同じカード一枚、一日に41か所 — 帳簿四冊は互いを知らない

自宅の玄関のドアロックの暗証番号を変えたことはありますか。引っ越してきたとき、あるいは番号が漏れたような気がしたときに。変えると安心します。

ところがドアロックには暗証番号のほかにもう一つ入っているものがあります。登録しておいたカードです。カードを一度登録しておけば、番号を知らなくてもドアは開きます。そして暗証番号を変えても登録されたカードは消えません。 カードの登録一覧を開いて見る人はほとんどいません。なくなった物がないからです。

では、こんな場面を思い浮かべてください。昨日一日のあいだに、互いに異なる41か所から来た手が私たちの家のドアロックにまったく同じカード一枚を登録して去っていきました。一時間に1.7か所の割合です。そのカードは、8月16日から私たちの記録にある日には毎日登録されていた、まさにそのカードです。ただ、一日にこれほど多くの場所から来たことは、私たちが比べた日のなかにはありませんでした。

昨日、私たちのサーバーに記録されたのはこれです。

私たちのサーバーはわざと鍵をかけていない家です

事実 私たちはハニーポットサーバーを運用しています。ハニーポットとはわざと無防備に開けておき、誰が入ってきて何をするかを観察する囮サーバーです。パスワードが簡単な家だと思ってください。ですからここで起きたことは実際の被害ではなく観測記録です。サーバーは二台あります。一台目(センサー01)は実際にドアが開く家で、二台目(センサー02)はドアロックなしで呼び鈴だけを付けた家です。以下の記事の前半は一台目の家の話です。

事実 今日はひとつの侵入を追いかける記事ではありません。記録が密なセッション五件は、すべて既に見たエイリアス・既に見たファイルでした。その代わり、一日の集計で四つの数字が同じ日に揃って2~3倍に跳ね上がりました。 今日の記事はその四つを見ます。

カード一枚、登録した手41か所

事実 昨日、私たちのサーバーに389バイトのOpenSSH RSA公開鍵ひとつが、互いに異なる出所41か所から41回残されました。389バイトは、ショートメッセージ二、三行ほどの大きさです。ファイルの内容を丸ごと計算した値(ハッシュ a8460f44…)が41個すべて同じです。一文字違うだけでもこの値は変わるので、41か所が残したものは一文字違わず同じカードだという意味です。

事実 用語を解きほぐすとこうなります。SSHはサーバーにリモートで入るためのドアです。このドアはパスワードでも開きますが、鍵のペアでも開きます。ペアのうち一方は「公開鍵」としてサーバーに掛けておき、もう一方は「秘密鍵」として入ってくる側が持ちます。サーバーの authorized_keys(許可された鍵の一覧)ファイルに公開鍵の一行が入ると、その対となる秘密鍵を持つ側はパスワードなしで入ってきます。ドアロックにカードを登録するのと同じです。そしてパスワードを変えてもこの一覧はそのまま残ります。

事実 このカードは初めて見るものではありません。8月16日以降、私たちのアーカイブにある日には毎日同じハッシュで現れました。ブリーフがこの値を並べて比べた日は17日あり、そのうち最多だった日が9月10日の17か所でした。9月13日・15日・17日は14か所でした。昨日は41か所、2.4倍です。下の表の右側の二列を見てください。

事実 行動分類側の帳簿も同じことを言っています。昨日サーバー内で打たれたコマンドのうち「持続性 — SSH鍵の埋め込み」に分類されたものが43回です。持続性とは「次にまた入ってくる方法をあらかじめ作っておくこと」です。9月10日が18回、13・15・17日が17回でしたから2.4~2.5倍です。

帳簿四冊は互いを知らない

事実 同じ日に跳ね上がった数字がさらに二つあります。一つは、IDとパスワードにまったく同じ文字列 345gs5662d34 / 345gs5662d34 を入れてみた送信元です。昨日は40か所から40回、一か所あたりちょうど一回ずつです。比べた日のうち最多は9月10日の17か所でした。もう一つは接続プログラムの印です。SSHで入ってくるとき、相手が使ったプログラムは知らず知らずのうちに印(hassh)を残しますが、昨日 f555226d…(SSH-2.0-libssh_0.9.6)の印を付けた送信元が41か所です。この印が最も多かった日は8月18日の16か所でした。

事実 四つを一つの表に並べるとこうなります。右端の倍率が四つとも同じ桁であることを見てください。

事実 余談として root / 3245gs5662d34 も19か所です。9月10日が9か所、13日が7か所、15日が5か所、17日が6か所でした。

推定 この表を見ると一つの文が浮かびます。「同じツールが同じ手順で40か所前後から入ってきてカードを登録した。」 IDとパスワードが同じ奇妙な文字列でドアを開け、同じ接続プログラムを使い、入ってから同じカードを登録するという絵です。そう読みたくなります。

事実 ところが私たちの記録はその文を書いてくれません。 四つの数字はそれぞれ別の帳簿に記されます。パスワードの帳簿、接続プログラムの帳簿、ファイルの帳簿、行動分類の帳簿。この四つを一本の線でつなぐ欄がJSONにありません。ドアロックの前のCCTV四台がそれぞれ「傘を持った人41人」「同じ靴の人41人」と数えてくれるのに、同じ人物かどうかはどのカメラも教えてくれないようなものです。8月18日の記事で指摘したのと同じ限界です。

事実 むしろ逆方向の印が一つあります。③ 接続プログラムの印 f555226d… の「検体配達」欄が false です。ファイルを一つも置いていかなかったという意味です。ところが①はファイルが41個残ったと言っています。公開鍵が「検体」として数えられないのか、それとも③の41か所と①の41か所が別の集合なのか — どちらなのかJSONは説明しません。確かなのは「昨日この四つの数値が、比べた日の最大の2~3倍だった」という事実だけです。

