三日で再びあふれた郵便受け — 差出元も、名前も見覚えがあった

マンション1階の郵便受けを思い浮かべてみてください。1日に1回開けます。普段はチラシが2、3枚入っている程度です。

三日前、郵便受けがはち切れそうなほど詰まっていました。初めて見る量でした。だからその日の日誌には「初めて見る」と書きました。

今日開けてみると、もっと多く差し込まれていました。封筒の裏の差出元を見ると、三日前のあの場所でした。そして、しばらく見かけなかった名前がひとつ、封筒の表に再び書かれていました。それも7,039通です。

私たちのサーバー2台に昨日起きたのが、これです。新しいものは何ひとつなかったのに、量だけが新記録でした。

郵便受けは二つ

事実 私たちはハニーポットサーバーを2台運用しています。ハニーポットとは、わざと開けておいて、誰が何をするのかを見張るおとりサーバーです。この記事では2台を「二つの郵便受け」と呼ぶことにします。

事実 ひとつ(センサー02)は封筒を開けない郵便受けです。何通来たか、どこから来たか、封筒の表に何と書かれていたかまでしか数えません。中に何が入っているかは分かりません。こういう方式を「低対話型」と呼びます。相手と会話を始める段階までだけ受け付けて切る、という意味です。

事実 もうひとつ(センサー01)は封筒を開けてみる郵便受けです。相手にログインまでさせて、その後どんなコマンドを打つのか、どんなファイルを置いていくのかをすべて記録します。

事実 昨日、二つの郵便受けは正反対でした。開けない側は記録を塗り替え、開けてみる側は新しいものが何ひとつありませんでした。

三日前のあの郵便受けが、今日はもっとあふれた

事実 開けない郵便受けには仕切りが六つあります。そのうち「リモートデスクトップ」の仕切りに、昨日42,578通が差し込まれました。リモートデスクトップとは、自宅から会社のパソコンの画面をそのまま呼び出す機能です。英語ではRDPといい、ドア番号(ポート)は3389番です。

事実 42,578通というのは2秒に1通のペースです。0時から翌0時まで、一度も休まずに。

事実 三日前の9月10日、この仕切りは34,811通でした。その日までの私たちの記録(8月26日〜9月10日、15日分)の中で最大の値でした。昨日はそれより7,767通多く、1.22倍です。最高記録が三日で再び更新されました。

事実 ところが、差出元の数はそのままでした。昨日この仕切りに封筒を入れたのは107か所、三日前は109か所でした。差出元は2か所減ったのに、封筒は7,767通増えました。

事実 分けてみるとこうなります。

推定 1か所が1日に397.9通入れたということは、平均すれば同じ場所が3分37秒ごとに1通ずつ入れていったという意味です。三日前より間隔が53秒短くなりました。訪れる場所が増えたのではなく、1か所がやる仕事が厚くなったのです。

事実 ここでひとつ明らかにしておくことがあります。**9月11日と12日の記録が私たちのアーカイブにありません。**したがって、この記事の「三日前との比較」は二つの日付を並べたものであって、三日間ずっと続いていたという意味ではありません。その間に静かになってから再び来たのか、ずっとあふれ続けていたのかは、この記事では答えられません。

差出元も同じだった

事実 この郵便受け全体(六つの仕切りの合計)に、昨日最も多く封筒を入れたのは別名ATK-E37B01(149.50.x.x)です。34,899通で、昨日この郵便受けに差し込まれた全103,298通の**33.8%**です。別名は私たちが同じ発信元を見分けるために付けた名札にすぎず、身元ではありません。

事実 三日前の1位も同じ別名でした。その日は34,229通、34.0%でした。1か所がこの郵便受けの3分の1を埋める形が、三日でそのまま再び現れました。

事実 2位から8位までの7か所は4,720通から5,808通の間に集まっています。ATK-A9F1B3 5,808 · ATK-943F0E 5,807 · ATK-593C0D 5,472 · ATK-992AD3 5,292 · ATK-28B422 4,751 · ATK-B954FC 4,749 · ATK-AE6CC0 4,720です。9位が3,252、10位が1,563で、そこで折れます。

事実 上位12か所が入れたのは**78,222通(75.7%)**です。残りの605か所が入れたのは合わせて25,076通、1か所あたり平均41.4通です。1位の1か所が、残り605か所をすべて合わせたより多く入れました。

事実 上位12か所のうち8か所は、以前にも上位リストに載った別名です。ATK-E37B01 · 992AD3 · 943F0E · A9F1B3 · B24952は9月10日に、ATK-28B422 · B954FC · AE6CC0は8月27〜29日に。残りの4か所(ATK-593C0D · 0E3BBB · A00F1F · AE264D)は上位リストに初めて出てきます。ただし私たちのアーカイブは1日に12か所しか記録しないため、これまで13位以下にいた可能性は残ります。

