宅配便の数はそのまま、送り状の様式だけが一日でひっくり返った

マンションの警備室に一日中座っていると想像してみてください。宅配ドライバーさんたちが休みなく箱を預けていきます。警備員さんは箱を受け取るたびに送り状を見ます。送り状は箱に貼られた紙です。誰が送って誰に届くのかが書かれています。

何週間も見ていると、見慣れてくるものが出てきます。一日におおよそ何個の箱が来るのか分かるようになります。送り状の様式もほとんど常に同じです。枠の配置も字体も見慣れた昔の様式です。

ところがある日の朝、おかしなことが起きました。箱の数は普段と同じくらいです。ところが送り状の3分の2が初めて見る新しい様式なのです。昨日、私たちのサーバーの前で起きたことがまさにこれでした。

まず、私たちのサーバーはわざと扉を開けておいた家です

事実 私たちはハニーポットを運用しています。ハニーポットはわざと手薄に開けておき、誰が来て何をするのかを見守るおとりサーバーです。ですから以下の話は実際の被害ではなく観察記録です。

事実 サーバーは2台です。1台目(センサー01)は扉が実際に開きます。入ってきた側がどんなコマンドを打ったかまで記録されます。2台目(センサー02)は扉を開けません。誰が来てどんな送り状を提示したかだけが記録されます。今日の話の中心はこの2台目のサーバーの警備室の台帳です。

箱の数は普段どおりだった

事実 2台目のサーバーには画面共有(VNC)の窓口があります。VNC は遠くから他のコンピューターの画面を見て、マウスとキーボードを代わりに動かす機能です。扉が5900番なのでポート5900と呼びます。昨日この窓口に入ってきた接続試行は43,402件です。一日で割ると2秒に1回の割合で誰かが箱を差し出した計算になります。

事実 多く見えますが、この窓口では平凡な数字です。私たちが平常の範囲として設定している区間が一日20,953~65,487件です。昨日はそのほぼ真ん中あたりです。ですからこの記事は「急増」という言葉を使いません。箱を持って来た場所は207か所です。1か所が平均209.7回ずつ来た計算になります。

ところが送り状の様式がひっくり返った

事実 VNC は接続の冒頭でお互いに**「私は第何版の規則で話す」という表記をやり取りします。この会話規則の名前が RFB です。表記は 003.003 や 003.008 のような形です。前者が旧表記、後者が新表記です。警備室に例えると送り状の様式の版番号**です。

昨日入ってきた送り状を様式別に数えるとこうなります。真ん中の欄の比重を見てください。

事実 これがなぜ目を引くのかは、過去の台帳を開いてみれば分かります。8月26日から9月27日の間で私たちの台帳が残っている日は21日です。その21日間、旧表記 003.003 は毎日82.6%~99.96%を占めていました。旧様式が過半数を譲った日は一日もありませんでした。

事実 新様式が最も多かった日とも比べてみます。

事実 整理するとこうなります。箱の数はいつも来るのと同じだけ来ました。ところが新様式の送り状は、以前最も多かった日の5倍近く貼られて来ました。旧様式は台帳が残っている日の中で最も少なかったのです。変わったのは量ではなく形です。

なぜ変わったのかは分からない

推定 可能性は大きく2つです。1つ目、箱を送る側が送り状を出力するプログラムを変えた可能性があります。同じドライバーさんたちが新様式に乗り換えたという意味です。2つ目、私たちの警備室の側が変わった可能性があります。VNC では私たちのサーバーが先に「この版で話そう」と表記を提示します。警備室の窓口に差しておいた受付用紙が変わると、ドライバーさんたちがそれに倣って書くこともあり得ます。

事実 私たちの台帳はこの2つを区別してくれません。9月1日の記事でも同じ但し書きを付けました。新様式27,336件をどの場所が作ったのかも分かりません。多く来た場所のリストはありますが、そのリストがどの窓口に来たものなのかとつながっていません。

推定 それでも1つは言えます。警備室が台帳を21日間こまめに書き留めていなかったら、昨日はただ「箱が4万3千個来た平凡な日」として過ぎていたでしょう。様式が変わったという事実は、過去の台帳と並べて置いたときだけ見えます。