事実 もう一つ。「痕跡の削除」意図が昨日42回です。9月17日の15回の2.8倍で、鍵の埋め込みと同じ倍率で増えました。カードを登録し、登録した記録を消すという二つの動作が並んで増えた形ですが、この42回がどのセッションのものかも記録はつないでいません。

その日、ドアロックの前に記録された五つの場面

事実 私たちの素材には、一日のうち記録が最も密なセッション五件が別途載っています。五件すべてログインに成功しました。ところがカードを登録した41か所は、この五つの画面にエイリアスとして出てきません。41か所のうちエイリアスが公開された10か所は、すべてアーカイブになかった新しいエイリアスです。

時間順に並べるとこうなります。20:47 の二行が2.43秒間隔である点と、22:33 の行が9秒でコマンド28個である点を見てください。

1. 04:42:53Z (13:42 KST)
   事実 ATK-CA5936(130.12.x.x) SSH ログイン成功。04:42:57Z まで3.74秒 · コマンド1個 · ダウンロード2件 · 意図5個(ダウンロード後実行 · 実行権限付与 · 偵察—システム · SSH鍵の埋め込み · ファイルダウンロード)。印 16443846… / SSH-2.0-Go。ファイルは399バイトのOpenSSH秘密鍵(43728fbf…)と54バイトのASCII(00b6f15c…)で8/19以降同じハッシュ。完結性19。今日の主題ではない
2. 09:12:59Z (18:12 KST)
   事実 ATK-CA5936 二度目のSSHセッション。3.79秒 · コマンド1個 · ダウンロード2件 · 意図5個 — 13:42 セッションと同じ形。9/13 · 9/15 · 9/17 にも一日1~2回同じ形態
3. 11:47:14Z (20:47 KST)
   事実 ATK-BDB53E(160.119.x.x) Telnet ログイン成功。11:47:21Z まで7.02秒 · コマンド7個 · ダウンロード2件。意図: ダウンロード後実行 · 実行権限付与 · ファイルダウンロード。完結性19。画面録画あり(内容は素材にない)。Telnetには接続プログラムの印が生じないため印の欄は空文字列。9/15 · 9/17 の同じエイリアスのセッションとコマンド数 · ダウンロード数 · 意図 · 完結性が同じ
4. 11:47:16Z (20:47 KST)
   事実 同じエイリアス ATK-BDB53E 二度目のセッション。最初のセッション開始の2.43秒後に始まり、最初のセッションが終わる0.02秒前に終わった。4.57秒 · コマンド2個 · ダウンロード2件 · 意図3個同一 · 完結性16。9/17 にも2.33秒間隔の並列2セッション — 9/15 の7時間間隔から9/17以降「並列2セッション」の形に固まった模様
5. (ATK-BDB53E 検体 — 今日の変化)
   事実 hxxp://160[.]119[.]66[.]206/bins/kla.sh は3,241バイトのPOSIXシェルスクリプト、39be6853… で9/15 · 9/17 と同一ハッシュ(今日2回)。一方 hxxp://160[.]119[.]66[.]206/bins/net.x86_64 は 2cebccdc…、192,328バイト、ELF 64-bit x86-64 静的リンク · シンボル除去(今日2回)。9/15 · 9/17 の同じURLのファイルは cd6ccc5d…、190,632バイトだった。URL · ファイル名 · 種類は同じでハッシュが変わり、1,696バイト大きくなった。2cebccdc… はアーカイブ8/16~9/17 のどこにもない
6. (ATK-BDB53E 検体 — 推論)
   推定 9/17 ブリーフは「二日のあいだに再ビルドされていない」と書いた。三日後、ローダースクリプトはそのままに実行ファイルだけを作り直して同じ場所に置いた形と読める。何が変わったのか(機能 · C2 · パッキング)は検体の内容が素材にないため分からない。8/24 記事の結論(「ハッシュのリストは一日で外れた」)がこの配布元でも繰り返された — 9/15 のハッシュで作った遮断ルールは今日のファイルを捕まえられず、URL · ホストのルールは捕まえる
7. 13:33:20Z (22:33 KST)
   事実 ATK-DD41EC(116.92.x.x) Telnet ログイン成功。13:33:29Z まで9.17秒のあいだにコマンド28個 · ダウンロード11件 — 11件すべて1バイトの空ファイル(01ba4719…)。意図は「防御の無力化」単独、完結性42で今日の最高。エイリアスはアーカイブにないが「防御の無力化単独 · 1バイト×11 · 完結性42」の系列は8/17以降繰り返し記録された形。従来の記録(9/10 66秒 · 22個、9/13 64秒 · 22個、9/15 69秒 · 22個)よりコマンドは6個多く、時間は7分の1
8. (一日の集計 · 01 — 軸 ①)
   事実 389バイトのOpenSSH RSA公開鍵(a8460f44…)を互いに異なる出所41か所が41回残した(配達エイリアスは10か所までしか露出していない)。ブリーフが比べた17日のうち最大は17か所(9/10)、9/13 · 9/15 · 9/17 は14か所。今日は2.4倍。「持続性 — SSH鍵の埋め込み」意図も43回で 9/10 18 · 9/13 17 · 9/15 17 · 9/17 17 の2.4~2.5倍
9. (一日の集計 · 01 — 軸 ① の隣の数字)
   事実 345gs5662d34/345gs5662d34 が互いに異なるIP 40か所から40回(一か所あたりちょうど1回)。比べた日の最大17か所(9/10)、9/13~9/17 は14か所。root/3245gs5662d34 も19か所(9/10 9 · 9/13 7 · 9/15 5 · 9/17 6)。接続プログラムの印 f555226d…(SSH-2.0-libssh_0.9.6)は今日41か所 — 記録された一日の最大は16か所(8/18)、9/15 · 9/17 は14か所。公開鍵41 · 印41 · 認証情報40 · 鍵の埋め込み43 — 四つの値が同じ桁で同じ日に跳ね上がった
10. (一日の集計 · 01 — 軸 ① 推論と限界)
    推定 四つの値が一つの集合(同じツールが同じ手順で40か所前後からログイン → 公開鍵の埋め込み)を指すと読みたくなるが、JSONは認証情報 ↔ 印 ↔ ファイル配達先をつないでくれない。8/18 ブリーフが指摘したのと同じ状況。しかも f555226d… の検体配達欄は false — 公開鍵が「検体」として数えられないのか、印の41か所が鍵を埋め込んだ41か所と別の集合なのかJSONは説明しない
11. (一日の集計 · 01)
    事実 セッション2,120件 · 固有送信元208か所 · ログイン試行1,932回 · コマンド2,241個 · 画面録画1,754件(82.7%)。SSH 1,956(ポート2222 · 92.3%) · Telnet 163(ポート2223 · 7.7%)。Telnetはセッションの7.7%なのに今日の主要セッション5件のうち3件がTelnet。セッション数は9/17(791)の2.7倍、9/15(4,332)の半分でアーカイブ範囲内の平凡な値
12. (一日の集計 · 01)
    事実 コマンド意図: 偵察—システム1,652 · 実行権限付与159 · 持続性—SSH鍵の埋め込み43 · 痕跡の削除42 · ファイルダウンロード38 · ダウンロード後実行31 · 偵察—ネットワーク1 · 防御の無力化1。合計1,967で全コマンドの87.8%、偵察ひとつで73.7%。「痕跡の削除」42回は 9/10 17 · 9/13 16 · 9/15 16 · 9/17 15 の2.6~2.8倍で鍵の埋め込みと同じ倍率。「ファイルダウンロード」38と「ダウンロード後実行」31は7の差(9/15 は5の差、ほとんどの日は同じ値)
