同じファイルを二組 — 内側のラベルは剥がしていなかった

海外旅行に行って充電器を挿そうとして手が止まった経験があるでしょう。韓国のコンセントは丸い足が二本ですが、国によっては平たい足が二本だったり三本だったりします。中身の部品が同じでも、挿さる形が違えば意味がありません。

だから物をたくさん売る会社は、同じ製品を国別のプラグで何組も作っておきます。 倉庫に並べて積んでおき、注文が来たらその国に合うものを取り出して送ります。

昨日、私たちのサーバーに入ってきたものが、まさにその形でした。

まず、昨日の午後にあったこと

事実 9月7日午後3時41分、私たちのハニーポットにTelnetで誰かが入ってきました。ハニーポットは、わざと隙だらけに開けておいた偽のサーバーです。攻撃者が何をするのかを見るために置いてあるものなので、ここで起きたことは実際の被害ではなく観測記録です。Telnetは非常に古い遠隔接続方式で、やり取りされる文字が暗号化されずそのまま流れるという問題があります。

事実 入ってきた側には ATK-33267B という別名を付けました。別名は身元ではありません。同じマスキング済み送信元をブリーフ同士でつないで呼ぶために付けた目印にすぎません。この別名は、私たちのアーカイブ8月16日〜9月6日の22日分に一度もなかった新しい別名です。

時間順に並べるとこうなります。いちばん右の秒単位と、セッション同士の間隔に注目してください。

1. 2026-09-07T06:41:05Z (KST 15:41)
   事実 ATK-33267B、Telnetで接続しログイン成功。24.3秒の間にコマンド3個、ダウンロード3件。TTY録画あり
2. 2026-09-07T06:48:16Z (KST 15:48)
   事実 同じ別名が再接続。22.5秒、コマンド3個、ダウンロード3件 — 最初のセッションと値が完全に同一
3. 2026-09-07T06:50:23Z (KST 15:50)
   事実 3回目。22.4秒、コマンド3個、ダウンロード3件。2回目と2分7秒の間隔
4. 2026-09-07T06:51:50Z (KST 15:51)
   事実 4回目。23.4秒、コマンド3個、ダウンロード3件。3回目と1分27秒の間隔 — 06:41〜06:52の11分の間に四度
5. 2026-09-07T08:41:44Z (KST 17:41)
   事実 5回目。23.1秒、コマンド3個、ダウンロード3件。1回目の開始時刻から2時間0分39秒後
6. (一日全体)
   事実 この別名が配送したファイル3種の観測回数の合計は12+10+5=27件で、三つとも delivered_by が ATK-33267B 単独である
7. (一日全体)
   推定 セッションあたりのダウンロードが3件なので、27件は約9セッションに相当する — notable_sessions に露出した5個はそのうち完結性の高いものである
8. (一日全体)
   推定 5回目が1回目とちょうど2時間間隔で、セッション長が22.4〜24.3秒の中に収まっているのは、人が座って打つ操作ではなくスケジューラが回る自動化である

事実 五度の訪問がすべて同じです。ログイン成功、コマンド3個、ダウンロード3件。滞在時間は22.4秒から24.3秒の間です。いちばん長いものといちばん短いものの差が1.9秒です。人が五度タイプしてこうなるのは難しいことです。

事実 この別名が接続してきた通路はTelnetポート2223番です。ここには接続プログラムの指紋が残りません。 SSHは接続時に互いの規格を合わせる挨拶をやり取りするので、その形から指紋(hassh)を取れますが、Telnetにはその手順がそもそもありません。実際に記録の指紋欄とクライアント欄が空文字列です。

推定 ですから「指紋がない」という言葉を「静かに立ち去った」と読んではいけません。私たちの計測器がその通路ではそもそも見えていないのです。

持ち去られたファイル三つ

ここからが今日の本題です。

事実 セッションごとに持ち去られたファイルは三つ、すべて同じアドレスから来ました。hxxp://131[.]123[.]40[.]104/ です。アドレスをこう奇妙に書くのは誤字ではありません。誤ってクリックして接続してしまわないよう、http を hxxp に、ドットを [.] に置き換えておく慣行です。デファング(defang)、牙を抜いておくという意味です。