推定 1位の34,899通とリモートデスクトップの仕切りの42,578通を並べると、こう読みたくなります。「あの1か所がリモートデスクトップの仕切りを埋めたのだな」と。42,578から34,899を引くと7,679で、後で出てくる封筒の名前のうちmstscを除いた残りを全部足すと7,456です。数字が近い。

事実 しかし**言えません。**私たちの記録には「どの別名がどの仕切りに入れたか」が書かれていません。別名の順位は六つの仕切りを合わせた値で、仕切り別の集計は別名を教えてくれません。数字が近いという状況証拠までです。

封筒の表の名前 — 消えていた「hello」が7,039通

事実 リモートデスクトップは接続を始めるとき、短い文字列をひとつ一緒に送ります。技術用語で「クッキー」と呼ばれる欄ですが、送る側が自分の手で書き込む値です。封筒の表に差出人が自分で書いた名前と同じです。私たちはその名前を読むだけで、それが本物かどうかは分かりません。

事実 昨日その欄に書かれて届いた値です。

事実 名前が書かれた封筒は合わせて40,311通、リモートデスクトップの仕切りの94.7%です。

事実 mstscは、Windowsに最初から入っているリモートデスクトッププログラムのファイル名と同じ文字です。32,855通なら2.6秒に1通です。

事実 そしてhello。この名前は私たちの記録でこのように上下してきました。

事実 それまでの最大は8月31日の2,709通でした。昨日はその2.6倍です。7,039通なら12秒に1通です。

事実 三日前はmstscが上がってくるにつれてhelloが16通まで下がりました。ひとつがもうひとつを押し出したように見えました。ところが昨日は**二つが同じ日に一緒にいます。**32,855通と7,039通が並んで。

推定 mstsc · hello · <ip>は、人が手で打ったIDには見えません。ツールが自動で埋めた値に近い。ただし**どのツールなのか、なぜこの単語なのかは判断しません。**封筒にそう書かれて届いたという事実だけがあります。名前がhelloだからといって挨拶に来たわけでもなく、mstscだからといってそのプログラムを使ったわけでもありません。封筒に「宅配」と書いてあっても宅配ではないことがあるのと同じです。

隣の仕切りはどうだったか

事実 この郵便受けの六つの仕切りを全部広げるとこうなります。昨日は全体103,298通、差出元617か所です。0.84秒に1通です。

事実 下の四つの仕切りを全部合わせても434通、0.4%です。昨日のこの郵便受けは、事実上、画面共有とリモートデスクトップの二つの仕切りでした。

事実 全体103,298通は私たちの記録で最大です。それまでの最大は三日前の100,752通でした。

事実 画面共有(VNC)の仕切りは記録を破りませんでした。60,286通は私たちの記録で3位です(9月10日 65,487 · 9月8日 65,322)。差出元407か所は2位です(9月8日 416か所)。昨日跳ね上がったのは画面共有ではなくリモートデスクトップです。

事実 封筒の表には名前のほかにも書かれるものがあります。画面共有は接続前に「私は何番のバージョンで話します」とバージョンを提案します。昨日提案されたバージョンは003.003が54,573通(90.5%)、003.008が5,616通(9.3%)で、97通は記載がありませんでした。

事実 ファイル共有(SMB)は「方言」を提案します。どんな話し方で会話するかを選ぶのです。昨日の提案259通から8種が出てきましたが、新しい系統のSMB 2.???は3通だけです。残り256通はNT LM 0.12 · LANMAN1.0 · LM1.2X002 · LANMAN · PC NETWORK PROGRAM 1.0 · Windows for Workgroups 3.1 · LANMAN2.1でした。すべて古い話し方です。

事実 この郵便受けが昨日保存したファイルは0個です。Androidデバッグ側は40セッションという数字だけがあり、ドア番号・差出元の数・内容は昨日の記録にありません。

開けてみる郵便受け — 新しいものは何ひとつなかった

事実 今度は封筒を開けてみる側(センサー01)です。昨日こちらにはセッション2,016件が入ってきました。セッションとは「1回接続して切るまで」を1件と数えたものです。差出元は322か所、ログイン試行は1,759回、コマンドは1,660個でした。

事実 ログイン試行1,759回は49秒に1回、コマンド1,660個は52秒に1個です。セッション2,016件と発信元322か所は、私たちの記録25日分の範囲(634〜5,488件 · 131〜457か所)の内側です。平凡な日でした。

事実 昨日この郵便受けに保存されたファイルは4種類です。**4個すべてが以前に見たことのあるハッシュでした。**ハッシュとはファイルの内容を一行に要約した値です。内容が一文字でも違えばハッシュが変わります。ですからハッシュが同じということは、完全に同じファイルだという意味です。