13. (一日の集計 · 01 — 認証情報)
    事実 互いに異なるIP 3か所以上で観測され原文を引用できる組み合わせ20種、その基準に満たず数だけ数えた組み合わせ1,208種。引用可能な20種の試行合計は185回なので、残り1,747回が1,208種に散らばっている — 組み合わせあたり1.45回。root/(空パスワード)は5か所から38回(一か所あたり7.6回)で一か所あたりの繰り返しが最も多く、admin/admin は14か所29回(一か所あたり2.1回)
14. (一日の集計 · 01 — 印)
    事実 接続プログラムの印クラスター47個(9/17 44)。今日の一覧15種のうち検体を配達した印は 16443846…(SSH-2.0-Go · 今日2か所 · 集計20か所)ひとつだけで、これは ATK-CA5936 のもの。3356ae61…(SSH-2.0-PuTTY_Release_0.84)は今日3か所 · 集計3か所と表記され初めて来たように見えるが 9/4 · 9/5 ブリーフに既にあった印 — 「集計」欄は累積として読めないフィールド(9/5 ブリーフ指摘)。スキャナーバナー 4e066189…(Fingerprintx-SSH2 · 2か所) · dd9bcf09…(ZGrab SSH Survey · 2か所)もある
15. (一日の集計 · 01 — 残りのファイル)
    事実 9バイトのASCII(0dc95fb4…)が ATK-CE432E(アーカイブになかったエイリアス)から4回 — 9/17 には ATK-A593DF が2回残した同じハッシュ。1バイトの空ファイル(01ba4719…)は ATK-DD41EC 11回。今日01に保存された7種のうち実行ファイルは net.x86_64 ひとつ
16. (一日の集計 · 02 — 軸 ③)
    事実 セッション71,793件 · 固有送信元466か所。VNC(5900) 39,919件/228か所(55.6%) · RDP(3389) 30,335件/117か所(42.3%) · SMB(445) 277件/53か所 · LDAP(389) 148件/41か所 · MSSQL(1433) 11件/10か所 · ADB 1,103件。六つを足すとちょうど71,793で総計と一致。収集正常
17. (一日の集計 · 02 — ADB)
    事実 ADB セッション1,103件。アーカイブ02の値(8/26 86 · 8/27 26 · 8/28 87 · 8/29 37 · 8/30 25 · 8/31 52 · 9/1 22 · 9/2 23 · 9/3 32 · 9/4 25 · 9/5 111 · 9/6 47 · 9/7 50 · 9/8 26 · 9/10 31 · 9/13 40 · 9/15 26 · 9/17 299)のうち最大299件の3.7倍、9/17 以前の最大111件(9/5)の9.9倍。02全体の1.5%だがこのチャネル自身の基準では初めて見る規模。保存された検体4件(0d3c687f… 46,525 · 76ae6d57… 239,388 · a1b6223a… 334,816 · d7188b8c… 153,208バイト · 各2回)はすべて8/28 ブリーフからあったハッシュで、出所 ATK-C70753 だけが新しいエイリアス。9/17 は同じ4種を ATK-C93E77 が、9/15 はそのうち2種を ATK-4731EE が残した
18. (一日の集計 · 02 — ADB 推論)
    推定 接触は三日で3.7倍になったのに投入物は8/28以降一度も変わっていない4種セット。送信元のエイリアスだけが毎回異なる(ATK-4731EE → C93E77 → C70753)。同じツールが複数の送信元から同じファイルセットを押し込む形と読めるが、ADBの送信元数 · 投入コマンドはJSONにないため確認できない。02の検体をADBと読むことも「02でファイルが残る経路がADBだけ」という構造上の推定
19. (一日の集計 · 02 — RDP 帰還)
    事実 RDP 30,335件はアーカイブ(8/26~9/17)で 9/13 42,578 · 9/10 34,811 に次ぐ三番目の値。9/15 2,031 · 9/17 2,210 で終わったと思われた急増が四日で戻ってきた。送信元117か所は 9/10 109 · 9/13 107 と同じ帯、一か所あたり259.3回。RDP クッキー: mstsc 26,560(87.6%) · <ip> 428 · hello 169 · Administr 94 · Admin 66 · Domain 2、合計27,319(90.1%)、未記録3,016。9/15 · 9/17 に一覧から消えていた「mstsc」が再び1位。「Admin」66は 9/10 · 9/13 · 9/15 · 9/17 の一覧になかった文字列、「Administr」94は従来最大6(9/10)の15.7倍
20. (一日の集計 · 02 — 送信元の集中)
    事実 1位 ATK-E37B01(149.50.x.x) 29,437件 = 02全体の41.0%。9/10(34,229) · 9/13(34,899)に1位だった後、9/15 · 9/17 の上位12か所から消えていたエイリアス。RDP 30,335 − 29,437 = 898 なのでこのエイリアスがRDPを叩いた蓋然性はあるが、送信元 ↔ サービスのマッピングがJSONにないため確定不可。2~6位(ATK-4B5516 6,562 · ATK-B24952 6,550 · ATK-0D2C3B 6,540 · ATK-A9F1B3 5,659 · ATK-943F0E 5,652)は5,652~6,562 の狭い帯、7位1,073で折れる。上位12か所の合計63,229件(88.1%)、残り454か所が8,564件で一か所あたり18.9件。ATK-4B5516 · 0D2C3B · D4B7A8 · 78BF7F · EF5FFC · 26D240 · 457428 の七つのエイリアスはアーカイブの上位一覧になかったもの(ただしアーカイブは一日12か所しか載せない)
21. (一日の集計 · 02 — プロトコル語彙)
    事実 VNC 提案バージョン 003.003 36,832 · 003.008 3,031(92.4% : 7.6%)、合計39,863でセッションより56件少ない。VNC 39,919件は 9/17 20,953(アーカイブ最低)から1.9倍上がったが 8/26~9/13 の帯(29,111~65,487)の内側。SMB ダイアレクト提案417件のうち「SMB 2.???」3件を除いた414件(99.3%)がSMB1世代(NT LM 0.12 89 · LANMAN1.0 80 · LM1.2X002 80 · PC NETWORK PROGRAM 1.0 43 · Windows for Workgroups 3.1 42 · LANMAN2.1 42 · LANMAN 38)。提案数がセッション277件より多いのは一回のネゴシエーションで複数のダイアレクトを列挙するため。MSSQL 11件/10か所は一か所あたり1.1回で最も疎なチャネル
22. (背景)
    事実 UPX圧縮された検体を展開して初めて出てくる配布元 hxxp://31[.]77[.]227[.]121/bins/ の12個のURLは 8/16 ブリーフから繰り返し登場しているもので今日の新規指標ではない。今日の01保存分に圧縮実行ファイルはない。平文指標として discord Webhook URL 1件(defang維持)。脆弱性の背景統計(CVE 7,636 · KEV 400 · ランサムウェア確認100)はKISA公知に基づくもので今日の観測と直接つながらない。二つのセンサー合算の固有送信元上限674か所(交差は不明)