隣の窓口も覗いてみると

事実 2台目のサーバーには VNC 以外にも窓口がいくつかあります。昨日入ってきた件数と発信元の数はこうです。

事実 **リモートデスクトップ(RDP)**の窓口にも見るべきものがあります。RDP 接続は冒頭に短い名札(クッキー)を書いて出します。送り状の宛名欄のようなものです。昨日書かれていた名札はこうです。

事実 上の2行を足すと RDP 接続の**82.9%**です。10回のうち8回は「管理者宛」と書いて出した計算になります。この2つの名札は9月22日にそれぞれ5,159回・5,151回に跳ね上がりました。9月27日には Administr が2回まで下がりました。そして昨日また上がってきました。

事実 **ファイル共有(SMB)の窓口では反対に旧様式がそのままでした。バージョン表記が残っている442件のうち439件(99.3%)**が SMB1 世代の表記でした。SMB1 は非常に古い世代のファイル共有規則です。‘SMB 2.???’ 表記は3件だけでした。VNC の窓口だけで様式が変わったのです。

事実 Android の通路(ADB)はセッション215件と検体8件だけが記録されました。ポート・発信元の数・入ってきた内容は昨日の台帳にありません。2台目のサーバーが受け取ったファイル8件のうち6件は ATK-002498 が置いていきました。ATK- で始まる名前は私たちが発信元ごとに付ける別称です。この別称は8月28日・30日の台帳にもあります。

1台目のサーバー — 品名欄に「裏口」と書かれた箱

次は扉が実際に開く1台目のサーバーに移ります。ここは警備室を通り過ぎて家の中まで入ってきた側の記録です。

事実 昨日 ATK-FFF96F という訪問者がファイルを1つ受け取っていきました。受け取ってきたアドレスは hxxp://45[.]207[.]157[.]28/backdoor.sh です。アドレスは誤って接続されないようわざと変形して書いています。ファイル名の backdoor は日本語で**「裏口」**です。箱の品名欄に大っぴらに「裏口」と書かれて来た計算になります。

事実 このファイルはシェルスクリプトです。シェルスクリプトはコマンドを数行まとめて1つのファイルに収めたものです。実行すると書かれたコマンドが順に動きます。サイズは697バイトです。英字で700文字ほど、短いメモ1枚分の量です。

事実 この箱には初めて見るものが3つあります。ファイルのハッシュ、送信元アドレス、受け取っていった側の別称です。ハッシュはファイルの内容全体から計算した固有の番号です。一文字違うだけで全く違う値になります。3つすべて、8月16日から9月27日までの台帳31日分のどこにもありません。

推定 名前だけ見ると、入ってきた後に再び入る道を作っておこうとするファイルだと読めます。しかしこれは名前から出てきた解釈です。箱の中に何が入っていたのか、実際に開いて動かしたのかは私たちの記録にありません。ATK-FFF96F がどう入ってきてコマンドを何個打ったのかも空白です。

事実 見慣れた箱も1つまた来ました。ATK-60335A が hxxp://64[.]89[.]160[.]48:80/bins/parm7 から60,088バイト(約60キロバイト)の実行ファイルを3回受け取っていきました。ARM という種類の CPU 用です。9月27日の記事に初めて記したものとハッシュ・アドレス・別称がすべて同じです。4日ぶりの再登場です。

34か所、送り状のプリンターは1機種

事実 1台目のサーバーに入ってくる SSH 接続には指紋が残ります。SSH は遠くにあるコンピューターに暗号化された通路で接続する方式です。指紋は接続プログラムが冒頭に提示する設定の組み合わせから作った値です。宅配便に例えると送り状を出力したプリンターの機種です。

事実 昨日最も多く見られた指紋は a591c4dd… で、接続プログラムの名前は SSH-2.0-libssh_0.12.0 です。libssh は SSH 接続プログラムを作るときに持ってきて使う部品の束です。この指紋が昨日互いに異なる IP 34か所から出てきました。これまでにこの指紋を見せた場所は全部で39か所です。そのうち**87%が昨日の一日に集中しました。**指紋の値も、libssh_0.12.0 という名前も、私たちの記事の台帳にはなかったものです。この34か所は昨日ファイルを置いていくことはしませんでした。