事実 このアドレスも、ここから降りてきたファイル三つのハッシュも、私たちのアーカイブ22日分に一件もありません。アドレス・ハッシュ・ファイル名・別名がすべて初めて見るものです。

ファイル一覧です。サイズ二つと、その隣のMSB・LSBという文字を見てください。

事実 表で見るべきものは二行です。304,889バイトと305,654バイト。 差が765バイトだけです。30万バイトのうち765バイトなら**0.25%**です。そして両方ともMIPSという同じCPU系列向けで、違うのは括弧の中の文字だけです。一つはMSB、一つはLSB。

MSBとLSB — 数字を読む順序

事実 コンピュータは大きな数字を複数の枠に分けて保存します。ところがどの桁から書くかが機械によって違います。 1234を前から 1-2-3-4 と書く機械があり、後ろから 4-3-2-1 と書く機械があります。前から書く方をビッグエンディアン(MSB)、後ろから書く方をリトルエンディアン(LSB)と呼びます。

事実 同じ値なのに書く順序が逆です。ですから片方の機械向けに作ったプログラムをもう片方の機械に入れると、数字をとんちんかんに読んでそのまま止まります。コンセントの穴が合わないのとまったく同じです。

推定 だから作った側は二組を用意しました。同じプログラムを、バイト順序が逆の二つのCPU系列向けにそれぞれビルドしたということです。サイズ差765バイトは、そうやって作り直すときに生じる程度の差です。どの家のコンセントがどんな形かを前もって知る必要はありません。二組とも倉庫に置いておいて、扉が開いたら両方とも降ろせばいいのです。

事実 いちばん最初の924バイトのものは実行ファイルではなく、文字でできたスクリプトです。テキストメッセージ十行ほどの大きさです。実行ファイル一つがこれの330倍ほどになるので、薄い案内文一枚の後ろに重い箱二つが付いてきた形です。

内側のラベルを剥がしていなかった

事実 ファイル情報に not stripped という言葉が付いています。プログラムを作ると、その中には作った人が付けたラベルがぎっしり入ります。どの部品が何という名前かを書いておいた目印です。配布するときは普通これを消します。容量も減るし、他人に中を覗かれにくくもなるからです。not stripped はそれを消していないという意味です。

推定 服の内側に工場のラベルが付いたまま配送されたようなものです。中を覗く側にとってはありがたいことです。かぶせた包装を剥がす必要もなく、内側の目印をそのまま読めます。

事実 これが目を引く理由は、私たちが持っている別の一覧が正反対だからです。私たちの unpack_only_iocs の一覧にはURLが12個入っています。hxxp://31[.]77[.]227[.]121/bins/ の下の parm · parm5 · parm6 · parm64 · parm7 · pm68k · pmips · pmpsl · pppc · psh4 · pspc · x86_64 です。この12個は圧縮を解いて初めて出てきた指標です。UPXというツールで押し潰しておくと、表面にはアドレスが一つも見えないからです。

事実 その12個の名前を読んでみると、CPUの種類がそのまま書かれています。arm系列が五つ、m68k、mips、mipsel、ppcが二つ、sh4、x86_64。一つのプログラムをCPUの種類別に12組作っておいたメニュー表の形です。昨日持ち去られたMIPSビッグエンディアン一組とリトルエンディアン一組は、そのメニュー表でいえばちょうど二枠に相当します。

推定 ただし配布元が違います。 12個の指標は 31[.]77[.]227[.]121 から出たもので、昨日のものは 131[.]123[.]40[.]104 です。同じインフラだとか同じ人物が運営しているとか言う根拠は私たちにはありません。言えるのは構造が似ているというところまでです。そして、表面を押し潰してアドレスを隠した側と、まったく隠さなかった側が、同じ日に一つの観測面に一緒に入ってきたというところまでです。

