昨日は107か所だったものが今日は8か所 — 四つの数字が揃って下がった

バス停に立っているとしましょう。

さっきまで誰もいなかった停留所に、突然100人以上の人が立っています。ところが案内板を見ても、どのバスが来て行ったのかは出てきません。あなたが見られるのは、今目の前に立っている人たちだけです。

そこでこう数えてみます。傘を持った人107人。リュックを背負った人107人。同じ会社の靴を履いた人106人。そして紙の地図を広げた人116人。

同じバスから降りたようですよね。 ところがあなたはそのバスを見ていません。数字が似ているということだけを見たにすぎません。

ここで一日が過ぎます。翌日、同じ停留所にまた行ってみると、傘8人、リュック8人、同じ靴8人、地図8人です。一緒に上がったものが、一緒に下がりました。

これで「一台のバスだった」という推測はずっともっともらしくなります。それでも依然として、あなたはバスを見たことがありません。

2026年8月31日の一日、私たちのサーバーに残った記録がまさにその形です。

まず耳慣れない言葉を一つだけ解いておきます。ハニーポットは、わざと脆く作ってインターネットに出した囮のサーバーです。本当の業務はしません。誰が入ってきて何をするかを丸ごと記録するために開けておいた機械です。以下の数字はすべてそこに刻まれたものです。

四つの数字が揃って下がりました

事実 昨日（8月30日）の記事で私たちは、数字三つが重なったことを主題にしました。この日はその数字たちがどうなったかを記します。

事実 四つの値が揃って 8 です。107から8なら 13分の1、116から8なら 14分の1 です。

推定 昨日、私たちはこれらの値を「一つの散らばった群れ」と読みながら、それは私たちが並べて見たのであってデータが結びつけてくれたわけではない という但し書きを付けました。この日、四つが一緒に下がったことは、その読み方を 強化します。 大きさがたまたま似ていた別々の四つの群れだったなら、翌日に四つが揃って8に落ちる理由がないからです。

事実 それでも線はそのまま引きます。元データの中には、依然としてこの四つを互いに結びつける欄がありません。 強化された推定であって、確定した事実ではありません。停留所の話に戻れば、私たちはバスを見たのではなく、二度の人数を数えたのです。

推定 そして一緒に下がったということは、別の意味も同時に持ちます。その波は一日限りのものでした。 なくなったというより、今日は別の停留所に立っていると見るほうが自然です。昨日が「規模と散らばりが監視を無力化する」という話だったなら、この日は 「その規模が一日しか留まらなかった」 という話です。

事実 根拠をもう一つ添えます。この日、公開鍵を残していった8か所の別名（ATK-F52F12 · ATK-ECACA6 · ATK-81D609 · ATK-E5EB34 · ATK-4F20AC · ATK-7B8ADA · ATK-21F6A0 · ATK-3E7375）は、昨日の記事に記した10か所と一つも重なりません。 同じファイルが毎日、別の発信元から植え付けられます。

ところが訪れた場所の数はむしろ多かった

事実 この日、私たちのハニーポット01に残ったセッションは 779件 です。私たちが確認できる8月16日〜31日の16日間のうち 2番目に少ないです（最少は8月29日の634件）。コマンド 760個 も2番目に少なく（最少は8月24日の612個）、ログイン試行 440回 は3番目に少ないです。

事実 ところが異なる発信元は 324か所 で、同じ16日間のうち 4番目に多いです（8月27日442か所、8月26日373か所、8月25日361か所に次ぐ）。

推定 二つを割るとこうなります。発信元1か所あたりのセッション 2.40回。この値は16日間のうち 最も低いです。 次に低い8月29日が3.46回で、最も高かった8月22日は17.33回でした。ログイン試行で割っても1か所あたり 1.36回 で最低です。

推定 停留所に立った人は多いのに、一人が留まった時間はこの日が最も短かったのです。訪れた場所は増え、それぞれがやったことは減りました。

一日を時間順に

時間順に並べるとこうなります。行が多いですが、全部読まなくても構いません。下のほうの、実際の時刻が刻まれた5行だけ見ていただければ十分です — かかった時間とコマンド数がどれほど互いに似ているかが、この日の核心です。