事実 五つの画面のうち三つがTelnetです。Telnetは昨日のセッションの7.7%にすぎないのに、密な記録五件のうち三件を占めました。そして 20:47 の二行は、二日前と同じく2秒あまりの差で重なって動きました。9月15日には7時間離れていた二つのセッションが、17日からは並んでくっついて来ます。二回だけなので「周期」とは呼びません。

三日前に「変わっていない」と書きました

事実 9月17日の記事で私たちは、ATK-BDB53E が持ち帰ったファイル二つのハッシュが15日とまったく同じだと記しました。二日のあいだに作り直されていないと。昨日、同じエイリアスが同じアドレスから同じ名前のファイル二つをまた持ち帰りました。そのうち一つが変わっていました。

事実 1,696バイトはショートメッセージ十行あまりです。192,328バイトはスマートフォンの写真一枚の15分の1ほどです。新しいハッシュ 2cebccdc… はアーカイブ28日分(8/16~9/17)のどこにもありません。アドレスも、ファイル名も、ファイルの種類(ELF 64ビット x86-64 · 静的リンク · シンボル除去)もそのままです。手前に立ってファイルをダウンロードさせるスクリプト kla.sh もそのままです。内側の実行ファイルだけが変わりました。

推定 ローダーはそのままに実行ファイルだけを作り直して同じ場所に置いておいた形と読めます。何が変わったのか — 機能なのか、命令を受け取りに行くアドレスなのか、パッキングの方式なのか — はファイルの内容が素材にないため分かりません。 9月18日・19日のブリーフがアーカイブにないため、三日のうちいつ変わったのかも分かりません。確かなことは一つです。9月15日のハッシュで作った遮断ルールは昨日のファイルを捕まえられず、アドレスで作ったルールは捕まえます。 8月24日の記事に書いた「ハッシュの賞味期限」の話が、このアドレスでも繰り返されました。

昨日出た値 — 書き写しておくもの

事実 防御に使えるよう値をそのまま転記します。値をクリックするとコピーされます。 アドレスは接続されないよう変形してあるので、そのままにしてお使いください。一番上の二行が昨日初めて出た値です。残りは数週間変わっていないものなので「背景」と記しました。

事実 九行のうち昨日初めて見た値は一番上の一行、ハッシュ一つだけです。その下のアドレスは9月15日から三度目の登場で、五行目の公開鍵は8月16日から一度も変わっていません。昨日の「新しさ」は実行ファイルのハッシュ一つに限られます。残りはすべて量が変わったものです。