前の二枠が同じだった

事実 入ってきた所のIPは 131.123.x.x です。後ろの二枠は伏せてあります。私たちはこれを復元しません。そしてファイルをダウンロードしたアドレスは 131[.]123[.]40[.]104 です。前の二枠が同じです。

推定 侵入してきた地点と物を配送した地点が同じ帯域の中にある、というところまでは言えます。それ以上は無理です。三番目・四番目の枠が伏せられているので、同じコンピュータなのか、同じ町の別のコンピュータなのかは私たちのデータでは判定できません。 伏せたものを戻して突き合わせてはいませんし、同じホストだと書いてもいません。

扉を開けさせた鍵

事実 昨日一日のログイン試行は2,841回、異なる271箇所から入ってきました。一日24時間で割ると、30秒に一度の割合で誰かがIDとパスワードを入れてみた計算になります。

事実 試された組み合わせは2,547個でした。そのうちこの記事に載せたのは20個だけです。残りの2,527個は個数だけを数え、値は書きません。 異なるIP3箇所以上でくり返された組み合わせだけを原文引用するのが私たちのルールです。一つ二つの箇所からしか出ていない組み合わせは、どこかから流出した誰かの本物のアカウントかもしれないからです。

事実 一覧の下の方の uClinux と xmhdipc を見てください。これは人が作って使うパスワードではなく、ルーター・防犯カメラのレコーダー・カメラのような機器に工場で入れておく初期パスワードです。この辞書はサーバーではなく、家庭やオフィスの小さな機械を狙っています。

事実 そしてこの20個が生んだ試行は139回、全体2,841回の4.9%だけです。目につく admin/admin は氷山の一角です。試行の95%は私たちが名前を呼べない尻尾から出ています。

昨日一日の全体

ハニーポット01(SSH・Telnet)が書き留めた一日です。右端の、一昨日と比べた欄を見てください。

推定 読み方が少し奇妙です。訪ねてきた箇所は減ったのに、セッションは増えました。 一箇所が平均12.57回ずつ入ってきたという意味です。一昨日の2.4倍です。より少ない数が、より長く留まりました。

事実 コマンド3,537個のうち意図が分類されたものは2,962個(83.7%)です。その内訳はこうです。

事実 「ファイルのダウンロード」と「ダウンロード後の実行」がちょうど同じ121回です。昨日ダウンロードされたファイルは例外なく実行まで至りました。そして実行権限を与えるコマンドが298回で、ダウンロードより2.5倍多いです。

事実 ATK-33267B のセッションで観測された組み合わせは「ファイルのダウンロード → 実行権限の付与 → ダウンロード後の実行」の3段階です。この別名のセッションにはSSH鍵の植え付けも、痕跡の削除も入っていません。 鍵を掛けておいた8回と痕跡を消した7回は、別の別名がやったことです。

隣のサーバーでは別の扉が鳴った

事実 私たちはサーバーを二台置いてあります。二台目(ハニーポット02)は中まで入らせない浅い罠なので、「どの扉を何箇所が何回叩いたか」だけが残ります。 ログイン成功もコマンドも認証情報も、ここには存在しません。

事実 VNCの58,811件は1.5秒に一度の割合です。285箇所が分担して作ったので、一箇所が平均206回叩いた計算になります。そしてこのうち97.9%が最も古い規格であるRFB 3.3を先に提案しました。SMBの方はさらにです。相手が持ち出した方言がすべてSMB1系列で、SMB2・SMB3は一件も提案されませんでした。

推定 わざと古い規格ばかり投げるのは、特定の脆弱性を狙ったというより、どんな応答でも最大限引き出そうとする汎用スキャナーの振る舞いに近いです。どの脆弱性と結びついているかは私たちのデータにありません。