事実 サイズの感覚を添えると、389バイトと399バイトはショートメッセージ2、3行、54バイトは一文、1バイトは文字ひとつです。4種類を全部足しても843バイトです。

事実 1行目の389バイトのものはSSH公開鍵です。簡単に言えば、パスワードなしで入れる合鍵です。サーバーのauthorized_keys(許可された鍵のリスト)というファイルにこの値を一行書き込めば、その鍵を持つ側は以後パスワードを聞かれなくても入れます。この鍵は私たちの記録があるすべての日に来ました。昨日は互いに異なる14か所から15回です。

事実 4行目の399バイトのものは秘密鍵です。公開鍵が玄関にかけておく錠前の側なら、秘密鍵はその錠前を開ける鍵の側です。昨日これを置いていったのは別名ATK-CA5936(130.12.x.x)ひとつでした。上の公開鍵と対になっているかどうかは、私たちの記録は教えてくれません。

五つの封筒を開けてみると

事実 昨日目立ったセッションは5件です。**5件すべてがログインに成功し、5件すべてが以前に見た形でした。**そのためこの郵便受けは昨日「新しいものなし」とまとめました。

事実 3時41分46秒、ATK-168132(82.157.x.x)がTelnetで入ってきました。TelnetはSSHより古いリモート接続方式で、やり取りする内容が暗号化されません。62.8秒間にコマンド17個を打ち、意図が五つ(偵察 · ファイルダウンロード · ダウンロード後実行 · 実行権限付与 · SSH鍵の埋め込み)付きました。保存されたファイルは0個です。画面録画は残っています。

事実 7時26分11秒、ATK-CA5936(130.12.x.x)がSSHで入ってきました。3.6秒間にコマンド1個を打ちましたが、そこに意図五つがすべて入っていました。ファイル2個(54バイトのテキスト、399バイトの秘密鍵)を置いていきました。接続プログラムはSSH-2.0-Goでした。この形は8月19日以降、私たちの記録で11回目の登場です(8/19 · 8/24 · 8/25 · 8/26 · 8/28 · 8/30 · 9/01 · 9/03 · 9/05 · 9/06 · 昨日)。

事実 8時25分56秒、ATK-C6FE9B(125.229.x.x)がTelnetで83.8秒。コマンド31個、意図三つ(ファイルダウンロード · ダウンロード後実行 · 実行権限付与)。保存されたファイル0個。

事実 9時56分09秒、ATK-86979F(212.132.x.x)がTelnetで64.1秒。コマンド22個ですが、意図として分類されたのは**「防御無力化」ひとつです。昨日この郵便受け全体の防御無力化1件がこれです。そして1バイトの空ファイルを11回**受け取っていきました。最も多く受け取ったのに手にしたのは空ファイル、というこの形は8月17日 · 8月22日 · 9月3日にもありました。

事実 13時10分03秒、ATK-D3389B(111.34.x.x)がTelnetで91.2秒。コマンド31個、意図三つ。**8時25分のセッションとコマンド数も意図の組み合わせもまったく同じです。**保存されたファイル0個。Telnetでコマンド31個のこの形は8月20日 · 9月2日にもありました。

事実 5件のうち4件がTelnetです。ところが昨日のTelnetセッションは全体の8.4%(169件)だけでした。セッション数ではSSHが91.6%なのに、目立ったのはほとんどTelnet側でした。

事実 昨日この郵便受けで打たれたコマンド1,660個を種類別に数えるとこうなります。

事実 「実行権限付与」とは、ファイルに**「これは実行してよいファイルだ」という印を付ける動作**です。Linuxではこの印がなければ、プログラムであっても動きません。「痕跡削除」は自分が来た記録を消すこと、「防御無力化」はサーバーのセキュリティ機能を切ることです。

同じ封筒を使うからといって同じ人ではない

事実 SSHで接続してくるプログラムごとに指紋がひとつ残ります。相手のプログラムが「私はこういう方式で会話する」と先に知らせてくる値を一行に要約したものです。封筒でいえば封筒の規格と紙質です。

事実 昨日この郵便受けに来た322か所のうち**150か所(46.6%)**が同じ指紋(acaa53e0…、SSH-2.0-OpenSSH_7.4)を付けて来ました。この指紋をこれまでに付けて来た場所を全部数えると1,058か所です。昨日のリストの13個の指紋の中で圧倒的1位です。

事実 ところがこの150か所は**ファイルをひとつも置いていきませんでした。**昨日リストに載った13個の指紋すべてがそうです。

事実 反対に、昨日秘密鍵を置いていったATK-CA5936の指紋(16443846…)はこの上位リストに**ありません。**リストの最低線が「昨日2か所」なので、この指紋が昨日何か所から来たのかは分かりません。