このパスワードを使っていませんか

事実 昨日一日のログイン試行は1,932回、互いに異なる208か所から入ってきました。一日を秒で割ると45秒に一回の割合です。

事実 試行されたID・パスワードの組み合わせのうち、この記事に転記するのは20種だけです。残りの1,208種は数だけ数えて値は記しません。 互いに異なるIP三か所以上で繰り返された組み合わせだけ原文を引用するのが私たちのルールです。一、二か所でしか出なかった組み合わせは、どこかから漏れた誰かの本物のアカウントかもしれないからです。他人の家のドアロックの番号を偶然見たからといって書き留めておかないのと同じです。引用可能な20種の試行合計は185回です。残りの1,747回が1,208種に散らばっているので組み合わせあたり1.45回、ほぼ一度ずつ入れてみては通り過ぎた計算です。

下の20種は反対側です。複数の場所で繰り返されたので**「誰のものでもない出荷時の初期値」**と見なせるものです。一行目と二行目を見てください。

事実 一行目が昨日の帳簿②です。40か所からちょうど一回ずつです。逆に、パスワード欄がまったく空の root は5か所から38回、一か所が7.6回ずつ入れてみました。昨日、一か所あたりの繰り返しが最も多い組み合わせです。admin/admin は14か所29回です。

推定 この一覧は私たちを狙って作られたものではありません。どこでも通る値を順番に入れてみる辞書です。そしてカードを登録した41か所がこのうちどの組み合わせで入ってきたのかは — 帳簿が別なので — 分かりません。

昨日一日の全体

事実 実際にドアが開く側(センサー01)の一日の集計です。右の列を一緒に見てください — 数字ひとつだけでは大きさがつかめません。

事実 セッション数だけ見れば平凡な日です。昨日特別だったのは叩いた量ではなく、入ってきてカードを登録した場所の数でした。ドアノブを回した回数ではなく、登録一覧の行数が跳ね上がった日です。

事実 昨日サーバー内で起きたことを種類別に数えるとこうなります。

事実 意図が付いたコマンドは1,967個で全体の87.8%です。そのうち偵察ひとつが圧倒的です。「偵察 — システム」は入ってきてこの家がどんな家か見回す動作です。どのLinuxか、CPUがいくつあるかといったことを尋ねるコマンドです。

事実 SSHで入ってきた側は接続プログラムの印(hassh)が残ります。昨日の印のまとまりは47個(17日は44個)です。最も多く来た印 f555226d…(libssh_0.9.6 · 41か所)はファイルを一つも置いていかなかったと表記されています。ファイルを置いていった印は 16443846…(SSH-2.0-Go · 今日2か所)ひとつだけで、それは ATK-CA5936 のものです。印は接続プログラムの印であって人の印ではありません。同じディストリビューションの標準libsshを使う互いに無関係な人も同じ値を持ちます。

隣のサーバー — ドアロックなしで呼び鈴だけの家

事実 二台目のサーバー(センサー02)は、内側まで入れさせない浅い罠です。ドアロックがなく呼び鈴だけなので、「どのドアの呼び鈴を何か所が何回押したか」だけが残ります。 ログイン成功も、コマンドも、認証情報もここには存在しません。昨日は収集が正常でした。ADBの行とRDPの行を見てください。

事実 六行を足すと71,793件でセッション総計と正確に一致します。一日中1.2秒に一回ずつ呼び鈴が鳴った計算です。そのうちADBは1,103件で全体の1.5%にすぎませんが、このドア自身の基準では初めて見る規模です。アーカイブに記された値のうち最も大きいものが三日前の299件、その前は9月5日の111件でした。3.7倍、9.9倍です。ところが隣のサーバーに残ったファイル4件はすべて8月28日からあったハッシュで、出所 ATK-C70753 だけが新しいエイリアスです。押す回数は増えたのに、置いていった物は古いものそのままです。この部分は今日の動画が別の比喩で扱いました。

推定 この4件をADBから入ってきたものと読むのは、隣のサーバーでファイルが残る経路がADBだけだという構造のためです。データがそう記してくれたわけではありません。送信元のエイリアスだけが毎回変わりました(ATK-4731EE → C93E77 → C70753)。

事実 リモートデスクトップ側は戻ってきました。 9月10日34,811件、13日42,578件と急増した後、15日2,031件、17日2,210件と収まっていたドアが昨日は30,335件です。アーカイブで三番目に大きい値で、2.8秒に一回です。押した場所は117か所で、10日(109か所)・13日(107か所)と同じ帯の内側です。場所が増えたのではなく、一か所が259回ずつ押した日です。

事実 戻ってきたのは数字だけではありません。リモートデスクトップで接続するとき相手が自分で書いて送る名札(クッキー)がありますが、10日・13日に1位だった後15日・17日の一覧から消えていた mstsc が昨日26,560回で再び1位です。RDPの87.6%です。その後ろに <ip> 428、hello 169、Administr 94、Admin 66、Domain 2 です。Admin は10日・13日・15日・17日の一覧になかった文字列で、Administr 94 は従来最大6(9/10)の15.7倍です。名札は相手が書く値なので、いくらでも偽って書けます。

事実 呼び鈴を最も多く押した場所も見覚えがあります。ATK-E37B01(149.50.x.x)が29,437件、隣のサーバー全体の41.0%です。10日(34,229)・13日(34,899)に1位だった後、15日・17日の上位12か所から消えていたエイリアスです。RDP 30,335件と898件の差なので、このエイリアスがリモートデスクトップのドアを押した蓋然性はありますが、送信元とドアをつなぐ欄がJSONにないため確定しません。 2~6位は 6,562 · 6,550 · 6,540 · 5,659 · 5,652 と狭い帯に集まっており、7位で1,073にがくんと落ちます。上位12か所が88.1%を押し、残り454か所は一か所あたり18.9回です。