事実 02で確保した検体4種(46,525 / 239,388 / 334,816 / 153,208バイト、計773,937バイト)はすべてADBの通路から入ってきており、配送別名は ATK-B987B3 一つだけです。この四つのハッシュは8月28日・30日のブリーフにすでに出たものと同じです。 当時の配送別名はそれぞれ違いました。

推定 ファイルは固定されていて、送信元だけが変わります。ただし別名が違うということは伏せられた送信元が違うという意味にすぎず、その背後にいる側が同じか違うかは判断できません。

国際分類表に対応させると

攻撃者が使った手口を世界共通の分類表(MITRE ATT&CK)に合わせてみるとこうなります。IDを押せば原文の説明を直接確認できます — 私たちの言葉を信じなくてかまいません。

• T1110.001Brute Force: Password Guessing — ログイン試行2,841回 / 固有の送信元271箇所。観測された組み合わせ2,547個のうち2,527個がIP3箇所未満でしか現れない尻尾である推定
• T1078.001Valid Accounts: Default Accounts — admin/admin が異なる20個のIPから41回。root/1234 · ubuntu/ubuntu などのデフォルト値の組み合わせが上位を埋めた推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」の意図121回、検体6種を確保。ATK-33267B は hxxp://131[.]123[.]40[.]104/ から3種を持ち去った推定
• T1222.002File and Directory Permissions Modification: Linux and Mac — 「実行権限の付与」298回でダウンロード(121回)より2.5倍多い推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 「ダウンロード後の実行」121回。924バイトのローダースクリプトがテキストで確保された推定
• T1082System Information Discovery — 「偵察 — システム」2,407回で本日分類された意図の81.3%推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の植え付け」8回、389バイトの公開鍵を6個の別名が残した。ATK-33267B のセッションにはない推定
• T1070Indicator Removal — 「痕跡の削除」7回。全コマンド3,537個の0.2%で本日は稀だった推定
• T1595Active Scanning — ハニーポット02で5つのサービスに61,577セッション + ADB 50セッション、固有の送信元546箇所。ログイン成功は存在しない推定

事実 九行のうち昨日の主役が踏んだのは三行だけです。T1105(ファイルの持ち込み)、T1222.002(実行権限の付与)、T1059.004(受け取ったものの実行)。ちょうど3段階、22秒。 残りの六行は別の客が残したものです。

昔こういう形があった

推定 「ローダースクリプト一枚 + CPU系列別に分かれた実行ファイル」という配布方式は、初めて見るものではありません。

• Miraiボットネット (2016) — Telnetのデフォルト認証情報で組み込み機器にログインしたあと、シェルスクリプトのローダーがCPUアーキテクチャ別に分かれたELFバイナリ(MIPSビッグエンディアン・リトルエンディアン、ARM、PPC、SH4、x86など)を順にダウンロードさせる構造でした。昨日観測された「924バイトのローダー + MIPS MSB/LSBの二組」と配布方式の形が同じです。(出典: 米国CISA(当時のUS-CERT)アラート TA16-288A および公開されたソースコード)
• Moziボットネット (2019) — Telnetの弱いパスワードを通じた初期アクセス、MIPS系列ELFの配布という点で観測された形が重なります。感染規模や被害金額は私たちのデータでは確認できないため書きません。(出典: 360 Netlab、Microsoft Security Blog などの公開分析レポート)

事実 ここで止めます。私たちは検体分類サービスを連携していません。ですから昨日確保したELF二つがこの系列だという判定はしません。 似ているのは作り方であって、ラベルではありません。

では何をすべきか

コンセントの形は私たちには変えられません。変えられるのは自分の家の壁にコンセントをいくつ外に出しているかです。

事実 1. デフォルトアカウント・簡単なパスワードをそのまま使っているなら — 可能性が高い。 上の表の組み合わせを一つでも使っているなら、突破は時間の問題ではなく即時です。昨日観測されたセッションの一つが、ログインからファイル実行まで22秒で終わりました。

