7秒が二度 — 名札の前半はまた同じだった

学校で初めて見る子が、うちのクラスの教室に入ってきます。名札を見ると 「3年2組」 までしか見えず、名前の欄はテープで隠されています。その子は手ぶらです。ところが7秒のうちに、どこかから物を二つ取り出してきて、私たちの机の上に置きます。一つを起動します。そして出ていきます。

物にはロッカーの荷札が付いています。そこにも 「3年2組」 と書かれています。

同じ子のロッカーでしょうか。同じクラスの別の子のロッカーでしょうか。名札の名前が隠されているので、そこまでは分かりません。 分かるのは一つだけです。名札の前半と荷札の前半が同じだということ。

この出来事が九日間で 三度目 です。そしてその子は夕方にまた来て、一字一句違わず同じ動作をもう一度やりました。

昨日、私たちのサーバーに記録されたのはこれです。

私たちのサーバーはわざと鍵をかけていない教室です

事実 私たちはハニーポットサーバーを運用しています。ハニーポットは わざと無防備に開けておき、誰が入ってきて何をするのかを見守る囮サーバー です。鍵をかけていない空き教室だと思ってください。ですからここで起きたことは実際の被害ではなく、観測記録です。

事実 昨日この教室に入ってきた側には ATK-BDB53E という別名を付けました。別名は身元ではありません。記事と記事の間で 同じマスク処理された発信元を続けて呼ぶために付けた標識 に過ぎません。発信元IPは 160.119.x.x です。後ろの二桁は私たちが隠したもので、元に戻しません。名札の名前欄に貼ったテープがこれです。この別名は私たちのアーカイブ26日分(8月16日〜9月13日)のどこにも なかった新しい別名 です。

事実 入ってきた経路はテルネットです。テルネットはとても古い遠隔接続方式で、やり取りする文字が暗号化されず、そのまま行き来します。 私たちのサーバーでは2223番ポートがその経路で、昨日のテルネットセッションは675件でした。

昼12時7分46秒、そして7秒

事実 9月15日の昼12時7分46秒。ATK-BDB53E がテルネットで入ってきてログインに成功しました。そこから12時7分53秒まで、7.01秒 の間に命令 7個 を打ちました。1秒に一つの割合です。その間にファイル 2個 が入ってきました。

事実 命令に付いた意図は三つです。ファイルダウンロード → 実行権限付与 → ダウンロード後実行。 順に「持ってくる、実行してよいファイルだと印を付ける、動かす」です。偵察もなく、痕跡を消す動作もありません。この三つだけをやりました。

事実 入ってきたファイル二つはこうです。一つは kla.sh、3,241バイトのシェルスクリプト です。シェルスクリプトはLinuxにやらせる命令を文字で書き留めたファイルで、大きさは携帯メッセージ二十行ほどです。もう一つは net.x86_64、190,632バイトのELF実行ファイル です。ELFはLinuxでプログラムファイルが使う規格の名前で、名前の後ろのx86_64はこのファイルが動くCPUの種類です。大きさで言えば前のスクリプトの 59倍 です。

事実 実行ファイルは 静的リンク で 名札が消された 状態です。静的リンクとは、プログラムが使う部品を全部中に入れて丸ごと作るという意味です。他人の機械に行っても部品を借りる必要がないのでよく動きます。名札を消したというのは、作った人が付けておいた内部の標識を配布前に取り外したという意味です。分解して調べるのが難しくなります。

事実 このセッションは画面が録画されました。ただし録画内容はこの記事の材料には含まれていません。接続プログラムの指紋欄も空です。テルネットには指紋(hassh)が残らないため です。