1. 2026-08-31 (一日集計)
   事実 ハニーポット01(Cowrie、高対話型): セッション779件 · 固有発信元324か所 · ログイン試行440回 · コマンド760個 · TTY録画195件。ポート2222(SSH) 556 / 2223(テルネット) 223
2. 2026-08-31 (一日集計)
   事実 16日間(8/16〜8/31)における位置: セッション779件は2番目に少なく(8/29の634件が最少)、コマンド760個も2番目に少なく(8/24の612個が最少)、ログイン試行440回は3番目に少ない(8/29 251回、8/24 410回)。逆に固有発信元324か所は4番目に多い(8/27 442か所、8/26 373か所、8/25 361か所に次ぐ)
3. 2026-08-31 (一日集計)
   推定 発信元1か所あたりのセッションは779÷324=2.40回で16日間の最低である(次が8/29の3.46回、最大は8/22の17.33回)。1か所あたりのログイン試行440÷324=1.36回も最低だが、8/29の1.37回と事実上同じである
4. 2026-08-31 (一日集計)
   事実 昨日のブリーフの四つの値がこの日はすべて8である — 認証情報 345gs5662d34/345gs5662d34 の異なる発信元8か所・8回(昨日107か所・112回)、389バイトのOpenSSH RSA公開鍵 a8460f44… の出所8か所・8回(昨日107か所・112回)、SSH接続プログラム指紋 f555226df1963d1d3c09daf865abdc9a(SSH-2.0-libssh_0.9.6) はこの日8か所(昨日106か所)、コマンド意図「永続化 — SSH鍵の植え付け」8回(昨日116回)
5. 2026-08-31 (一日集計)
   推定 四つの値は上がるとき(昨日)も下がるとき(この日)も一緒に動いた。昨日付けた「数値の一致であってデータが結びつけた事実ではない」という但し書きはそのまま維持する — 強化された推定であって確定した事実ではない
6. 2026-08-31 (一日集計)
   事実 公開鍵 a8460f44… は8/16から16日間連続で同じハッシュである。一日あたりの出所数の推移: 8/18 16か所 → 8/19 12か所 → 8/23 6か所 → 8/25 21か所 → 8/27 26か所 → 8/29 9か所 → 8/30 107か所 → この日8か所
7. 2026-08-31 (一日集計)
   事実 この日この公開鍵を残した8つの別名(ATK-F52F12 · ATK-ECACA6 · ATK-81D609 · ATK-E5EB34 · ATK-4F20AC · ATK-7B8ADA · ATK-21F6A0 · ATK-3E7375)は、昨日露出した10の別名と一つも重ならない。同じファイルが毎日別の発信元から植え付けられる
8. 2026-08-31 (一日集計)
   事実 コマンド意図の分類: 実行権限の付与 195 / 偵察(システム) 119 / ダウンロード後実行 30 / ファイルダウンロード 30 / 痕跡削除 9 / 永続化(SSH鍵の植え付け) 8 / 偵察(ネットワーク) 1。分類の合計392件は全コマンド760個の51.6%である
9. 2026-08-31 (一日集計)
   推定 「実行権限の付与」(195回)が「偵察(システム)」(119回)を上回った。16日間のうちこの逆転は8/29(161回対75回)に次いで2度目である — 残りの14日はすべて偵察が1位であり、8/27には偵察が全コマンドの78.3%だった。偵察を飛ばして直ちにファイルへ実行権限を与える形が増えたと読めるが、コマンド原文がないため断定しない
10. 2026-08-31 (一日集計)
    事実 「ファイルダウンロード」30回と「ダウンロード後実行」30回が正確に同じである。昨日も42回・42回で同じだった — ダウンロードされたものは事実上例外なく実行段階へつながる
11. 2026-08-31 (一日集計)
    事実 「痕跡削除」は9回で、昨日の114回から大きく減った。確認範囲の最高値は8/25の70回と8/30の114回である
12. 2026-08-31 (一日集計)
    事実 この日の認証情報1位はadmin/admin(異なる発信元15か所・35回)である。昨日1位だった345gs5662d34/345gs5662d34は8か所へ下がり、ありふれた初期値辞書が再び最上位に上がってきた。引用基準(異なるIP 3か所以上)を超えた組み合わせは17種である
13. 2026-08-31 (一日集計)
    事実 引用基準を超えられず値を載せなかった認証情報の組み合わせが269種ある。確認範囲では少ないほうである(最大8/18 1,388種、最少8/29 142種)
14. 00:33:41.0Z ~ 00:34:47.9Z (66.9秒)
    事実 ATK-90AD90(125.229.x.x、テルネット) ログイン成功。コマンド31個、意図3種(ダウンロード後実行 · 実行権限の付与 · ファイルダウンロード)、ダウンロード1件、TTY録画あり、完結性16
15. 02:41:06.5Z ~ 02:42:14.1Z (67.6秒)
    事実 ATK-5BDF54(114.35.x.x、テルネット) ログイン成功。コマンド31個、意図3種、ダウンロード1件、TTY録画あり、完結性16
16. 05:55:37.0Z ~ 05:56:44.0Z (67.0秒)
    事実 ATK-827EAF(114.38.x.x、テルネット) ログイン成功。コマンド31個、意図3種、ダウンロード1件、TTY録画あり、完結性16
17. 06:31:36.9Z ~ 06:32:50.4Z (73.6秒)