事実 画面共有は39,919件で17日の最低(20,953)から1.9倍上がりましたが、8月26日9月13日の帯(29,11165,487)の内側です。提案されたバージョンは92.4%が古い 003.003 です。ファイル共有側は提案417件のうち SMB 2.??? 3件を除いた414件(99.3%)がSMB1世代の規格です。セッション277件より提案が多いのは、一回のネゴシエーションで複数の規格をずらりと並べるためです。

推定 旧式のバージョン・旧式の規格を先に差し出すのは、古いシステムまで応答させようとする汎用スキャナーの挙動に近いものです。 私たちを標的として選んだという根拠も、特定の脆弱性を狙ったという根拠もありません。そしてこの段落の数字はすべて呼び鈴が鳴った記録です。この家にはドアがないので、「入ってきて何をした」という文は成立しません。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CK は攻撃手口ごとに番号を付けた国際的な一覧です。昨日見た行動をその番号に当てはめるとこうなります。IDを押すと原文の説明に飛びます — 私たちの言葉を信じず直接確認していただくためにリンクを張っています。一行目が今日の軸です。

• T1098.004Account Manipulation: SSH Authorized Keys — 「持続性 — SSH鍵の埋め込み」43回、公開鍵 a8460f44… 出所41か所 (今日の軸 ①)推定
• T1110.001Brute Force: Password Guessing — ログイン試行1,932回、引用可能な組み合わせ20種 · 非公開1,208種推定
• T1078.001Valid Accounts: Default Accounts — admin/admin 14か所 · root/root 6か所 · root/(空欄) 5か所 · root/xc3511 3か所 · telnetadmin/telnetadmin 3か所 など初期値の組み合わせ、主要セッション5件すべてログイン成功推定
• T1021Remote Services — Telnet(2223) · SSH(2222) リモート接続推定
• T1082System Information Discovery — 「偵察 — システム」1,652回推定
• T1105Ingress Tool Transfer — 「ファイルダウンロード」38回、配布元 160[.]119[.]66[.]206 から再ビルドされた net.x86_64 を受信推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限付与」159回推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 「ダウンロード後実行」31回、シェルスクリプト kla.sh推定
• T1070Indicator Removal — 「痕跡の削除」42回 (9/17 の2.8倍)。ファイル削除なのか履歴削除なのか細分類なし推定
• T1562Impair Defenses — 「防御の無力化」1回 (ATK-DD41EC)。何を止めたのか分からないためサブテクニックは付けない推定
• T1595Active Scanning — 02 の VNC 39,919 · RDP 30,335 · ADB 1,103 の接触とプロトコルネゴシエーション段階の観測推定
• T1133External Remote Services — インターネットに露出した 3389 · 5900 · 445 · 389 · 1433 および ADB への接触推定
• T1027.002Obfuscated Files or Information: Software Packing — UPX圧縮された検体からのみ出た指標12件 (背景、今日の新規ではない)推定

事実 十三行すべてに**[推定]バッジが付いていることを見てください。私たちの手にあるのは、コマンドの「意図分類の結果」と「何回だったか」、ファイルの名前と大きさまでです。コマンドの原文もファイルの内容もありません。分類表に当てはめる作業はいつでも解釈であり、解釈には解釈と記します。特に十行目の T1562 は、「防御の無力化1回」が ATK-DD41EC のものだという個数一致の推論**の上に立っています。

以前にこういう形がありました

推定 Mirai ボットネット (2016)。 Telnetの初期認証情報の辞書でLinux機器に入った後、CPU種類別に作っておいた静的リンクのELFをシェルスクリプトのローダーでダウンロードして実行する構造でした。昨日の表にある root/xc3511、root/root、admin/admin、telnetadmin/telnetadmin は、2016年に公開されたMiraiのソースコードの認証情報一覧に入っている値です。そして「Telnetログイン → /bins/ パスのシェルスクリプト → 静的リンク・シンボル除去のELF → 実行権限付与 → 実行」という ATK-BDB53E の配送形態も同じです。(出典の種類: 米国 US-CERT 警報 TA16-288A · 公開されたソースコード · 複数ベンダーの分析レポート)

推定 GoldBrute (2019)。 インターネットに開いたリモートデスクトップサーバーを大規模にブルートフォースしていたボットネットです。少数の送信元が3389ポートを非常に高い頻度で叩く形が、昨日の隣のサーバー(一か所あたり259.3回、1位エイリアス29,437件)と似ています。ただし昨日の隣のサーバーはネゴシエーション段階だけが観測されており実際の試行内容は確認できず、このボットネットと結びつける根拠はありません。(出典の種類: セキュリティベンダーの研究ブログ(Morphus Labs)の公開分析)

事実 ここで止めます。検体分類サービス(VirusTotal)が連携されていないため、昨日の実行ファイルがMirai系列だという判定はしません。 似ているのは認証情報の値とファイルの外見までです。

では何をすべきか

41か所が今日私たちのドアロックに来るかどうかは私たちには決められません。変えられるのは私たちの家のドアロックがどう施錠されているか、登録一覧を誰が覗いているか、私たちの家から外へ出る道がどうなっているかです。

事実 1. 初期アカウント・簡単なパスワードをそのまま使っている · 可能性高 上の表の二十行はすべて、機器やディストリビューションが出荷時に入れておく値か連番、あるいはボットの印の文字列です。admin/admin 14か所29回、root/root 6か所、root/(空欄) 5か所38回、root/123456 4か所、root/xc3511 3か所。昨日記録されたセッション五件はすべてログインに成功し、成功後3.7秒から9.2秒以内に実行権限付与・ダウンロード・鍵の埋め込みまで進みました。実際のサーバーだったなら、その数秒が侵害時点です。