時間順に並べるとこうなります。12:07 と 19:07 の二行を並べて見てください — 数字がどこまで同じかが今日の要点です。

1. 02:18:50Z (11:18 KST)
   事実 ATK-CA5936(130.12.x.x) SSHログイン成功。3.97秒 · 命令1個 · ダウンロード2件 · 意図5個(偵察 · ダウンロード · 実行権限 · ダウンロード後実行 · SSH鍵の埋め込み)。8/19以降繰り返し観測された別名なので今日の主題ではない
2. 02:42:58Z (11:42 KST)
   事実 ATK-E09588(94.68.x.x) テルネットログイン成功。69.3秒 · 命令22個 · ダウンロード11件 — 11件すべて1バイトの空ファイル(01ba4719…)。意図は「防御無力化」一つだけだが完結性42で今日の最高。アーカイブに八度記録された系列なので主題から外した
3. 03:07:46Z (12:07 KST)
   事実 今日の主題1回目。ATK-BDB53E(160.119.x.x) テルネットログイン成功。03:07:53Z まで7.01秒 · 命令7個 · ダウンロード2件。意図はファイルダウンロード → 実行権限付与 → ダウンロード後実行。画面録画あり。指紋欄は空(テルネットには hassh がない)
4. (같은 세션)
   事実 持ち去ったファイルは hxxp://160[.]119[.]66[.]206/bins/kla.sh (3,241バイト POSIX シェルスクリプト · 39be6853…) と hxxp://160[.]119[.]66[.]206/bins/net.x86_64 (190,632バイト ELF 64-bit x86-64 · 静的リンク · 名札除去 · cd6ccc5d…)。どちらも今日の出所は ATK-BDB53E 一箇所、それぞれ観測4回
5. (같은 세션)
   事実 配布元の前二桁 160.119 が発信元マスク値 160.119.x.x と同じ。後ろの二桁は隠されているため同じ機械かどうかは分からない
6. (비교)
   事実 9/7: 131.123.x.x ↔ 131[.]123[.]40[.]104 · 9/8: 94.154.x.x ↔ 94[.]154[.]43[.]221 · 今日: 160.119.x.x ↔ 160[.]119[.]66[.]206。九日間で三度目で、三度ともテルネット · シェルスクリプト + 静的リンクELFの組み合わせ
7. (비교)
   事実 「kla.sh」という名前は8/21のブリーフにもあった。その時の配布元は 176[.]65[.]139[.]196 で、今日のハッシュ 39be6853… はアーカイブにない — 名前だけ同じで中身は違うファイル
8. 10:07:02Z (19:07 KST)
   事実 主題2回目。同じ別名 ATK-BDB53E テルネットログイン成功。10:07:09Z まで7.48秒 · 命令7個 · ダウンロード2件 · 意図3個同一 · 完結性19同一。1回目の開始から6時間59分15.3秒後
9. (추론)
   推定 命令数 · ダウンロード数 · 意図 · 所要時間(7.0秒/7.5秒)まで同じということは、人ではなくスクリプトが同じ手順を二度回した形。7時間の間隔が予約実行なのか偶然なのかは分からない
10. (추론)
    推定 9/8はCPU九種の実行ファイルセットを丸ごと持ち去ったが今日はx86-64一種だけ。スクリプトがCPUを先に確認して合うものだけ選ぶ方式かもしれないが、スクリプトの内容がないため確認できない
11. 11:06:08Z (20:06 KST)
    事実 ATK-CA5936 二度目のSSHセッション。3.86秒 · 命令1個 · ダウンロード2件 · 意図5個 — 11:18のセッションと同じ形
12. (하루 집계 · 01)
    事実 セッション4,332件 · 固有発信元198箇所 · ログイン試行3,620回 · 命令4,088個 · 画面録画3,487件。9/13(セッション2,016件 · 発信元322箇所)と比べると発信元は124箇所減りセッションは2.1倍。発信元一箇所あたり21.9件(9/13は6.3件)
13. (하루 집계 · 01)
    事実 意図: 偵察—システム3,337 · 実行権限付与180 · ファイルダウンロード45 · ダウンロード後実行40 · SSH鍵の埋め込み17 · 痕跡削除16 · 偵察—ネットワーク2 · 防御無力化1。合計3,638で全命令の89.0%、偵察一つで81.6%。「ファイルダウンロード」45と「ダウンロード後実行」40が5差なのは、二つの値が同じだった大半の日と異なる
14. (하루 집계 · 01)
    事実 SSH指紋クラスター44個。今日の指紋14種のうち検体を配達したのは 16443846…(SSH-2.0-Go · 今日2箇所 · 累計21箇所)一つだけ。最多指紋 f555226d…(libssh_0.9.6 · 今日14箇所 · 累計175箇所)はファイルを一つも配達しなかった。主題セッションはテルネットなのでどのクラスターにもない
15. (하루 집계 · 02)
    事実 セッション37,557件 · 固有発信元539箇所。VNC 35,120件(351箇所 · 93.5%) · RDP 2,031件(110箇所) · SMB 218件(39箇所) · LDAP 132件(12箇所) · MSSQL 30件(11箇所) · ADB 26件、検体3件
16. (하루 집계 · 02)
    事実 RDPが9/10 34,811件 → 9/13 42,578件(アーカイブ最高) → 今日2,031件で21分の1になった。当時3万台だったクッキー「mstsc」は今日の一覧になく、1位だった ATK-E37B01 も今日の上位12箇所にない。今日のクッキーは「hello」1,461(71.9%) · 「<ip>」405 · ランダム文字列4種各1
17. (하루 집계 · 02)
    事実 VNC固有発信元351箇所は 9/8 416 · 9/13 407 · 9/10 387 に次ぐ四番目の値で、接触35,120件は9/6以降最も少ない。提案されたVNCバージョンは 003.003 30,437 · 003.008 4,589 (86.9% : 13.1%)
18. (하루 집계 · 02)
    事実 SMB方言提案276件のうち「SMB 2.???」26件を除いた250件がSMB1世代(NT LM 0.12 77 · LANMAN1.0 43 · LM1.2X002 43 · PC NETWORK PROGRAM 1.0 22 · Windows for Workgroups 3.1 22 · LANMAN2.1 22 · LANMAN 21)。セッション218件より提案が多いのは一回の交渉で複数の方言を列挙するため
19. (하루 집계 · 02)
    事実 上位4箇所(ATK-943F0E 5,736 · ATK-A9F1B3 5,723 · ATK-AE6CC0 4,691 · ATK-0E3BBB 1,436)が17,586件で02全体の46.8%。これらがどのサービスを叩いたかはデータにない
20. (하루 집계 · 02)
    推定 02の検体3件はすべて ATK-4731EE(アーカイブになかった別名)が出所。0d3c687f…(46,525バイト) · d7188b8c…(153,208バイト)は 8/28·8/30·9/3·9/7 にあったハッシュで、7a656791…(231,196バイト)だけが新規。02でファイルが残る経路はADBだけなのでADBと読むが、データが明示してはいない
21. (배경)
    事実 UPX圧縮を解かないと出てこない配布元 31[.]77[.]227[.]121/bins/ の12個のURLは8/16以降の繰り返しなので今日の新規指標ではない。平文指標としては discord ウェブフックURL 1件がある(ディファング維持)