事実 2. パスワードログインを許可していて鍵認証を使っていないなら — 可能性が高い。 昨日、完結性の高い5つのセッションはすべてパスワードで成功しました。しかもTelnetなので認証情報が暗号化なしでやり取りされました。別件として、昨日8回・異なる6箇所が389バイトの公開鍵ファイル一つを残しました。これはパスワードを変えても残る裏口です。侵害の時点と発見の時点が数ヶ月開く典型的な経路です。

事実 3. 管理ポートをインターネットにそのまま開けておいたなら — 可能性が高い。 私たちのハニーポットのアドレスはどこにも宣伝したことがありません。それでも271箇所が訪ねてきましたし、隣のサーバーにはVNCだけで58,811件が来ました。開いていれば見つかります。

推定 4. 接続頻度の制限(fail2banのようなもの)がないなら — 可能性が高い。 昨日は同じ所が11分の間に四度入ってきて、再接続の間隔が1分27秒まで縮まりました。頻度制限さえあれば切れていた区間です。遮断がなければ、攻撃者は失敗しても代償を払いません。

事実 5. 外向きの接続(アウトバウンド)を止めていないなら — 可能性が高い。 ファイルのダウンロード121回とダウンロード後の実行121回がちょうど同じです。このサーバーからあのアドレスへ出ていく接続が塞がれていたなら、三つのファイルはどれも到着できません。侵入は鍵の問題ですが、武装は通信の問題です。ログインが破られてもペイロードの段階で断ち切れます。

推定 6. ログをサーバーの外に出していないなら — 可能性は中程度。 昨日、痕跡を消そうとする意図は7回観測されました。全コマンドの0.2%で稀でしたし、昨日の主役のセッションには入っていませんでした。だから「中程度」にしておきます — 昨日のデータで組織的なログ破壊を主張する根拠はありません。ただし22秒で終わるセッションは、リアルタイム検知でなければ事後の記録でしか捕まえられません。 その記録がサーバーの中にしかなければ、消された後は手立てがありません。

事実 昨日新たに観測された配布元 131[.]123[.]40[.]104 はC-TAS(韓国インターネット振興院のサイバー脅威情報共有体系)への申告対象です。ただし私たちが確認できるのは送信が成功したというところまでであり、相手側に実際に取り込まれたかどうかは別途確認する必要があります。