推定 ここで立ち止まらなければなりません。この指紋は**プログラムのビルドの指紋であって、人の指紋ではありません。**同じ文房具店で売っている同じ封筒を使うからといって同じ人ではないのと同じです。同じディストリビューションが標準で入れてくれるSSHを使えば、互いに何の関係がなくても同じ値が出ます。150か所をひとつの組織として読んではいけません。

どんなパスワードで開けようとしたか

事実 昨日試されたID・パスワードの組み合わせは1,146種です。そのうちここに載せるのは20種で、残りの1,126種は数だけ数えます。

理由はひとつです。互いに異なる発信元3か所未満でしか見られなかった組み合わせは、**どこかで実際に流出した本物のアカウントである可能性があります。**そうした値は私たちの記事に書き写しません。以下の20種はその反対側です。4か所以上でくり返されていて、「誰のものでもないデフォルト値・辞書値」と見なせるものです。

事実 1行目の345gs5662d34は14か所から16回来ました。1か所あたり1.14回です。1か所が何度もたたいたのではなく、多くの場所が1回ずつたたきました。

事実 上で見た公開鍵を配達した場所も14か所でした。**同じ14か所なのかどうかは、データがつないでくれません。**数字が同じだというところまでです。

昨日一日の全体

事実 開けてみる郵便受け(センサー01)の一日の集計です。

事実 ポート別の合計は2,015件で、総計2,016件と1件の差があります。その1件が何なのかは記録が教えてくれません。

事実 開けない郵便受け(センサー02)の103,298通は**数える単位が違うので足しません。**こちらは「セッション」で、あちらは「接触」です。

事実 二つの郵便受けに封筒を入れた場所を合わせると最大939か所です。二つの郵便受けに同じ場所が重複して来たかどうかをデータが教えてくれないので、単純に足した「上限」です。実際の値はそれ以下です。それまでの最大が三日前の907か所でしたから、これも新しい最大値です。

事実 そしてこの二つの郵便受けは**どこにも住所を知らせたことがありません。**宣伝したことも、リンクを張ったこともありません。それなのに1日に10万通が来ます。

推定 郵便受けの番号を最初から最後まで順番に回る側にとっては、住所を知らせたかどうかは重要ではありません。開いていれば差し込んでいきます。

時系列に並べるとこうなります。前の7行は開けない郵便受けの一日の集計で、後ろの6行が開けてみた封筒です。「アーカイブ照合」と書かれた行に注目してください — 昨日一日だけを見ても見えず、過去の記録と並べてはじめて見えるものです。