事実 12:07 の行と 19:07 の行で異なる数字は 所要時間0.47秒 だけです。命令7個、ファイル2個、意図3個、完結性19。残りは全部同じです。

夕方7時7分、もう一度

事実 最初のセッションが始まって 6時間59分15.3秒 後の夕方7時7分2秒、同じ別名がテルネットで再び入ってきました。今回は7.48秒。命令7個、ファイル2個、意図三つはそのままです。持ち去ったファイルも同じ二つです。

推定 人が二度来たとは考えにくいです。人は二度目にはもっと速いか、もっと遅くなります。命令の個数から所要時間までここまで一致するのは、同じ手順を書き留めたスクリプトが二度回った形 です。教室に来た子が二度とも同じメモを読みながら動いたようなものです。

推定 ただし「7時間ごとに来る」とは書きません。二度だけです。二つの点では周期を引けません。予約実行なのか偶然なのか、私たちのデータでは分かりません。

名札の前半が同じだった — 九日間で三度目

事実 入ってきた側のIPは 160.119.x.x です。ファイルを取り出してきた住所は hxxp://160[.]119[.]66[.]206/bins/ です。前の二桁が同じです。 住所をこんなふうに奇妙に書くのは誤字ではありません。誤ってクリックして接続することがないよう、http を hxxp に、ドットを [.] に変えておく慣行です。ディファング(defang)、牙を抜いておく という意味です。

事実 そしてこの形は今回が初めてではありません。下の三行の前の二桁だけを見てください。

事実 九日間で三度目です。三度ともテルネットで、三度とも「シェルスクリプト一つ + 静的リンク実行ファイル」の組み合わせで、三度ともファイルが /bins/ またはルートパスの下から来ました。そして三度の発信元・配布元の六つの住所は 互いに一つも重なりません。

