.]77[.]227[.]121 がどの事業者にあるのかは言えません。この記事はどの送信元の通信事業者もホスティング事業者も言及しません。
• 地理情報 — 同じくありません。そしてIPの地理情報はそもそも帰属の根拠になりません。いかなる国・企業・個人もこの日の攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。626か所のうちどれが経由地でどれが原点なのかを区別できません。
• VirusTotal — 連携していません。この日のハッシュ11種に対する複数エンジンの判定結果はこの記事にありません。検体の分類は MalwareBazaar のタグを使います。
• User-Agent — 2つの観測面ともHTTPではありません。1台目はSSH・テルネット、2台目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• CVEとの結び付け — SSH・テルネット攻撃はほとんど脆弱性を参照しません。2台目のサーバーもネゴシエーション段階なので同様です。この日の観測を特定のCVEと結び付けた記述は、この記事に一つもありません。

推定 まとめると、この日はこうです。最も大きな数字を作ったドアは中で何も起こりえないドアでした。最も多くのIPを一つに束ねたツールは**ファイルを1個も置いていきませんでした。**実際に10個を置いていった側は12.5秒の間に静かに立ち寄っていき、そのツールのフィンガープリントはこの日のリストの上位に名前すら載せられませんでした。

防犯アラームが大きく鳴った夜に車が無事なのは幸いです。問題は音が鳴らなかった側を誰も見なかったということです。ダッシュボードで最も大きな棒が最も急ぎの用件だという保証はありません。この日のデータはその逆でした。

観測日は2026年8月26日(UTC)の一日です。送信元IPはブリーフのマスキング形式(45.198.x.x)をそのまま移し、復元していません。配布アドレスは接続されないように変形して記しています(hxxp://, [.])。認証情報は異なるIP 3か所以上で観測された組み合わせ20種のみを引用し、公開していない組み合わせ204種は個数だけを明かして値を載せていません。ASN・国籍・行為者の帰属は確認手段がないため推定しません。