1. (一日集計 · センサー02)
   事実 接触103,298件 · 発信元617か所。VNC(5900) 60,286件/407か所 · RDP(3389) 42,578件/107か所 · SMB(445) 253件/38か所 · LDAP(389) 92件/7か所 · MSSQL(1433) 49件/35か所 · ADB 40セッション。キャプチャされた検体0個。02はセッション時刻を出力しないため日単位
2. (一日集計 · センサー02 · RDP · アーカイブ照合)
   事実 RDP 42,578件はアーカイブ15日分(8/26〜9/10)の最大だった9/10の34,811件より7,767件多い(1.22倍)。発信元は107か所で9/10の109か所とほぼ同じで、1か所あたりの接触が319.4回から397.9回に上がった
3. (一日集計 · センサー02 · RDPクッキー)
   事実 mstsc 32,855 · hello 7,039 · <ip> 400 · rdpaudit 14 · Administr 2 · ランダム9文字 1。合計40,311件(RDPの94.7%)、クッキー未記録2,267件(5.3%)。mstscはRDPの77.2%、helloは16.5%
4. (一日集計 · センサー02 · RDPクッキー · アーカイブ照合)
   事実 'hello' 7,039件はアーカイブのそれまでの最大2,709件(8/31)の2.6倍。推移: 8/26 604 → 8/31 2,709 → 9/03 3 → 9/07 1,391 → 9/10 16 → 今日 7,039。9/10にはmstscがhelloを置き換える形だったが、今日は二つが同じ日に一緒にいる
5. (一日集計 · センサー02 · 上位発信元)
   事実 最多接触の別名ATK-E37B01(149.50.x.x) 34,899件 = 02全体の33.8%。9/10にも同じ別名が1位で、その日は34,229件(34.0%)。2〜8位の7か所は4,720〜5,808件の狭い帯(ATK-A9F1B3 5,808 · ATK-943F0E 5,807 · ATK-593C0D 5,472 · ATK-992AD3 5,292 · ATK-28B422 4,751 · ATK-B954FC 4,749 · ATK-AE6CC0 4,720)、9位3,252 → 10位1,563で折れる。上位12か所の合計78,222件(75.7%)、残り605か所は25,076件で1か所あたり平均41.4件
6. (一日集計 · センサー02 · 上位発信元 · アーカイブ照合)
   事実 上位12の別名のうち8つはアーカイブの上位リストに前例がある(ATK-E37B01 · 992AD3 · 943F0E · A9F1B3 · B24952は9/10、ATK-28B422 · B954FC · AE6CC0は8/27〜8/29)。ATK-593C0D · 0E3BBB · A00F1F · AE264Dの4つは上位リストに初めて出る — ただしアーカイブは1日12か所しか載せない
7. (一日集計 · センサー02 · VNC · SMB · アーカイブ照合)
   事実 VNC 60,286件/407か所は接触数でアーカイブ3位(9/10 65,487 · 9/08 65,322)、発信元数で2位(9/08 416)。提案されたVNCバージョンは003.003 54,573(90.5%) · 003.008 5,616(9.3%)、未記録97。SMBは8種の方言提案259件のうち'SMB 2.???'が3件のみで、残り256件はNT LM 0.12 · LANMAN1.0 · LM1.2X002 · LANMAN · PC NETWORK PROGRAM 1.0 · Windows for Workgroups 3.1 · LANMAN2.1
8. 2026-09-13T03:41:46Z ~ 03:42:49Z (62.8秒)
   事実 ATK-168132(82.157.x.x) Telnetログイン成功。コマンド17個、意図5種(偵察 · ファイルダウンロード · ダウンロード後実行 · 実行権限付与 · SSH鍵の埋め込み)。保存されたファイル0個。TTY録画あり
9. 2026-09-13T07:26:11Z ~ 07:26:14Z (3.6秒)
   事実 ATK-CA5936(130.12.x.x) SSHログイン成功。コマンド1個に意図5種、ファイル2個を配達 — 54バイトのASCIIテキスト(00b6f1…)と399バイトのOpenSSH秘密鍵(43728f…)。クライアントSSH-2.0-Go、指紋16443846184eafde36765c9bab2f4397。両ハッシュとも8/19の初観測以降アーカイブにくり返し登場したものと同じ
10. 2026-09-13T08:25:56Z ~ 08:27:20Z (83.8秒)
    事実 ATK-C6FE9B(125.229.x.x) Telnetログイン成功。コマンド31個、意図3種(ファイルダウンロード · ダウンロード後実行 · 実行権限付与)。保存されたファイル0個
11. 2026-09-13T09:56:09Z ~ 09:57:13Z (64.1秒)
    事実 ATK-86979F(212.132.x.x) Telnetログイン成功。コマンド22個のうち意図として分類されたのは「防御無力化」1件(今日の01全体の防御無力化1件がこれ)。1バイトファイル(01ba47…)11個を受信
12. 2026-09-13T13:10:03Z ~ 13:11:34Z (91.2秒)
    事実 ATK-D3389B(111.34.x.x) Telnetログイン成功。コマンド31個、意図3種 — 08:25のATK-C6FE9Bとコマンド数・意図の組み合わせが同じ。保存されたファイル0個
13. (一日集計 · センサー01 · 公開鍵 · アーカイブ照合)
    事実 389バイトのOpenSSH RSA公開鍵(a8460f…)が互いに異なる発信元14か所から15回配達された(別名は10個のみリスト化)。アーカイブ基準で8/16の初観測から29日目にあたり、アーカイブにあるすべての日に登場した

つなげて読むべきなのは2行目と5行目です。ひとつは「発信元は107か所でそのまま」で、もうひとつは「1か所が全体の33.8%」です。三日前の記事でも同じ2行をつなげて読もうとしましたが、昨日も私たちのデータはその二つをつないでくれません。

郵便受けに置かれていたもの

事実 防御に使えるよう、値をそのまま書き写します。**値をクリックするとコピーされます。**昨日の4個はすべてアドレス欄が空です。どこかからダウンロードしたのではなく、セッション内で直接置いていったものと見られますが、確定はできません。4行すべてに「アーカイブ」という言葉が付いていることを見てください — 昨日初めて来たものはひとつもありません。

事実 配布アドレス(URL)が一行もないことにお気づきでしょう。昨日保存された4ファイルはすべてアドレスなしで入ってきました。実行ファイルもひとつもありません。だからこのカードにはハッシュしかありません。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは、攻撃の手口ごとに番号を付けた国際的なリストです。昨日見た行動をその番号に当てはめるとこうなります。IDを押すと原文の説明に飛びます — 私たちの言葉を信じず、直接確認していただくためにリンクを張っています。