推定 言えるのはここまでです。後ろの二桁が隠されているので、同じコンピュータなのか、隣接する別のコンピュータなのか判定できません。 名札の前半が同じだからといって同じ子だとは書かないのと同じです。隠したものを元に戻して照合していませんし、今後もそうしません。ただ「入ってきた所とファイル倉庫の前半が同じ」という 形 が九日間で三度出たこと、そして毎回 新しい顔ぶれ だったことまでが事実です。

事実 ファイル名 kla.sh は8月21日の記事にもありました。その時は 176[.]65[.]139[.]196 から来ました。ところが昨日のファイルのハッシュ 39be6853… はアーカイブにありません。ハッシュは ファイルの内容を丸ごと計算して作った指紋 なので、一文字違うだけで値が変わります。つまり 名前だけ同じで中身は違うファイル です。同じ名前のロッカー荷札を別の子が付けたようなものです。

推定 9月8日にはCPU種類ごとに九揃いを丸ごと持ち去りましたが、昨日は x86_64 の一揃いだけを持ち去りました。スクリプトが入った機械のCPUを先に確認し、合うものだけを選ぶ方式かもしれません。しかしスクリプトの内容が私たちの材料になく、確認できません。 可能性としてだけ置いておきます。

なぜ最も騒がしいセッションではなくこのセッションなのか

事実 昨日記録が残ったセッションは五件で、このうち命令数が最も多く記録が最も密な(完結性42)セッションは別にあります。昼11時42分の ATK-E09588 です。69.3秒間に命令22個、ダウンロード11件。ところが 11件すべてが1バイトの空ファイル です。文字一つ分です。そしてこの「出所1箇所・11回・空ファイル」の組み合わせは8月18日以降ブリーフに 八度 同じように書かれています。

事実 昼11時18分と夕方8時6分に二度入ってきた ATK-CA5936 も同様です。8月19日以降繰り返し登場する別名で、昨日置いていった二つのファイル(54バイトのテキスト · 399バイトのSSH秘密鍵)も8月19日・9月1日・9月6日の記事にすでにあるものです。

事実 一方 ATK-BDB53E は 別名・配布元・ハッシュ2種がすべてアーカイブにありません。 三段階の意図が一つのセッションの中で続き、一日に二度繰り返されました。最も騒がしいセッションではなく、初めて見る顔が初めて見るロッカーを開けたセッション を選びました。

昨日ロッカーから出てきたもの — 書き取る値

事実 防御に使えるよう値をそのまま移します。値をクリックするとコピーされます。 住所は接続されないよう変形してありますので、そのままにして使ってください。上の四行が昨日初めて出た値 で、下は数週間変わっていない背景です。

事実 上の四行で注目すべきは「今日4回」です。主題セッション二件のダウンロード数を足すと4ですが、ファイル別の観測回数を足すと8です。どこで二倍になったのか、私たちのデータでは分かりません。 再試行まで数えたのかもしれませんし、記録に載っていないセッションがさらにあったのかもしれません。下の「私たちが分からないこと」に改めて書きます。

962個はわざと隠しました

事実 昨日一日のログイン試行は 3,620回、互いに異なる198箇所から入ってきました。一日を秒で割ると 24秒に一度の割合 です。一箇所あたり平均18.3回です。

事実 試行されたID・パスワードの組み合わせのうち、この記事に移すのは 20種だけ です。残りの 962種は個数だけ数え、値は書きません。 互いに異なるIP三箇所以上で繰り返された組み合わせだけ原文を引用するのが私たちのルールです。一、二箇所でしか出なかった組み合わせは、どこかで流出した 誰かの本物のアカウント かもしれないからです。名札の名前を隠すのと同じ理由です。私たちが知らない人のものかもしれないものは見せません。

下の20種は反対側です。複数の所で繰り返されたため 「誰のものでもない出荷時デフォルト値」 と見なせるものです。

事実 admin/admin は20箇所から39回入ってきました。一箇所あたり二回ほどです。十一行目はパスワード欄が まったく空 の組み合わせです。IDだけ入れてEnterを押した試行が六箇所であったという意味です。

推定 この一覧は私たちを狙って作られたものではありません。どこでも通じる値を順番に入れてみる辞書 です。昨日教室のドアが開いた理由が「私たちだから」ではないという意味です。