    事実 ATK-14EBCD(187.109.x.x、テルネット) ログイン成功。コマンド31個、意図3種、ダウンロード1件、TTY録画あり、完結性16
18. 09:02:55.1Z ~ 09:04:14.9Z (79.9秒)
    事実 ATK-ED706F(123.139.x.x、テルネット) ログイン成功。コマンド31個、意図3種、ダウンロード1件、TTY録画あり、完結性16。この日の完結セッションのうち最後であり、以降ブリーフ生成時刻(15:05Z)まで約6時間、追加された完結セッションがない
19. 2026-08-31 (一日集計)
    推定 完結セッション5件がコマンド数(31個)・意図の組み合わせ・ダウンロード数・完結性(16)まですべて同じで、かかった時間も66.9〜79.9秒の中に収まる。5件すべてが306バイトのシェルスクリプトを残した10か所の中にある。異なる発信元が同じスクリプトを実行した自動化と読めるが、テルネットには接続プログラム指紋が存在しないため「同じツール」を指紋で確認する手段がこの日の完結セッションにはない
20. 2026-08-31 (一日集計)
    事実 この日01が確保した検体は3種で、サイズ合計は704バイトである(306 + 389 + 9)。昨日は6種・1,158バイトだった。実行バイナリはこの日も0種である — 306バイトのPOSIXシェルスクリプト、389バイトのOpenSSH公開鍵、9バイトのASCIIテキストが全部である
21. 2026-08-31 (一日集計)
    事実 SSH接続プログラム指紋11種が記録された。この日の発信元1位はacaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)で、この日113か所・累積589か所であり、01全体の固有発信元324か所の34.9%である。2位がf555226df…(libssh_0.9.6)の8か所である。11種のうち「検体を投入していった」と表示されたものは16443846184eafde36765c9bab2f4397(SSH-2.0-Go、この日3か所)と98ddc5604ef6a1006a2b49a58759fbe6(SSH-2.0-Go、この日2か所)の二つである
22. 2026-08-31 (一日集計)
    事実 ハニーポット02(Beelzebub+adbhoney、低対話型): 接触57,058件 · 固有発信元293か所。VNC(5900) 53,310件が全体の93.4%だが、出所は46か所だけである(1か所あたり平均1,159回)。RDP(3389)は3,410件に出所164か所で1か所あたり20.8回である。残りはSMB(445) 137件・47か所、LDAP(389) 92件・12か所、MSSQL(1433) 57件・15か所、ADBセッション52件である。五つのサービスとADBの合計が57,058で総計と正確に一致する
23. 2026-08-31 (一日集計)
    推定 02のRDP接触3,410件・出所164か所は、02をブリーフに入れた8/26以降の6日間で両方とも最大である(直前の最大は8/30の2,139件、8/26の139か所)。同じ期間、VNCは8/27の29,111件からこの日の53,310件の間を行き来し、出所は36〜50か所を外れたことがない。VNCは少数が作る固定された背景であり、この日実際に変わったのはRDP側の出所の幅である
24. 2026-08-31 (一日集計)
    推定 02の上位発信元9か所(各5,093〜7,525件)の合計は53,240件で、VNC接触53,310件の99.9%に当たる。ただしデータが発信元とサービスを結びつけてくれないため、数値の近接にすぎない
25. 2026-08-31 (一日集計)
    事実 02のVNCネゴシエーションで相手が提案したバージョンは003.003が53,262回、003.008が34回である — 提案された値の99.94%がより低いほうである。SMB方言の提案8種のうちSMB 2.???は2回だけで、残り407回はNT LM 0.12以下の旧バージョンである
26. 2026-08-31 (一日集計)
    事実 02のRDPクッキー値はhello 2,709回(RDP接触3,410件の79.4%) · <ip> 467回 · 空値5回 · administrator 2回 · zgrab 1回 · BqDARFPuX 1回である。クッキーが記録された合計3,185件はRDP接触3,410件より225件少ない
27. 2026-08-31 (一日集計)
    推定 RDPクッキー「zgrab」1回は、この日唯一、相手が自らツール名を書き込んだ接触である。同じ日の01のSSH接続プログラム指紋にもdd9bcf093c355da7000132131cb36fd0(SSH-2.0-ZGrab ZGrab SSH Survey、この日2か所・累積50か所)がある。公開されたインターネット全数スキャナの名前だが、研究・計測目的なのか攻撃準備なのかをこのデータで区別できず、二つのセンサーの観測が同じ主体なのかも確認できない
28. 2026-08-31 (一日集計)
    推定 02のADBセッションは52件だが、確保した検体は0件である。昨日はADBセッション25件に検体4件・合計773,937バイトだった。セッション数は2.1倍になったのに、投入内容は一つも残らなかった。ADBは02で唯一投入内容が残りうる経路であるため、この日02の観測面では「何が入ってきたのか」を語る材料がない
29. 2026-08-31 (一日集計)
    事実 二つのセンサー合算の固有発信元は617か所が上限である(01 324か所 + 02 293か所)。センサー間の重複が分からないため正確な値ではない。昨日の上限は532か所だった