事実 2. パスワードログインを許可し、鍵方式を使っていない · 可能性高 昨日のログイン試行1,932回のうちSSHセッションは1,956件です。パスワード推測が通った後に入ってきた側が真っ先にしたことは自分のカードを登録することで、昨日その出所は41か所です。鍵方式のみ許可していれば、1,932回の試行は認証段階で終わります。 そして既に登録されたカードがあれば、後からパスワードを変えても無意味です。authorized_keys ファイルを直接開いて知らない行がないか見ることが、パスワード変更より先です。昨日はその裏口を一日に41か所が作って去りました。

事実 3. 管理ポートをインターネットにそのまま開けている · 可能性高 私たちのサーバーのアドレスはどこにも知らせたことがありません。それでも昨日、ドアが開く側に208か所、隣のサーバーに466か所が来ました。二台を合わせて上限674か所です。特定の対象を選んだ痕跡ではなく開いているドアを探す形です。SSH・Telnet・VNC・RDP・SMB・ADBのうちどれか一つでも開いていれば侵入口になります。昨日、隣のサーバーは一か所が2万9,437回押しました。

推定 4. 回数ベースの遮断(fail2ban など)がない · 可能性中 昨日は二つの顔があります。一台目の家の主力形態は 345gs5662d34 40か所40回、一か所あたりちょうど1回です。admin/admin も一か所あたり2.1回。「5回失敗したらロック」ルールは発動しません。 逆に隣のサーバーのリモートデスクトップは一か所あたり259.3回なので、そのルールに確実にかかります。そして ATK-BDB53E は2.43秒間隔でセッション二つを重ねて動かしました。防御の種類によって結果が分かれるため「高」にはしません。送信元単位の制限がなければ3389一ポートに一日3万件がそのまま入ってきますし、あっても昨日の「40か所が一回ずつ」は通過します。

事実 5. 外へ出る接続を止めていない · 可能性高 昨日の192,328バイトの実行ファイルは、サーバーが外へ出てHTTPで受け取ってきたものです。出る道が塞がれていれば、ATK-BDB53E のコマンド7個はダウンロード段階で切れます。「ファイルダウンロード」38回、「ダウンロード後実行」31回、「実行権限付与」159回が同じ場所で止まります。そしてその実行ファイルは三日のあいだに作り直されてハッシュが変わりました。ハッシュで止めるルールは昨日のファイルを取り逃がしますが、出る道を止めるルールはハッシュと無関係に止めます。

推定 6. ログをサーバー内だけに置いている · 可能性中 昨日、痕跡を消そうとする意図が42回、9月17日の2.8倍です。防御の無力化も1回ありました。私たちはハニーポットなのでセッションの82.7%(1,754件)を別途録画しているため、消しても残ります。実際のサーバーはログを外へ出さなければ、消された後に残るものがありません。いつ入ってきてどのカードを登録したかさえ後から再構成できなくなります。ただし、その42回がどのセッションのものかデータにないため「中」にしておきます。

事実 作り直された net.x86_64 の新しいハッシュ 2cebccdc… と配布元 hxxp://160[.]119[.]66[.]206 は C-TAS(韓国インターネット振興院 サイバー脅威情報共有体系)の報告対象です。この配布元は9月15日の初観測以降三度目の報告になります。ただし私たちが確認できるのは送信が成功したことまでで、相手側に実際に取り込まれたかは別途確認が必要です。

私たちが分からないこと

このブログが他所と異なる地点です。分かることより分からないことを書くのに時間を多く使います。 今日は特にそうです。四つの帳簿が互いを知らないからです。

今日の軸について確認できないこと

• [確認不可] 公開鍵の出所41か所 · libssh_0.9.6 の印41か所 · 345gs5662d34 の組み合わせ40か所 · SSH鍵の埋め込み意図43回が同じ集合なのかJSONはつないでくれません。 数字が同じ桁で同じ日に跳ね上がったという状況証拠だけであり、8月18日のブリーフが指摘したのと同じ限界です。f555226d… の検体配達欄が false であることは、むしろ二つの集合が異なるか、公開鍵が「検体」として数えられないことを示唆しますが、どちらなのかJSONは説明しません。
• [確認不可] a8460f44… を配達したエイリアスは41か所のうち10か所のみ露出しており、残り31か所のエイリアスは分かりません。露出した10個はすべてアーカイブになかったエイリアスですが、残り31か所もそうなのかは分かりません。
• [確認不可] 「痕跡の削除」42回がどのセッションに属するのかJSONはつないでいません。主要セッション5件の意図のどこにも「痕跡の削除」がないため、主要セッション以外のセッションから出た値です。
• [注意] 「比べた日のうち最大」は、ブリーフがこの値を列挙した17日基準です。アーカイブ28日分のうち残りの日のこの値はブリーフの一覧にありません。アーカイブに 9/9 · 9/11 · 9/12 · 9/14 · 9/16 · 9/18 · 9/19 がないため、「従来最大」 · 「連続」の表現はすべて**「アーカイブにある日基準」**です。9月17日のブリーフが書いた「ADB従来最大52件」は9月5日の111件を取りこぼした値で、今日はその値を含めて比較しました。

作り直されたファイルについて確認できないこと

• [確認不可] net.x86_64 のハッシュが cd6ccc5d… から 2cebccdc… に変わったのが機能変更 · C2変更 · 再パッキングのどれなのか、検体の内容がブリーフにないため分かりません。1,696バイトの差という事実だけがあります。9月18日 · 19日のブリーフがアーカイブにないため、「三日のあいだ」の正確な交換時点も分かりません。
• [確認不可] 配布元 160[.]119[.]66[.]206 と侵入の送信元 160.119.x.x が同じ機械なのか分かりません。 後ろの二オクテットはマスク処理されており、復元対象ではありません。
• [確認不可] ATK-BDB53E の二つのセッションが同じ認証情報で入ってきたのか、セッション単位の認証情報がJSONにないため分かりません。2.43秒間隔の並列実行が予約なのか偶然なのかも、二回(9/17 · 今日)だけなので周期とは呼びません。
• [確認不可] ATK-DD41EC のセッションが9.2秒でコマンド28個であることが、従来の系列(62~91秒 · 22個)と同じツールの速度変化なのか別のツールなのか、コマンドの原文がないため分かりません。「防御の無力化」1回がこのセッションのものだという読みは、個数一致を根拠とする推論です。