事実 ただし主題セッション二件が どの組み合わせで入ってきたかは分かりません。 セッション単位の資格情報は私たちの材料にありません。上の表は一日全体の表であって、あの子が使った鍵ではありません。

昨日一日全体

事実 ドアが実際に開く側(センサー01)の一日の集計です。右の欄も一緒に見てください — 数字一つだけを見ても大きさがつかめません。

事実 9月13日と比べると形が逆転しました。あの日は322箇所が6.3件ずつ来て、昨日は198箇所が21.9件ずつ来ました。来る所は減り、一箇所がやることは3.5倍増えました。 ポート別の合計(3,656 + 675)はセッション総計4,332と正確に一致します。

事実 昨日サーバーの中で起きたことを種類別に数えるとこうです。

事実 「実行権限付与」はファイルに 「これは実行してよいファイルだ」という印を付ける動作 です。Linuxではこの印がないとプログラムであっても単に動きません。昨日の主題セッションの二段階目がこれでした。

事実 「ファイルダウンロード」45回と「ダウンロード後実行」40回が 5差 です。アーカイブの大半の日はこの二つの値が正確に同じでした。昨日は受け取っておいて実行まで行かなかった命令が五回あったという意味です。どのセッションのものかはデータにありません。

事実 もう一つあります。SSHで入ってきた側は接続プログラムの指紋(hassh)が残ります。昨日の指紋は14種でしたが、そのうち ファイルを実際に置いていった指紋は 16443846…(SSH-2.0-Go)一つ だけです。今日2箇所、累計21箇所です。昨日最も多く来た指紋 f555226d…(libssh_0.9.6 · 今日14箇所 · 累計175箇所)は ファイルを一つも置いていきませんでした。 多く来るからといって何かを置いていくわけではありません。そして昨日の主役はテルネットなので、この指紋一覧のどこにもいません。

隣のサーバー — 中に入れない側

事実 私たちはサーバーを二台置いています。二台目(センサー02)は奥まで入れない浅い罠なので、「どのドアを何箇所が何回叩いたか」だけが残ります。 ログイン成功も、命令も、資格情報もここには存在しません。昨日は収集が正常でした。

事実 画面共有35,120件は一日で割ると 2.5秒に一度の割合 です。351箇所が分担して作ったので、一箇所が平均100回叩いた計算です。ところがこの値は9月6日以降 最も少ない日 です。351箇所という発信元の数も 9/8(416) · 9/13(407) · 9/10(387) の次です。

事実 昨日隣のサーバーで一番大きな変化は リモートデスクトップ です。9月10日34,811件、9月13日42,578件 — アーカイブ最高値でした。それが昨日 2,031件 です。21分の1です。2秒に一度鳴っていたドアが43秒に一度に戻りました。当時3万台で記録された接続名札 mstsc は昨日の一覧になく、当時1位だった別名 ATK-E37B01 も昨日の上位12箇所にいません。昨日の名札は hello 1,461(71.9%) · <ip> 405 · ランダム文字列4種各1件です。

推定 三日間あふれていたものが消えたというところまでが事実です。なぜ終わったのかは分かりません。 相手がやめたのか、別の所へ行ったのか、私たちに知る方法はありません。

事実 相手が先に出した規格も記録されます。画面共有では 003.003 が30,437回、003.008 が4,589回 — 旧式の003.003が86.9% です。ファイル共有側は提案276件のうち SMB 2.??? 26件を除いた 250件がSMB1世代 です(NT LM 0.12 77 · LANMAN1.0 43 · LM1.2X002 43 · PC NETWORK PROGRAM 1.0 22 · Windows for Workgroups 3.1 22 · LANMAN2.1 22 · LANMAN 21)。セッション218件より提案数が多いのは、一回交渉するときに複数の規格をずらりと並べるためです。

推定 旧式の規格を先に差し出すのは 相手が古いシステムまで受け入れるスキャナーを使っているという意味 であって、私たちのサーバーが旧式だという意味ではありません。

事実 隣のサーバーの上位4箇所(ATK-943F0E 5,736 · ATK-A9F1B3 5,723 · ATK-AE6CC0 4,691 · ATK-0E3BBB 1,436)が17,586件で 全体の46.8% です。四箇所が半分近くを作りました。これらがどのドアを叩いたかはデータにありません。画面共有が93.5%なのでそちらと読みたくなりますが、それは根拠ではありません。