事実 下のほうの5行をもう一度ご覧ください。66.9秒 · 67.6秒 · 67.0秒 · 73.6秒 · 79.9秒。 5件すべてがコマンド31個、意図3種、ダウンロード1件、完結性16で 完全に同じです。 時刻は00時、02時、05時、06時、09時に散らばっていて、発信元も5か所すべて異なります。

推定 人が座ってやる仕事ではありません。5人がそれぞれ偶然に同じコマンドを同じ個数、似たような時間の中で打つ確率は事実上ありません。あらかじめ組んでおいた同じスクリプトが5回再生された と読みます。

事実 ただしここに付く限界があります。5件とも テルネット です。テルネットは非常に古い遠隔接続方式ですが、パスワードが暗号化されずそのまま流れ、接続プログラム指紋そのものが存在しません。 そのため「同じツールだった」を指紋で確認する方法が、この日の完結セッションにはありません。8月20日の記事で経験したのと同じ制約です。

このパスワードをお使いですか

事実 この日のログイン試行は 440回 です。一日をぎっしり埋めて割ると 約3分16秒に1回、誰かがIDとパスワードを入れてみたことになります。

事実 以下はそのうち 異なるIP 3か所以上で観測された組み合わせだけ を選んだ17種です。1か所からしか出なかった組み合わせは、実際にどこかで流出した本物のアカウントである可能性があるため、値を載せません。

事実 この17種のほかに、単一・少数の出所からしか出なかった組み合わせが269種 あります。個数だけを記し、値は書きません。 参考までに、269種は確認範囲では少ないほうです（最大8月18日1,388種、最少8月29日142種）。

推定 表の一番上の行が変わったことが、この日の静かな変化です。昨日107か所で圧倒的1位だった 345gs5662d34 は8か所に下がり、その席を admin/admin が15か所で取り戻しました。 特別なリストを持ってきた群れが抜けていくと、いつもいたありふれた初期値辞書が再び最上位に上がってきた形です。停留所でいえば、昨日押し寄せた人たちが引いて、もともとその時間にいつも立っていた人たちだけが残った格好です。

事実 そして表の残りの行はすべて root/admin によくあるパスワードを付けたものです。123456、1234、password、P@ssw0rd。この辞書は特定の組織を狙って作られたものではなく、どこにでも通じる初期値の寄せ集めです。 標的になるために目立つ必要はない、という意味です。

偵察を飛ばした一日

事実 ログインに成功したあと何をしたかは、コマンドの「意図」で分類して数えます。この日の順序はこうです。

事実 1位が変わりました。 16日間のうち14日は「偵察 — システム」が1位でした。8月27日には偵察が全コマンドの78.3%でした。この順序が逆転したのは、8月29日（161回対75回）に次いでこの日が 2度目 です。

ここで言葉を一つ解いておきます。「実行権限の付与」 は、ダウンロードしたファイルに「これは実行してよいプログラムだ」という印を付ける作業です。Linuxではファイルを受け取っただけでは実行されません。印を別途付けなければ動きません。「偵察」 はその前の段階で、「ここはどんな機械なのか」を見て回る作業です。

推定 つまりこの日は 見て回る時間を減らして、直ちに実行準備へ移った形 と読めます。ただしコマンド原文が私たちにはないため、これが実際の行動順序が変わったのか、分類する側の動作の違いなのかは区別できません。

事実 そして「ファイルダウンロード」30回と「ダウンロード後実行」30回が 正確に同じです。 昨日も42回・42回で同じでした。ダウンロードされたものは事実上例外なく実行段階へつながった という意味です。

事実 もう一つ。分類されたコマンドの合計392件は 全コマンド760個の51.6% です。残りの48.4%はどの意図にも分類されませんでした。ですから上の表の比率はすべて 「分類されたものの中での比率」 です。

置いていったものは704バイトが全部です

事実 この日サーバーに実際に残ったファイルは 3種、合計704バイト です。短いテキストメッセージ数行ほどの量です。昨日は6種・1,158バイトでした。実行バイナリ、つまり本物の悪性プログラムのファイルはこの日も0種です。

書き取っていただく値です。値を押すとコピーされます — 読むためにあるのではなく、ブロックリストに入れるためにある値です。アドレスはわざと壊して記しています（hxxp://、[.]）。そのままコピーして貼り付けても接続されません。

事実 3行のうち アドレスが記されている行は一つだけ です。残りの二つは「取得元アドレス未記録」です。

ここで二つを解いておきます。

指紋（sha256） はファイル全体を計算して取り出した64桁の値です。ファイルの中の文字一つが違うだけで値が丸ごと変わります。ですから二つのファイルが同じか違うかを、この値で判定します。

公開鍵はこうです。Linuxサーバーには authorized_keys（許可された鍵のリスト）というファイルがあります。ここに公開鍵を1行書いておくと、その対になるものを持つ人は パスワードをまったく訊かれず そのまま入ってきます。平たく言えば パスワードなしで入れる鍵 を玄関に一つ掛けておくということです。そして重要なのは、パスワードを変えてもその鍵はそのまま掛かったままだ ということです。

推定 この公開鍵は防御する側にとって厄介な代物です。取得元アドレスがないので ブロックリストに載せるアドレスがありません。 サーバーから外へ出ていく通信を全部塞いでもこれは塞げません。扉を開けることに成功したその瞬間に、サーバーの中で完結する事柄 だからです。この日は規模が8回と小さかっただけで、やり方はそのままです。

国際分類表に対応させると

攻撃者が使った手口には、世界中が共通で使う番号が付いています。MITRE ATT&CKというリストです。以下で IDを押すと原文の説明に飛びます — 私たちの言葉を信じず、直接確かめてくださいという意味で付けてあります。