私たちが分からないこと

このブログが他と違う点です。知っていることよりも、分からないことを書くのに多くの時間を使います。

事実

• ATK-33267B が一日に何度入ってきたのか、総回数が分かりません。 記録に詳しく残っているのは5個だけで、この別名が配送したファイル3種の観測回数の合計が27件です。セッションあたり3件を基準にすれば約9セッションですが、ファイル別の回数が12・10・5と均等でないため、すべてのセッションが同じ3種を受け取ったと断定できません。
• 送信元 131.123.x.x と配布元 131[.]123[.]40[.]104 の前の二枠が同じであることは事実です。しかし後ろの二枠が伏せられているため、同じIPなのか同じ帯域の別のホストなのか判定できません。 復元は試みていません。
• 昨日の主役はTelnetなので接続プログラムの指紋がありません。 私たちが使っている束ねるツール(actor_clustering)はクラスタを38個持っていますが、SSH専用なので、昨日いちばん完結性の高い侵入には構造的に適用されません。
• 昨日いちばん大きな指紋の群れは SSH-2.0-OpenSSH_7.4 系列で80個のIPでした。ところがこの群れはファイルを一つも置いていきませんでした。 昨日、検体を配送した指紋は SSH-2.0-Go 一つ(6個のIP)だけです。規模と実効は別の軸です。そして指紋はビルドの指紋であって人の指紋ではありません — 同じディストリビューションの標準OpenSSHを使う無関係な人からも同じ値が出ます。
• 9月5日に指摘した問題が昨日も有効です。指紋の「これまでの累積IP」の値が日ごとに減ることがあり、本当に累積値なのか確認されていません。昨日の値も同じ留保のもとで読む必要があります。
• ハニーポット02で一つの送信元が複数のサービスを舐めたのかを計算できません。 送信元別のサービスマッピングがなく、サービス別の固有IPの合計(520)が全体(546)より小さいです。標的なのか無差別スキャンなのかを昨日のデータでは裏付けられないので、0と書かず「不明」としておきました。
• 02の検体4種にはURL・ファイル種別の欄がそもそもありません。 サイズとハッシュ、配送別名だけです。何のファイルなのか、このデータでは言えません。
• 389バイトの公開鍵と9バイトのテキストはURLの欄が空です。 セッションの中で直接記録されたものと見えますが、経路は明らかにされていません。
• 別の指標にDiscordのWebhookアドレスが1件ありますが、昨日のセッション・検体のどれと結びつくのかをデータが明らかにしていません。 昨日のダウンロードのどの項目にも現れていないため別経路で確保されたものと見え、昨日の事案と結びつけて記述していません。Webhookのトークンはそれ自体が悪用可能な値なので、本文には載せません。
• 脆弱性の背景指標(追跡CVE 6,622件 · CISA KEV 390件 · ランサムウェア関連確認98件)はKISAのセキュリティ公示から抜き出したものです。昨日ハニーポットで観測されたどのセッションとも結びついておらず、結びついているかのようには書いていません。
• unpack_only_iocs の12個のURLはいつ観測されたものかの日付がありません。 昨日新たに抜き出したものか累積の一覧かを区別できないため、「昨日出た」とは書かず、構造比較の材料としてのみ使いました。
• ELF二つのファイル種別は確認しましたが、その中で何の動作をするのかは私たちのデータにありません。 マイニングなのかDDoSボットなのかプロキシなのか言えません。昨日の記述は「どうやって入ってきて何を持ち去ったか」までです。
• コマンド3,537個のうち意図が付いたものは2,962個です。残りの575個(16.3%)が何だったのかは分かりません。

そして、そもそも計測器がなくて見えないものです。これは調査を重ねても出てくるものではありません。

• 通信事業者・組織(ASN・ISP) — データベースがありません。送信元の通信事業者や組織は分からず、推定しません。
• 地理情報 — 同様です。そもそもIPの地理情報は帰属の根拠になりません。この記事はいかなる国家・企業・個人も攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• 検体分類(VirusTotal) — 連携されていません。昨日確保したELF二つが既知のマルウェア系列なのかを、この記事では判定していません。
• 接続プログラムの文字列(User-Agent) — 二つの観測面はどちらもウェブ(HTTP)ではありません。01はSSH・Telnet、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)との紐づけ — SSH・Telnetの攻撃はほとんど特定の脆弱性を参照せず、02も規格を合わせる段階なので同様です。昨日の観測を特定の脆弱性と結びつけていません。

---

旅行用アダプターを何個も買っておく理由は、どの国に行くか分からないからではありません。どの国にでも行くためです。

昨日、私たちのサーバーに入ってきた二組のファイルも、同じ理由で二組でした。どの機械が引っかかるか分からないので、両方とも用意しておいたのです。ですからこちら側でやるべきことは、アダプターを作らせないようにすることではありません。それは不可能です。

壁に空いた穴を減らすこと。 Telnetを切り、工場出荷時の初期パスワードを変え、機器が外からファイルを取ってくる道を塞ぐこと。昨日の22秒のセッション五度が指し示した先は、まさにそこでした。

---

観測日は2026年9月7日で、この記事はその翌日にまとめました。送信元IPはブリーフでマスキングされた形(131.123.x.x)のまま載せ、復元していません。配布元のアドレスは誤って接続されないよう、デファング(hxxp://、[.])の状態を本文とIOCブロックの両方で維持しました。認証情報は異なるIP3箇所以上でくり返し観測された組み合わせ20個だけを原文引用し、残りの2,527個は個数のみを明らかにして値は書きませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段のない項目は推定せず「分からない」として残しておきました。