事実 隣のサーバーに残った検体は3件で、すべて ATK-4731EE という初めて見る別名から来ました。二つは8月28日以降四度出たハッシュで、7a656791…(231,196バイト)一つだけが新しいハッシュ です。二台のサーバーの固有発信元の合計は重なりが分からないため 737箇所が上限 で、実際の値はそれより小さいです。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CK は攻撃手口ごとに番号を付けた国際的な一覧です。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に行きます — 私たちの言葉を信じず、直接確認していただくためにリンクを張ります。

• T1078.001Valid Accounts: Default Accounts — テルネットログイン成功2回。どの資格情報だったかはセッション単位でデータにない推定
• T1110.001Brute Force: Password Guessing — 一日のログイン試行3,620回、引用可能な組み合わせ20種 · 非公開962種推定
• T1021Remote Services — テルネット(2223)遠隔接続推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」意図、kla.sh · net.x86_64 受信推定
• T1222.002File and Directory Permissions Modification: Linux and Mac — 「実行権限付与」意図推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 「ダウンロード後実行」意図、POSIX シェルスクリプト受信推定
• T1608.001Stage Capabilities: Upload Malware — 発信元と前の二桁が同じ住所の /bins/ パスから配布推定
• T1098.004Account Manipulation: SSH Authorized Keys — 当日「持続性 — SSH鍵の埋め込み」17回 (主題セッションではない)推定
• T1070Indicator Removal — 当日「痕跡削除」16回 (主題セッションではない)推定
• T1562Impair Defenses — 当日「防御無力化」1回。何を切ったのか分からないため下位技法は付けない推定

事実 十行すべてに [推定] バッジが付いていることを見てください。私たちの手にあるのは命令の「意図分類結果」と「何回だったか」までです。命令の原文はありません。分類表に合わせる作業は常に解釈であり、解釈には解釈だと書きます。

事実 そして十行のうち昨日の主役が踏んだのは 四行 です。T1021(テルネットで入る) · T1105(ファイルを持ってくる) · T1222.002(実行権限を与える) · T1059.004(受け取ったものを実行する)。後ろの三行 — 鍵の埋め込み、痕跡削除、防御無力化 — は昨日別の別名たちがやったことです。一日の集計にあるからといって、このセッションのものとして書き写しません。

以前にもこんな形があった

推定 Miraiボットネット (2016)。 テルネットの弱い資格情報でLinux機器に入った後、シェルスクリプトのローダーがCPU種類ごとに作っておいた静的リンクELFをダウンロードして実行する構造でした。2016年にソースが公開されて以降、派生版が多くあります。昨日の主題セッションの組み合わせ — テルネットログイン成功 → /bins/ パスのシェルスクリプト1個 + 静的リンク・名札除去ELF 1個 → 実行権限付与 → 実行 — は この構造と符合します。 (出典の種類: 米国 US-CERT 警報 TA16-288A · 公開されたソースコード · 複数ベンダーの分析報告書)

事実 ここで止めます。命令の原文もなく、検体分類サービスも連携されていません。昨日受け取った二つのファイルがこの系列だという判定はしません。 似ているのは作り方であって、名札ではありません。

では何をすべきか

見知らぬ子が別のクラスのロッカーを開けるのを私たちが防ぐ方法はありません。変えられるのは 私たちの教室のドアがどう施錠されているか、そして教室から外へ出る道がどうなっているか です。

事実 1. デフォルトアカウント・簡単なパスワードをそのまま使っている · 可能性高 上の表の二十行はすべて機器やディストリビューションが出荷時に入れておく値です。昨日ログインに成功したセッション五件が実在し、試行された組み合わせの上位はすべてデフォルト値・連続数字です。パスワード一つが破られた後、7秒以内にスクリプトと実行ファイルが下りてきました。 実際のサーバーだったらその7秒が侵害時点です。