• T1110Brute Force — ログイン試行440回。ただし発信元あたり1.36回で確認範囲の最低水準であり、伝統的な総当たりとは形が異なる推定
• T1078Valid Accounts — 完結セッション5件すべてログイン成功推定
• T1222.002File and Directory Permissions Modification: Linux and Mac — 「実行権限の付与」195回。この日の1位の意図である推定
• T1082System Information Discovery — 「偵察 — システム」119回推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」30回、hxxp://185[.]93[.]89[.]72/wget 10か所推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 「ダウンロード後実行」30回、306バイトのPOSIXシェルスクリプト検体推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の植え付け」8回 + 389バイトの公開鍵8か所・8回推定
• T1070Indicator Removal — 「痕跡削除」9回。昨日の114回から大きく減った推定
• T1046Network Service Discovery — 「偵察 — ネットワーク」1回。別途ハニーポット02の五つのサービス接触もこの範疇と読めるが、発信元とサービスがデータ上で結びつかないため断定しない推定
• T1595Active Scanning — RDPクッキー「zgrab」1回、01のSSH-2.0-ZGrab指紋2か所。相手が自ら名乗った接触であり、目的は確認不可推定
• T1021.005Remote Services: VNC — 02の5900ポート接触53,310件・46か所。接触・ネゴシエーション段階であり、認証成功は存在しない推定
• T1021.001Remote Services: Remote Desktop Protocol — 02の3389ポート接触3,410件・164か所。6日間で最大だが、同様に接触段階である推定
• T1021.002Remote Services: SMB/Windows Admin Shares — 02の445ポート接触137件・47か所。提案された方言407回のうち405回がSMB1系の旧バージョンである推定

事実 13行のうち最も大きい数字は3番目、実行権限の付与195回 です。昨日この位置にあった偵察（769回）は、この日119回に下がりました。

推定 そして13行すべてが「推定」バッジです。私たちが見たのはコマンドの意図分類と個数であって、攻撃者が自ら明かした目的ではないからです。

昨日一日の全体

事実 センサー01（高対話型ハニーポット）基準です。

推定 数字が一つ食い違って見えます。セッションの71.4%がSSHなのに、ログインに成功して実際に作業をしたセッション5件はすべてテルネット です。この日SSH側で完結したセッションは一つもありません。叩いているのはSSH側のほうがはるかに多いのに、中まで入ってきて何かをしたのはテルネットだけでした。

事実 隣に立てておいた2台目のサーバー（センサー02）の数字も移しておきます。こちらは低対話型なので ログイン成功・コマンド・認証情報がそもそも存在しません。 数えるのは「どの扉を何回叩いたか」だけです。入ってきた記録ではありません。

事実 全体では接触57,058件、固有発信元293か所です。一日で割ると 約1.5秒に1回 何かがこのサーバーを叩きました。

推定 同じサーバーなのに、二つの扉の前の絵は正反対です。VNC側は46か所が1か所あたり1,159回ずつ張り付いていました。1か所が75秒ごとに1回ずつ、一日中 同じ扉だけをつかんでいたという意味です。昨日（53,360件・45か所）との差は50件だけです — 二日連続でほぼ同じ値です。こちらは動かない背景ノイズです。

事実 この日実際に変わったのはRDP側です。接触 3,410件、出所 164か所。私たちがこのサーバーをブリーフに入れた8月26日以降の6日間で 接触も出所も両方とも最大 です（8/26 1,221件・139か所 / 8/27 1,425件・116か所 / 8/28 2,114件・120か所 / 8/29 1,064件・132か所 / 8/30 2,139件・127か所）。

推定 停留所に戻ればこうです。一方の停留所には46人が一日中同じ場所を守っていて、もう一方の停留所には164人が少し立っては去っていきます。少数が執拗に叩くほうと、多数が浅くなぞるほうが、同じサーバーに同時に来ます。 そしてこの日増えたのは後者、「異なる場所の数」です。

事実 プロトコルが語ってくれたこともあります。VNC接触で相手が提案したバージョンは 003.003が53,262回、新しいほうの003.008は34回だけです。提案された値の 99.94% が低いほうです。SMB方言の提案8種のうち SMB 2.??? は 2回 だけで、残り407回は NT LM 0.12 以下の旧バージョンです。RDP接続クッキーには hello 2,709回（RDP接触の79.4%）、<ip> 467回、空値5回、administrator 2回、zgrab 1回、BqDARFPuX 1回が刻まれました。

推定 zgrab の1回が目に引っかかります。この日 唯一、相手が自分のツール名をそのまま書き込んだ接触 です。同じ日の01側のSSH指紋にも SSH-2.0-ZGrab（この日2か所・累積50か所）があります。公開されたインターネット全数スキャナの名前ですが、研究・計測目的なのか攻撃準備なのかはこのデータでは区別されません。二つのセンサーの観測が同じ主体なのかも確認できません。名前を書き込むのは誰にでもできるので、名前そのものが身元の根拠にはなりません。

事実 そして02で、この日最も大きな空白が一つあります。ADBセッションは52件なのに、確保した検体は0件です。 昨日はセッション25件に検体4件・合計773,937バイトでした。セッション数は2.1倍になったのに、残ったファイルは一つもありません。

推定 ADBは02で ファイルの内容が残りうる唯一の経路 です。それが空だということは、この日02の観測面全体で「何が入ってきたのか」を語る材料が一つもないという意味です。残ったのは叩いた回数と、プロトコルが定めた語彙だけです。

113か所が同じ指紋ですが、同じ群れではありません

事実 SSHで入ってくる接続は、プログラムごとに最初の挨拶が少しずつ異なります。その挨拶を要約した値を クライアント指紋 と呼びます。どのプログラムで接続したかを示す値です。