• T1046Network Service Discovery — 02のVNC · RDP · SMB · LDAP · MSSQLの5サービスへの接触、プロトコル交渉段階までのみ観測推定
• T1110Brute Force — RDP 1か所あたり397.9回 · VNC 1か所あたり148.1回のくり返し接触。02は認証情報を取り出さないため「試行内容」は確認不可推定
• T1133External Remote Services — インターネットに開いたRDP · VNCポートへのアクセス試行推定
• T1110.001Password Guessing — 01のログイン試行1,759回、3つ以上のIPでくり返された組み合わせ20種推定
• T1078.001Default Accounts — admin/admin(8か所) · root/admin(6か所) · admin/Huawei12#$(5か所) · support/support(4か所)推定
• T1082System Information Discovery — 「偵察 — システム」1,442件推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」8件 · 「ダウンロード後実行」8件推定
• T1222File and Directory Permissions Modification — 「実行権限付与」64件推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「持続性 — SSH鍵の埋め込み」17件、公開鍵ファイルが14か所から配達推定
• T1070Indicator Removal — 「痕跡削除」16件推定
• T1562Impair Defenses — 「防御無力化」1件(ATK-86979F)推定

11行すべてに**[推定]**バッジが付いていることを見てください。私たちの手元にあるのは、コマンドの「意図分類の結果」と「何回だったか」までです。コマンドの原文はありません。特に上の3行は封筒を開けない郵便受け側なので、「何通来たか」から「ブルートフォースだった」へ飛び移ること自体が推定です。

以前にこういうことがあった

推定 **GoldBrute(2019)。**インターネットに開いたリモートデスクトップサーバーを選んでブルートフォースを行っていたボットネットです。少数の発信元が3389番のドアを非常に高い頻度でたたく形でした。昨日の私たちの郵便受けの形 — 107か所が1か所あたり397.9通、1位の1か所が3万通以上 — が同じ系統です。ただし私たちは交渉段階までしか受け付けないため、実際にどんなパスワードを入れたのかは確認できません。 (出典の種類: セキュリティベンダーの研究ブログ Morphus Labs の公開分析)

推定 **BlueKeep公開直後の3389スキャン急増(2019)。**リモートデスクトップに深刻な欠陥(CVE-2019-0708)が公開されると、インターネット全域でこのポートをたたく回数が跳ね上がったことがありました。リモートデスクトップのポートが大量スキャンの標的になった公開の前例として、背景の文脈にのみ置きます。昨日のデータはいかなるCVEとも結びつきません。 (出典の種類: CVE · Microsoftセキュリティアドバイザリ · CISA KEV登録)

推定 **Miraiボットネット(2016)。**Telnetのデフォルトアカウント辞書で入った後、CPUの種類別に分かれた実行ファイルをダウンロードさせる方式です。昨日の開けてみる郵便受けのTelnetデフォルトアカウントによるログイン成功4件、そして別経路で確保された背景指標に/bins/配下のparm · pmips · psh4 · x86_64のようにアーキテクチャ別に分かれたファイル名があることが、同じ系統です。**検体がどの系統なのかは判断しません。**VirusTotalを連携していません。 (出典の種類: 公開されたソースコード(2016年流出)および多数のベンダー・研究機関の分析報告書)

それで何をすべきか

郵便受けの話に戻ります。昨日の封筒は記録的に多く差し込まれましたが、**実際に分かれ目となるのは「郵便受けが道端にあったかどうか」です。**以下の項目はすべてその話です。

1. 管理ポートをインターネットにそのまま開けたままにしている · 可能性 高 開けてみる郵便受けには322か所から2,016セッション(2222 · 2223番)、開けない郵便受けには617か所から103,298通(5900 · 3389 · 445 · 389 · 1433番)が、事前接触なしで直接届きました。二つを合わせた発信元の上限が939か所です。**このサーバー2台はどこにも住所を知らせたことがありません。リモートデスクトップの仕切りひとつだけで1日42,578通が来て、そのうち1か所が34,899通を入れました。VPNやジャンプホスト(中継サーバー)の後ろにあったなら、103,298通はすべて到達自体が不可能です。**郵便受けを建物の中に入れるのと同じです。

2. デフォルトアカウント・脆弱なパスワードをそのまま使っている · 可能性 高 上の表20行は、すべて機器やディストリビューションが出荷時に入れておく値か、どこでも通用する辞書値です。admin/adminが8か所、root/adminが6か所、root/0000が5か所、admin/Huawei12#$が5か所、support/supportが4か所から来ました。昨日試された組み合わせは全部で1,146種です。昨日目立ったセッション5件は、すべてログインに成功したセッションです。この組み合わせのうちひとつでも実際のサーバーに残っていれば、ドアが開きます。開いた後は昨日観測された順序で進みます — 偵察(1,442) → 実行権限付与(64) → 鍵の埋め込み(17)。Telnetの4件は63〜91秒以内に終わりました。