推定 送ってきた場所は34か所に散らばっていました。ところが送り状はすべて同じ機種のプリンターから出ていました。ですから同じツールとしてまとめられます。ただしここで線を引きます。同じプリンターを使っているからといって同じ会社ではありません。これはプログラムの指紋であって人の指紋ではありません。同じ libssh 0.12.0 の初期値を使う無関係な人も同じ値を出します。ですから「同じツール」までしか言わず、「同じ組織」とは言いません。昨日の指紋の束は全部で48個でした。

いつも来るドライバーさんたち

事実 昨日1台目のサーバーでログインに成功した主要セッションは5件です。5件すべて台帳にすでにあった形です。

事実 ATK-CA5936 は8月19日から私たちの記事に出続けている訪問者です。昨日も SSH で入ってきて3.841秒で出ていきました。大きく息を1回つく間です。コマンドは1個でしたが、行動分類は5種類が付きました。ファイルも2個受け取りました。399バイトの OpenSSH 秘密鍵と54バイトの文字ファイルです。指紋・ハッシュまで8月19日と同じです。

事実 残りの4件はTelnetでした。Telnet はやり取りする内容を暗号化しない古いリモート接続方式です。この4件は2組に分かれます。

• ATK-87A71B と ATK-7F6088 — コマンド22個、ファイル11個、行動分類は「防御の無力化」1つ。どちらも1バイトの空ファイルを残しました。この空ファイルは昨日全部で22回出てきました。
• ATK-24B51F と ATK-346617 — コマンド17個、ファイル0個、行動分類5種類。ATK-CA5936 と同じ組み合わせです。

推定 発信元は互いに異なるのに、やっていることが瓜二つです。最初の組は7時間44分間隔で入ってきました。同じ自動化スクリプトが複数の場所で動いたものと読めます。ただし Telnet には指紋が残りません。ですから同じプリンターなのかは確認できません。

時間順に並べると

昨日一日を時間順に並べるとこうなります。**Telnet 4行の「コマンド22個」と「コマンド17個」**が組として対になるところに注目してください。時刻は韓国時間で、括弧内は世界標準時です。