事実 この日の指紋クラスタは41個で、そのうち11種がリストに載りました。1位は acaa53e0a7d7ac7d1255103f37901306（SSH-2.0-OpenSSH_7.4）で この日113か所、累積589か所 です。この日の01全体の発信元324か所の 34.9% です。2位が昨日の1位だった f555226df…（libssh_0.9.6）の8か所です。

推定 数字だけ見れば「113か所が一つの群れ」と書きたくなります。この日は普段より強く但し書きを付けます。 この値は広く使われているLinuxディストリビューションにそのまま入っている 標準のOpenSSH 7.4クライアント の文字列です。互いに何の関係もない人たちが同じ値を持つのが正常です。

事実 ですから私たちが言えるのは 「113か所が同じツールを使っている」 までです。「113か所が一つの組織である」 は、このデータでは成立しません。昨日libsshクラスタについて「同じツール」とだけ書いたのと同じ基準ですが、この日の対象ははるかにありふれた値なので、まとめて読むことの説明力自体がより低いです。

推定 もう一つ引っかかることがあります。クラスタの総数は8月29日45個 → 8月30日43個 → この日41個と 3日連続で減ったのに、同じ期間の1位クラスタの発信元数は9か所 → 106か所 → 113か所と 増えました。 ツールの多様性が減って一方に偏ったように見えますが、集計基準が変わった可能性を排除できません。

それで何をすべきか

推定 ブリーフが整理した「この統制がなかったら」の六つを、この日のデータが最も強く裏付ける順に並べます。

1. 管理ポートをインターネットにそのまま開けたままにしない — この日の第1順位です。何の宣伝もしていないサーバーに一日で324か所が接触し、隣のサーバーにはRDP 164か所・SMB 47か所・VNC 46か所・MSSQL 15か所・LDAP 12か所が張り付きました。2台のサーバーを合わせると最大617か所です（重複が分からないため上限です）。遠隔接続の窓口をVPNや踏み台ホストの後ろに移すか、接続できる発信元を制限すれば、この日観測された接触の大部分が 認証段階に届く前に 消えます。特にこの日増えたのはRDP側の 「異なる場所の数」 なので、悪いアドレスを集めておくブロックリストでは追いつきにくい形です。

2. 初期アカウントとありふれたパスワードをなくす — 上の表の17種は、異なるIP 3か所以上が実際に叩いた組み合わせです。ここに値を載せなかった269種がさらにあります。この日観測されたコマンド760個は すべてログインに成功したあとに 実行されました。実際の運用サーバーだったなら、一日に何度も管理者権限のコマンド画面が渡ったという意味です。

3. サーバーから外へ出ていく接続を制限する — ファイルダウンロード30回とダウンロード後実行30回が 正確に同じ数字 です。出ていく通信を既定で塞ぎ、必要な宛先だけを許可していたなら、ログインが破られても ダウンロード段階で切れます。 この日の完結セッション5件はすべてこの段階を通過しました。

4. パスワードで開ける扉を鍵で開ける扉に変える — この日のセッションの71.4%がSSHです。SSHはパスワードの代わりに鍵でしか開けられないように施錠できる方式です。ただしこの日はこの項目の順位を下げます。ログインが成功したセッション5件がすべてテルネット だからです。テルネットには鍵認証という概念そのものがないので、そちらの原因は「鍵を使わなかった」ではなく 「そのサービスを開けておいたこと」 です。認証情報がどちら側で試されたのかをデータが区別してくれないため、SSH側の成否はこの日のデータでは確定できません。

5. 「何回間違えたらロック」だけに頼らない — この日の1か所あたりのログイン試行は 1.36回 です。「IP一つがN回失敗したら遮断」という方式は、この分布では 発動条件にほとんど到達しません。 ところが反対の根拠も同じ日の中にあります。1位の admin/admin は15か所が35回で1か所あたり2.3回であり、02のVNCは46か所が1か所あたり1,159回です — ここでは頻度制限が明らかに効いていたはずの区間です。 ですからこの項目は「捨てろ」ではなく「これだけでは足りない」です。二つの防御は互いを代替するのではなく、互いに異なるパターンを受け持ちます。

6. ログをサーバーの外に別途残す — 痕跡を消そうとする意図がこの日も9回観測されました。昨日の114回から大きく減りましたが、なくなったわけではありません。私たちが上のタイムラインを書けるのも、TTY録画195件と照合できるのも、記録がサーバーの外に残っているからです。ログがその機械の中にだけあれば、消されたあとには消されたという事実さえ残りません。

事実 そして3番に但し書きを付けます。SSH鍵の植え付けは 外へ出ていく接続が必要ありません。 出ていく通信を全部塞いでもこれは塞げません。サーバーをお使いなら ~/.ssh/authorized_keys ファイルを一度開いてみてください。自分で入れた覚えのない行があれば、それが他人の鍵です。パスワードを変えることでは消えません。