データそのものを疑うべきこと

• [注意] 印の一覧の「集計」値は累積として読めません。 f555226d… は 9/17 205 → 昨日310 ですが、3356ae61…(PuTTY_Release_0.84)は 9/4 · 9/5 に既にあったのに、昨日の集計3 = 今日3 と記されています。
• [確認不可] 隣のサーバーのADB 1,103件の送信元数 · 投入コマンド · ポートがJSONにありません。 ファイル4件をADB経由と読むのは構造上の推定であり、4件にはファイル種類の欄がないため何なのかも分かりません。
• [確認不可] RDP 30,335件が ATK-E37B01 一か所から出たのか確定できません。29,437件と898件の差という状況証拠だけであり、JSONには送信元別のサービスマッピングがありません。mstsc · Admin · Administr の名札がどんなツール · 意図を意味するのかも判断しません。
• [確認不可] 隣のサーバーの26位の五か所が5,6526,562の狭い帯に集まった理由(同じツールの並列実行なのか偶然なのか)と、これらが叩いたサービスはJSONにありません。先頭二オクテットが互いに異なるエイリアスを同じ運営者として束ねる根拠はありません。
• [確認不可] 画面共有のバージョン提案合計(39,863)とセッション(39,919)の56件の差、RDPの名札合計(27,319)とRDPセッション(30,335)の3,016件の差の原因はJSONが説明しません。
• [確認不可] 隣のサーバーで一つの送信元が複数のドアを一緒に舐めたのかは計算できません。サービス別固有送信元の合計(449)と全体(466)の差17がADBの送信元なのか交差なのか区別できません。0と書けば嘘になるので「算出不可」としておきます。
• [注意] 「アーカイブになかったハッシュ · エイリアス」という判断は 8/16~9/17 のブリーフ28件と照合したものであって、原本ログの全数照合ではありません。

意図的につながなかったこと

• [除外] 背景統計として入ってきた脆弱性指標(追跡CVE 7,636件 · KEV 400件 · ランサムウェア連携確認100件)はKISAのセキュリティ公知から抜き出した値です。昨日観測されたどのセッション · 検体ともつながりません。 昨日の二台のサーバーの観測はすべて、脆弱性番号を参照しない認証情報の推測 · プロトコルネゴシエーションです。
• [除外] 圧縮を展開して初めて現れる配布元 31[.]77[.]227[.]121/bins/ の12件は8月16日以降の繰り返し指標なので昨日の新規指標ではありません。昨日、一台目のサーバーに圧縮実行ファイルはありませんでした。平文指標として残った discord Webhook URL 1件も defang 状態でのみ保管します。
• [確認不可] C-TAS 報告は送信が成功したことまでしか確認されません。昨日の新しいハッシュと配布元がKISAに取り込まれたかは別途確認が必要です。

そもそも判断しないこと

• 通信事業者・組織(ASN・ISP) — 関連データベースがありません。推定しません。
• 地理情報 — 上と同じです。そもそもIPの地理情報は帰属の根拠になりません。この記事はいかなる国家・企業・個人も攻撃者として名指ししません。
• VPN・Tor・クラウドかどうか — 判別手段がありません。
• 検体分類(VirusTotal) — 連携されていません。検体分類にはMalwareBazaarのタグを使いますが、昨日の新しい実行ファイルにはタグがありません。
• 接続プログラムの文字列(User-Agent) — 二つの観測面ともウェブ(HTTP)ではありません。01はSSH・Telnet、02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。HTTP攻撃は別のソースです。
• 脆弱性番号(CVE)との紐付け — SSH・Telnet攻撃はほとんど特定の脆弱性を参照せず、02も規格を合わせる段階なので同様です。

同じカード一枚を、一日に41か所が私たちのドアロックに登録して去っていきました。私たちが比べた日のうち最多だった17か所の2.4倍です。同じ日にパスワードの帳簿、接続プログラムの帳簿、行動分類の帳簿も揃って2~3倍に跳ね上がりました。ところが四つの帳簿は互いを知りません。一つの手だったのか四つの手だったのか、記録は教えてくれません。

その隣で、三日前に「変わっていない」と書いたファイルが変わった姿で戻ってきました。何が変わったのかは分かりません。分からないことは分からないままにしておきます。分からないことを分からないと記すことも観測の一部です。

その代わり、こちら側でできることは明確です。ドアロックの登録一覧(authorized_keys)を直接開いて知らない行がないか見ること、パスワードの代わりに鍵方式のみ許可すること、管理ポートをインターネットにそのまま晒さないこと、サーバーが外からファイルを受け取ってくる道を止めること、記録はサーバーの外に残すこと。 昨日41か所が指し示した場所は、まさにそこでした。

観測日は2026年9月20日で、この記事はその翌日にまとめました。送信元IPはブリーフでマスク処理された形(130.12.x.x、160.119.x.x、116.92.x.x、149.50.x.x)のまま転記し、復元していません。カードを登録した41か所はエイリアスが10か所までしか露出していないため、代表IPを記していません。配布元のアドレスは誤って接続されないよう defang(hxxp://、[.])状態を本文とIOCブロックの両方で維持しました。認証情報は互いに異なるIP 3か所以上で繰り返し観測された組み合わせ20個のみ原文を引用し、残り1,208個は数だけ明かして値は記していません。通信事業者・国籍・VPNかどうかのように私たちに計測手段がない項目は推定せず「分からない」のまま残しました。