3. パスワードログインを許可し、鍵方式を使っていない · 可能性 高 昨日のログイン試行は1,759回でした。パスワードのドアが開いている限り、**この辞書は毎日また来ます。**ところが入ってきた側は、鍵方式の有用性をすでに知っています。昨日「SSH鍵の埋め込み」が17回、389バイトの公開鍵が互いに異なる14か所から15回入ってきました。authorized_keys(許可された鍵のリスト)に他人の鍵が一行入れば、後でパスワードを変えてもその鍵で入り続けられます。逆に鍵方式のみを許可していれば、昨日の1,759回の試行は認証段階に到達しません。

4. 回数ベースの遮断(fail2banなど)がない · 可能性 中 fail2banは、1か所からあまりに頻繁にたたかれると、その場所をしばらく遮断するツールです。昨日のデータはここで二つに分かれます。開けない郵便受けの1位は1か所が34,899通、リモートデスクトップは1か所あたり397.9通でしたから、発信元単位の制限があれば**序盤で切れます。**ところが開けてみる郵便受けの345gs5662d34の組み合わせは14か所から16回、1か所あたり1.14回です。こういう分散型はしきい値に引っかかりません。だから「高」ではなく「中」です。レート制限は02型の殺到には効果が大きく、01型の散布には弱いのです。

5. 外向きの接続を遮断していない · 可能性 中 「ファイルダウンロード」8回と「ダウンロード後実行」8回が同数で、目立ったセッション5件のうち4件にダウンロードの意図が付きました。昨日実際に保存されたのは鍵 · テキスト · 空ファイルだけでしたが、**意図の段階は毎セッション観測されました。**背景指標には、1ホスト(31[.]77[.]227[.]121)の/bins/パス12個がCPUの種類別に分かれています。サーバーが外向きの接続を許可していれば、そうした配布元から実行ファイルを取ってくる段階が成立します。遮断されていればその段階で終わります。

6. ログをサーバー内にだけ置いている · 可能性 中 「痕跡削除」の意図が昨日16回、「防御無力化」が1回分類されました。ATK-86979Fのセッションは、付いた意図が防御無力化ひとつだけでした。消そうとする意図が実際に観測されました。私たちがそれを見られたのは、画面1,496件がサーバーの外で別途録画されていたからです。サーバー内のログしかなければ、痕跡削除の後には侵害の事実そのものが分からなくなります。EDR(サーバー内で異常な行動をリアルタイムに捕まえるツール)や外部ログ収集がなければ、昨日の63秒 · 64秒 · 84秒 · 91秒のセッションは人の目では見えません。

私たちが分からないこと

このブログが他と違うのはここです。分からないことを分からないと書きます。

昨日のテーマそのものへの疑い

• [確認不可] **9月11日と12日のブリーフがアーカイブにありません。**9月10日のリモートデスクトップの殺到が昨日まで「続いた」のか、途切れてから再び来たのかが分かりません。この記事の「三日で再び」は二つの時点を並べた比較であって、連続性の主張ではありません。
• [確認不可] リモートデスクトップの42,578通が**ATK-E37B01の1か所から出たものかどうかを確定できません。**34,899通とmstscの32,855通の規模が近いという状況証拠だけです。42,578 − 34,899 = 7,679とhello + <ip> + その他 = 7,456が近いのも状況証拠にすぎません。私たちの記録には発信元別のサービスの対応がありません。
• [確認不可] 1つの発信元が**複数の仕切りを一緒にたたいたかどうかを計算できません。**仕切り別の発信元の合計(407+107+38+7+35 = 594)と全体617か所の差23がAndroidデバッグ側の発信元なのか、重複した場所なのかを区別できません。この値を0として書けば虚偽になるので、「算出不可」のままにします。
• [確認不可] hello · mstsc · <ip>が**どのツール、どの意図を意味するのかは判断しません。**プロトコルの欄に書かれた文字列だという事実だけがあります。
• [確認不可] 開けない郵便受けで**試されたパスワードは取り出していません。**バイナリフレームの中にあります。「ブルートフォース」は接触頻度から出た推定です。
• [確認不可] 上位発信元の68.183.x.xの二つの別名(ATK-A9F1B3 · ATK-992AD3)は先頭2オクテットが同じですが、ASN · 所有者情報がないため同じ運用者かどうかは分かりません。
• [確認不可] 上位の別名4つ(ATK-593C0D · 0E3BBB · A00F1F · AE264D)が「初めて」というのはアーカイブの上位12か所リスト基準です。これまで13位以下にいた可能性があります。
• [確認不可] Androidデバッグ(ADB)40セッションの**発信元数 · 投入内容 · ドア番号が昨日の記録にありません。**検体0個ということだけ分かっています。