以前にもあったこと

推定 Miraiボットネット（2016年）。 テルネットの初期認証情報の辞書一つで多数の機器を掌握し、CPU種別ごとに別々に作った実行ファイルをダウンロードさせた事例です。この日の完結セッション5件がすべてテルネットである点、そして圧縮を解かないと現れない指標のCPU別ファイル名パターン（parm5・parm6・parm7・pm68k・pmips・pmpsl・pppc・psh4・pspc・x86_64）が形の上で同じ系列です。ただし 私たちの観測分がMirai系列だと断定する根拠はありません — 検体に系列名を付ける手段（VirusTotal）がなく、この日確保した検体3種には実行バイナリがありません。（根拠: 米国US-CERT/CISA警報 TA16-288A、公開されたソースコード）

推定 FritzFrog P2P SSHボットネット（2020年）。 SSH認証情報の総当たりで侵入したあと authorized_keys に自分の公開鍵を追加して、入り続ける経路を確保した事例です。この日観測された「永続化 — SSH鍵の植え付け」8回、そして16日間連続で同じ389バイトの公開鍵が8か所で植え付けられたパターンが、この技法と重なります。技法の類似であって、同じキャンペーンだという根拠はありません。 この日は規模が8回と小さく、昨日（116回）よりこの項目の重みが軽いという点も併せて明らかにしておきます。（根拠: セキュリティ企業の公開レポート — Guardicore/Akamai）

私たちが分からないこと

この記事で最も重要な部分です。上に記したことより 記せなかったこと のほうが多いです。

• [核心] 8・8・8・8が同じ集団だという確認がありません。 認証情報の発信元数、公開鍵の出所数、指紋の発信元数、鍵植え付けの回数 — 私たちが四つの値を並べて観察したのであって、データが結びつけてくれた事実ではありません。昨日の107・107・106・116と、この日の8・8・8・8が一緒に動いたことは、「一つの群れ」という読み方を 強化しますが証明はしません。
• 昨日106か所だった指紋 f555226df… がこの日8か所に下がった 理由をデータで説明できません。 キャンペーンが終わったのか、対象を移したのか、私たちの収集範囲が変わったのかを区別する根拠がありません。同様に、昨日107か所に跳ねた理由も説明できませんでした。
• この指紋の 累積値が昨日の366か所からこの日365か所へ1減りました。 累積値が減少することは定義上説明されません。集計基準が変わったのか再計算されたのか分からないため、この指紋の累積値に依拠した記述はこの日は行いませんでした。
• TTY録画数が 195件と208件の二つの値で異なって記されています。 昨日は982件と205件で大小関係が逆でした。二つの値が互いに異なるものを数えているのか、どちらが実際に閲覧可能な数なのか、説明がありません。
• 「実行権限の付与」195回とTTY録画195件が 正確に同じ数 です。データが二つを結びつけてくれないため数値の一致にすぎず、ここに意味を付けませんでした。
• コマンド意図の分類合計は392件なのに、全コマンドは760個です。コマンドの48.4%がどの意図にも分類されておらず、その理由や性格についての説明がありません。したがって意図別の比率はすべて「分類されたものの中での比率」です。
• 「実行権限の付与」が「偵察」を上回ったことを 「偵察を飛ばす形」と読みましたが、コマンド原文がないため、実際の行動順序の変化なのか、分類する側の動作の違いなのか区別できません。
• 指紋クラスタは41個なのに、リストには 11種しか載っていません。 リストの発信元の合計は146か所で、01全体324か所の45%です。残り178か所の分布は分からず、この日のセッションの28.6%であるテルネットには指紋そのものが存在しません。
• 1位の指紋 acaa53e0…（SSH-2.0-OpenSSH_7.4）の 113か所を一つの集団として読んではいけません。 広く使われているディストリビューションの標準クライアントの文字列なので、互いに無関係な多数が同じ値を持つのが正常です。この日この値は「検体を投入していった」ではないと表示されています。
• 完結セッション5件がコマンド31個・完結性16で同一であることを 「同じ自動化」と読みましたが、テルネットなので指紋が空で、ツールの同一性を確認する手段がありません。8月20日の記事でも同じ制約がありました。
• センサー02で 一つの発信元が複数のサービスを併せてなぞったのかを計算できません。 サービス別の固有発信元の合計（46+164+47+12+15=284）が全体の固有発信元293より小さく、重複を逆算できません。6日間連続で同じ制約です。
• 02の ADBセッションが52件なのに検体が0件である理由が分かりません。 投入の試み自体がなかったのか、試みたが保存に失敗したのか、ネゴシエーション段階で切れたのか、データが区別してくれません。
• RDPクッキー hello 2,709回が何を意味するのか 判断しません。 接続する側が任意に埋め込む文字列であり、特定のツールに帰属させる根拠がありません。administrator 2回、9桁の文字列 BqDARFPuX 1回も同様です。
• RDPクッキー zgrab 1回と01のSSH-2.0-ZGrab指紋2か所が 同じ主体なのか確認できません。 公開されたスキャナの名前をそのまま入れることは誰にでもできるので、名前そのものが身元の根拠ではありません。研究・計測目的なのか攻撃準備なのかも区別されません。
• VNCネゴシエーションのバージョン003.003が99.94%だというのは 「相手が提案した値」の分布 です。私たちのハニーポットが何を先に提示したかによってこの分布が決まりうるため、相手のツールの性格をこの値で断定しません。003.003と003.008の合計53,296がVNC接触53,310より14少ない理由も説明されません。
• 公開鍵のハッシュが同じだということは 「同じファイル」という意味であって「同じ運用者」という意味ではありません。 この鍵に対となる秘密鍵を誰が、何人が握っているかはデータにありません。
• 9バイトのテキスト検体（4af5a5c9…）の 内容がないため何であるか判断しません。 8月30日にも同じハッシュが1か所で観測されました。
• 別途確保されたDiscord Webhookのアドレスが この日のセッション・検体のうち何と結びつくのか分かりません。 この日どのダウンロードのアドレス欄にも現れなかったため、この日の事案と結びつけて記述しませんでした。
• 圧縮を解かないと現れない配布アドレス12件は この日観測された hxxp://185[.]93[.]89[.]72 とホストが異なります（hxxp://31[.]77[.]227[.]121）。同じキャンペーンなのか確認する手段がないため、背景材料としてのみ置いておきました。
• 背景統計として持っているCVE 6,607件・CISA KEV 390件・ランサムウェア確認98件は KISAセキュリティ公示に基づく背景の文脈 です。この日のハニーポット観測と結びついたものではありません。SSH・テルネット経路でCVEを参照した痕跡は観測されず、02もプロトコルのネゴシエーション段階なので同様です。
• C-TAS通報は 転送レイヤーで成功したというところまでしか確認されません。 KISA側に実際に格納されたかは別途確認が必要です。
• 別名（ATK-XXXXXX）は記事の間で同じマスキング発信元を指す標識にすぎず、身元ではありません。 再び現れる別名も、その間にそのアドレスを使う主体が変わった可能性を排除できません。
• 二つのセンサーを合わせた固有発信元 617か所は上限です。 同じIPが両方に現れたかは分かりません。
• 最後に、ハニーポットは扉を開けてやるように作られたサーバーです。 ログイン成功は「この認証情報が実際の運用サーバーでも通じる」という意味ではなく、「この認証情報が試されている」 という意味です。