事実 2. パスワードログインを許可し、鍵方式を使っていない · 可能性高 テルネットには鍵認証という選択肢自体がありません。SSH側の3,656セッションもパスワード推測が3,620回入ってきました。鍵方式だけを許可していれば、この3,620回は すべて認証段階で終わります。 そして侵入した側は成功すると自分の鍵をまず掛けておきます。昨日の鍵の埋め込みが17回、389バイトのSSH公開鍵が互いに異なる14箇所から出ました。SSH公開鍵は平たく言えば パスワードなしで入れる予備の鍵 です。サーバーの authorized_keys(許可された鍵の一覧)ファイルに一行書かれれば、後でパスワードを変えてもその鍵で入り続けます。

事実 3. 管理ポートをインターネットにそのまま開けている · 可能性高 私たちのサーバーの住所はどこにも知らせたことがありません。それでも昨日ドアが開く側に198箇所、隣のサーバーに539箇所が来ました。二台を合わせて上限737箇所です。画面共有のドア一つだけに一日3万5千回が張り付きました。露出そのものが条件です。

推定 4. 回数ベースの遮断(fail2ban など)がない · 可能性中 昨日は一箇所が何度も叩く日でした。一箇所あたり21.9セッション、9月13日の3.5倍です。admin/admin も20箇所から39回なので、一箇所が同じ組み合わせを二回ずつ入れた計算です。同じ発信元の繰り返しを防ぐルールが効果を発揮する形です。 ただし主題セッションが何度目の試行で成功したかはデータにありません。初回の試行で合う組み合わせはこのルールでは防げません。だから「高」にはしません。

事実 5. 外へ出る接続を防いでいない · 可能性高 昨日の主題セッションの命令7個のうち実際の被害を作る段階は サーバーが外へ出てファイルを受け取ってくる動作 でした。出る道が塞がれていれば、このセッションはダウンロード段階で切れます。昨日一日の「ファイルダウンロード」45回すべてが同じ場所で止まります。教室からロッカーまで行く廊下が施錠されていれば、子は手ぶらのまま出ていかなければなりません。侵入は鍵の問題ですが、武装は通信の問題です。

推定 6. ログをサーバーの中だけに置いている · 可能性中 昨日痕跡を消そうとする意図が16回、防御を切ろうとする意図が1回分類されました。私たちはハニーポットなのでセッションの80.5%(3,487件)を別途録画しているため、消しても残ります。実際のサーバーはログを外へ出さなければ、消された後に残るものがありません。ただし昨日の主役のセッションには痕跡削除も防御無力化もありません。その16回・1回は別のセッションのものなので「中」にしておきます。

事実 昨日新たに確認された配布元 hxxp://160[.]119[.]66[.]206/ は C-TAS(韓国インターネット振興院サイバー脅威情報共有体系)の報告対象です。ただし私たちが確認できるのは 送信が成功したというところまで で、相手側に実際に登録されたかは別途確認が必要です。

私たちが分からないこと

このブログが他と違う点です。知っていることより分からないことを書くのに時間を多く使います。

昨日の主題について確認できないこと

• [確認不可] 配布元 160[.]119[.]66[.]206 と侵入の発信元 160.119.x.x が 同じ機械かどうか分かりません。 後ろの二桁は隠されており復元対象ではありません。「前の二桁が同じ」までしか言いません。9月7日・8日の事例も同様です。
• [確認不可] ダウンロード数が合いません。主題セッション二件のダウンロード合計は4ですが、kla.sh 4回と net.x86_64 4回を足すと8です。ファイル回数が再試行まで数えているのか、記録に載っていない ATK-BDB53E のセッションがさらにあるのか、区別できません。
• [確認不可] 二つのセッションが 同じ資格情報で入ってきたか分かりません。 セッション単位の資格情報はデータにありません。
• [確認不可] 12時7分と19時7分の6時間59分15秒の間隔が 予約実行なのか偶然なのか分かりません。 二度だけなので周期とは呼びません。
• [確認不可] kla.sh が何をするのか、net.x86_64 が何なのか分かりません。スクリプトの内容も、検体分類タグもデータになく、VirusTotal は連携されていません。「x86-64一種だけ持ち去った」がスクリプトの選択結果なのかも確認できません。
• [確認不可] 完結性スコアの計算式がデータにありません。意図が一つだけの ATK-E09588 が42で、意図三つの主題セッション(19)より高い 理由を説明できません。
• [確認不可] 「防御無力化」1回が ATK-E09588 のセッションのものだという読み方は 個数が一致することに基づいた推論 です。セッションと意図回数を1:1で結ぶ欄はありません。