昨日のデータで説明がつかないこと

• [確認不可] ATK-C6FE9BとATK-D3389Bは「ダウンロード後実行」の意図が付いたのにダウンロード件数が0です。ファイルが来なかったのか、保存されなかったのかを区別できません。
• [確認不可] 公開鍵a8460f…を配達した14か所のうち**別名は10個しかリストにありません。**残り4か所は分かりません。
• [確認不可] ATK-CA5936の指紋(16443846…)が昨日の上位指紋リストにないため、**この指紋が昨日何か所から来たのかが分かりません。**リストが完全かどうかも記録は教えてくれません。
• [確認不可] 開けてみる郵便受けの画面録画1,496件と閲覧可能な269件の差が何を意味するのか、記録は説明していません。
• [確認不可] ポート別セッションの合計(1,846 + 169 = 2,015)とセッション総計2,016の1件の差が何なのか、記録は教えてくれません。
• [確認不可] 昨日の開けてみる郵便受けのどのセッションも、背景指標の**12個のURLとは結びつきません。**保存された4ファイルはすべてアドレス欄が空です。そのリストは背景指標です。

意図的に載せなかったもの · 結びつけなかったもの

• [除外] 展開してはじめて現れる配布アドレス12件(1ホスト31[.]77[.]227[.]121の/bins/パス)は、**昨日の保存分から出たものではありません。**昨日の4ファイルはすべてアドレスが空で、実行ファイルではありません。背景の材料としてのみ置き、昨日のセッションと結びつけて使いませんでした。
• [確認不可] 観測した配布元 · C2はC-TAS(KISAの脅威情報共有体系)へ報告しますが、確認できるのは送信が成功したというところまでです。実際に登録されたかどうかは別途確認が必要です。
• [除外] 昨日試された組み合わせ1,126種は**値を載せていません。**互いに異なる発信元3か所未満でしか見られなかった組み合わせは実際の流出アカウントである可能性があるため、数だけ数えます。

そもそも判断しないこと

• ASN · ISP — 関連データベースがありません。推定しません。
• 地理情報 — 上と同じです。IPの地理情報はそもそも帰属の根拠にもなりません。昨日登場したマスキング済みIPのどれにも国 · 地域を付けません。
• VPN · Tor · クラウドかどうか — 判別手段がありません。
• 検体が悪性かどうか — VirusTotalを連携していません。検体の分類はMalwareBazaarのタグを使いますが、昨日の4ファイルにはそのタグがありません。
• User-Agent — 二つの郵便受けともHTTPではありません。センサー01はSSH · Telnet、センサー02はSMB · RDP · VNC · MSSQL · LDAP · ADBです。HTTP攻撃は別のソースです。
• CVEとの結びつけ — SSH · Telnet攻撃はたいていCVEを参照せず、センサー02も交渉段階なので同様です。昨日のリモートデスクトップ42,578通をいかなる脆弱性とも結びつけません。
• 接続プログラムの指紋 — 指紋は**ビルドの指紋であって人の指紋ではありません。**150か所のまとまりをひとつの主体として読んではいけません。
• 発信元の身元 — 別名(ATK-XXXXXX)は記事と記事の間で同じ発信元を見分けるための名札にすぎず、**身元ではありません。**マスキングされた部分は復元せず、いかなる国 · 企業 · 個人も攻撃者として名指ししません。

郵便受けをもう一度開けてみます。三日前より7,767通多く差し込まれていました。差出元の数はそのままで、最も多く送ってきた場所もそのままでした。しばらく見かけなかった名前helloは7,039通で戻ってきて、今回はmstscの隣に並んでいました。

隣の郵便受けは封筒を開けてみましたが、**4個すべてが以前に見たファイルでした。**鍵の一枚は29日間、一日も欠かさず来ました。

ですから昨日の記録は**「新しいものが来た」ではなく「知っているものがもっと多く来た」**です。この二つは別の文です。新しいものはリストに入れればよいのですが、知っているものがもっと多く来る日は、郵便受けが道端にあること自体が問題です。私たちが数えられたのは、何通来たか、表に何と書かれていたかまでです。誰がなぜ送ったのかは、封筒は教えてくれません。

観測日は2026-09-13で、センサー02は一日集計、センサー01はセッション時刻基準です。発信元IPは末尾2オクテットを隠して記載し、復元しません。配布アドレスは接続されないよう変形(defang)しています。認証情報は互いに異なるIP 3か所以上でくり返し観測された20種のみ引用し、3か所未満でしか見られなかった1,126種は数のみ数えて値は記載していません。