そして以下は、そもそも確認する手段がないものです。推定しません。

• ASN・ISP — 関連するデータベースがありません。どの通信事業者・どのホスティング帯域なのか確認できません。02の上位発信元がそれぞれ数千件ずつ作り出しましたが、それらのアドレスがどの種類のインフラなのか、この記事は語れません。
• 地理情報 — 同様にありません。そしてIPの地理情報はそもそも帰属の根拠になりません。いかなる国家・企業・個人もこの日の攻撃者として名指ししません。 マスキングされた箇所から何も推論しません。
• VPN・Tor・クラウドの別 — 判別する手段がありません。02の上位9か所が5,093〜7,525件と均等に分かれていることも、「同じ種類のインフラ」だという根拠にはなりません。
• VirusTotal — 連携していません。この日確保した検体3種（306バイトのシェルスクリプト · 389バイトの公開鍵 · 9バイトのテキスト）にマルウェアの系列名を付けられません。検体の分類はMalwareBazaarのタグを使います。
• User-Agent — 二つの観測面ともHTTPではありません。01はSSH・テルネット、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。上で引用したRDPクッキー・SMB方言・VNCバージョンはUser-Agentの代替物ではなく、プロトコルが定めたネゴシエーションの語彙 です。
• CVEとの結びつき — SSH・テルネット攻撃は大部分が特定の脆弱性を参照せず、認証情報を使います。02もプロトコルのネゴシエーション段階なので同様です。この日いかなるCVEもこの観測と結びつきません。

推定 まとめると、この日はこうです。セッション779件、ログイン試行440回、コマンド760個。昨日107・107・106・116だった四つの数字が揃って 8 になり、昨日114回だった痕跡削除は9回になりました。代わりに訪れた場所は324か所で16日間のうち4番目に多く、1か所あたり留まった度合いは 2.40回で最も低かったです。

四つが一緒に上がって、一緒に下がりました。ですから私たちは「同じバスから降りた人たち」という推測を、昨日より少しだけ強く言えるようになりました。それでも バスは依然として見ていません。 私たちがしたことは、二日にわたって二度、人数を数えただけです。この違いを消せば、観測記録ではなく物語になります。

そしてもう一つ。その群れが消えたわけではないという点です。昨日107か所で今日8か所なら、今日は別の停留所に立っている と見るほうが自然です。ですからこの日のデータが指しているのは、昨日押し寄せた場所をリストに書き留めておけという方向ではありません。そのリストは一日で古くなります。サーバーを1台でもお持ちなら、今日は二つだけやってみてください。遠隔接続の窓口がインターネットにそのまま開いていないか確認すること、そして ~/.ssh/authorized_keys を一度開いてみることです。後者は数秒で済みます。

観測日は2026年8月31日（UTC）の一日です。発信元IPはブリーフのマスキング形式（125.229.x.x、114.35.x.x、114.38.x.x、187.109.x.x、123.139.x.x）をそのまま移し、復元していません。配布アドレスは接続されないよう変形して記しています（hxxp://、[.]）。認証情報は 異なるIP 3か所以上で観測された組み合わせ17種のみ を引用し、その基準を超えられなかった組み合わせ269種は個数だけを明らかにし、値を載せていません。ASN・国籍・行為者の帰属は確認手段がないため推定しません。