データ自体を疑うべきこと

• [確認不可] 隣のサーバーの上位12箇所が どのサービスを叩いたかデータにありません。 画面共有が93.5%なのでそちらと読みたくなりますが根拠ではありません。
• [確認不可] 隣のサーバーの検体3件が ADBで入ってきたとデータは明示していません。 ADBセッション26件・検体3件という数値と「02でファイルが残る経路はADBだけ」という構造から読んだだけです。
• [確認不可] 画面共有のバージョン提案の合計(35,026)がセッション数(35,120)より94件少なく、リモートデスクトップの名札の合計(1,870)がセッション数(2,031)より161件少ないです。交渉段階まで行かなかったセッションと見えますが、データは説明していません。
• [確認不可] 389バイトのSSH公開鍵(a8460f44…)を置いていった所は14箇所ですが、別名は 10箇所までしか表記 されておらず、残りの4箇所が分かりません。
• [確認不可] 隣のサーバーで一つの発信元が複数のドアを一緒に舐めたかどうか計算できません。サービス別固有発信元の合計(523)が全体(539)より小さいため重なりを逆算することもできません。0と書けば虚偽になるため「算出不可」としておきます。

わざと結びつけなかったこと

• [除外] 背景統計として入ってきた脆弱性指標(追跡CVE 7,628件 · KEV 397件 · ランサムウェア連携確認100件)は KISA セキュリティ公知から抜き出した値です。昨日観測されたどのセッション・検体とも結びつかず、昨日の侵入はCVEを使わない資格情報の推測です。
• [除外] 圧縮を解いて初めて現れる配布元 31[.]77[.]227[.]121/bins/ 12件は8月16日以降の繰り返し指標なので昨日の新規指標ではありません。昨日の主題と結ぶ値もありません。
• [確認不可] C-TAS 報告は 送信が成功したというところまでしか 確認されません。昨日の新規配布元が KISA に登録されたかは別途確認が必要です。

そもそも判断しないこと

• 通信事業者・組織(ASN・ISP) — 関連データベースがありません。推定しません。 前の二桁が同じという事実から「同じ通信事業者」を引き出さない理由もこれです。
• 地理情報 — 上と同じです。そもそもIPの地理情報は帰属の根拠になりません。この記事は いかなる国家・企業・個人も攻撃者として名指ししません。
• VPN・Tor・クラウドの有無 — 判別手段がありません。
• 検体分類(VirusTotal) — 連携されていません。検体分類は MalwareBazaar のタグを使いますが、昨日の二つのファイルにはタグがありません。
• 接続プログラム文字列(User-Agent) — 二つの観測面ともウェブ(HTTP)ではありません。01はSSH・テルネット、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)の結びつけ — SSH・テルネット攻撃はほとんど特定の脆弱性を参照せず、02も規格を合わせる段階なので同様です。

名札の前半が同じ子が九日間で三度来ました。三度とも違う名札で、三度とも同じクラスの荷札が付いたロッカーから物を取り出してきました。そして昨日は夕方にもう一度、7秒ほどでまったく同じように。

私たちは三度の前半が同じだというところまでしか書きません。同じ子なのか、同じクラスの別の子なのか、名前欄のテープを剥がして確認しません。分からないことを分からないと書くことも観測の一部です。

代わりにこちら側でできることは明確です。出荷時デフォルトのパスワードを変え、テルネットのような管理ポートをインターネットにそのまま出さず、サーバーが外からファイルを受け取ってくる道を塞ぐこと。 昨日の7秒のセッション二回が指し示した場所は、正確にそこでした。

観測日は2026年9月15日で、この記事はその翌日にまとめました。発信元IPはブリーフでマスク処理された形(160.119.x.x)のまま移し、復元していません。配布元の住所は誤って接続されないようディファング(hxxp://、[.])の状態を本文とIOCブロックの両方で維持しました。資格情報は 互いに異なるIP三箇所以上で繰り返し観測された組み合わせ20個だけ を原文引用し、残りの962個は個数だけ明らかにして値は書きませんでした。通信事業者・国籍・VPNの有無のように私たちに計測手段がない項目は推定せず「分からない」として残しました。