1. 12:09:03 ~ 12:09:07 KST (03:09:03Z)
   事実 センサー01 · ATK-CA5936(130.12.x.x) SSH ログイン成功。3.841秒 · コマンド1個 · 意図5種(偵察—システム · ファイルダウンロード · 実行権限付与 · ダウンロード後実行 · SSH 鍵の植え込み)。ダウンロード2件: 399バイトの OpenSSH 秘密鍵(43728fbf…) · 54バイトの ASCII テキスト(00b6f15c…)。指紋 16443846184eafde36765c9bab2f4397 · SSH-2.0-Go · 記録の緻密さ 19
2. (アーカイブ照合)
   事実 ATK-CA5936 · 指紋 16443846… · 秘密鍵 43728fbf… · テキスト 00b6f15c… は 8/19 のブリーフから繰り返し記録されている値である。今日の新規指標ではない
3. 13:34:53 ~ 13:35:59 KST (04:34:53Z)
   事実 センサー01 · ATK-87A71B(183.106.x.x) Telnet ログイン成功。66.818秒 · コマンド22個 · 意図「防御の無力化」1種 · ダウンロード11件 · 記録の緻密さ 42(今日の最高)。1バイトの空ファイル(01ba4719…、今日22回)の配達者
4. 15:44:33 ~ 15:45:37 KST (06:44:33Z)
   事実 センサー01 · ATK-24B51F(217.60.x.x) Telnet ログイン成功。63.848秒 · コマンド17個 · 意図5種(CA5936 と同じ組み合わせ) · ダウンロード0
5. 18:49:17 ~ 18:50:21 KST (09:49:17Z)
   事実 センサー01 · ATK-346617(209.99.x.x) Telnet ログイン成功。63.722秒 · コマンド17個 · 意図5種(同じ組み合わせ) · ダウンロード0
6. 21:18:55 ~ 21:19:56 KST (12:18:55Z)
   事実 センサー01 · ATK-7F6088(82.14.x.x) Telnet ログイン成功。61.081秒 · コマンド22個 · 意図「防御の無力化」 · ダウンロード11件 · 記録の緻密さ 42。1バイトの空ファイル(01ba4719…)の配達者である2つの別称のうち1つ
7. (解釈)
   推定 ATK-87A71B と ATK-7F6088 は発信元が異なるのにコマンド22個 · ダウンロード11件 · 意図 · 空ファイルまで同じで、7時間44分間隔で入ってきた。ATK-24B51F と ATK-346617 もコマンド17個 · 意図5種 · ダウンロード0件で同じである。同じ自動化スクリプトが互いに異なる発信元で動いた形と読める。Telnet なので指紋がなく、ツールの同一性は確認できない
8. (一日の集計 · 時刻不明)
   事実 センサー01 · ATK-FFF96F が hxxp://45[.]207[.]157[.]28/backdoor.sh から697バイトの POSIX シェルスクリプト(83b36b3a…)を1回受け取った。この別称は主要セッションの一覧にない。ハッシュ · 配布元 · 別称すべてアーカイブ31日分(8/16~9/27)にない
9. (一日の集計 · 時刻不明)
   事実 センサー01 · ATK-60335A が hxxp://64[.]89[.]160[.]48:80/bins/parm7 から60,088バイトの ARM ELF(40b497bc…、'no section header')を3回受け取った。9/27 のブリーフに初めて記録されたものとハッシュ · アドレス · 別称が同じ。4日ぶりの再登場
10. (一日の集計)
    事実 センサー01 · 389バイトの OpenSSH RSA 公開鍵(a8460f44…)を13回観測、出所12か所(一覧には10個の別称のみ掲載)。意図「永続化 — SSH 鍵の植え込み」16回
11. (一日の集計)
    事実 センサー01 · SSH 指紋 a591c4ddccc960a2da8099958270fc92(SSH-2.0-libssh_0.12.0)が今日 IP 34か所から出てきた。累計39か所 · 検体の配達なし。この指紋の値と 'libssh_0.12.0' の文字列はブリーフのアーカイブにない
12. (一日の集計 · 02)
    事実 センサー02 · VNC(5900) 接触43,402件 · 固有発信元207か所(1か所あたり209.7回)。提案 RFB バージョン 003.008 27,336回(63.2%) · 003.003 15,927回(36.8%) · バージョンの記録なし139件
13. (アーカイブ照合 · 02)
    事実 8/26~9/27 の 02 ブリーフ21日分で 003.008 は一日最大5,616回(9/13)、比重最大17.0%(9/17)だった。003.003 が過半数を譲った日はなかった。今日の 003.003 の15,927回も同期間の最低(9/17 17,315)より少ない
14. (一日の集計 · 02)
    事実 センサー02 · RDP(3389) 3,565件/104か所。クッキー Administr 1,478 · Admin 1,476 · <ip> 415 · hello 43 · (empty) 3 · Domain 1。Administr+Admin が82.9%。9/22 にそれぞれ5,159 · 5,151 に跳ね上がった後 9/27 に Administr 2回まで下がり、今日また上がってきた

事実 時刻が記された5行はすべてすでに知っている顔です。新しいものは時刻が空白の「一日の集計」の行に集まっています。backdoor.sh、libssh の指紋、そして VNC の様式の転換です。昨日新しかったのは1件のセッションではなく、一日全体の形から出てきました。

昨日出てきた値 — 書き留めるもの

防御にお使いいただけるよう値をそのまま移します。**値を押すとコピーされます。**アドレスは http の代わりに hxxp、ドットの代わりに [.] に置き換えた状態です。そのままにして使ってください。最初の行とそのアドレスの行が昨日初めて見た値です。

事実 8行のうち6行はすでに台帳にあった値です。ブロックリストをこまめに管理していたなら、昨日新しく追加する行は**backdoor.sh のハッシュとアドレスの2行**です。

このパスワードをお使いですか

事実 昨日1台目のサーバーへのログイン試行は3,602回でした。24秒に1回の割合で誰かが玄関の暗証番号を押してみた計算になります。ラーメンを1つ作る間に10回ほどです。

事実 試行された ID・パスワードの組み合わせのうち、この記事に移すのは20種だけです。互いに異なる IP 3か所以上で繰り返された組み合わせだけ原文を記すのが私たちの規則です。この基準に届かなかった**1,608種は個数だけ数えて値は記しません。**1か所からだけ出てきた組み合わせは、どこかから漏れた誰かの本物のアカウントである可能性があるからです。1,608種は台帳31日分で3番目に大きい値です。9月7日(2,527種)と9月10日(1,828種)の次です。最初の行の発信元の数を見てください。

事実 admin/admin は30か所から143回入ってきました。1か所が平均4.8回ずつ入れてみた計算になります。表の下の方の 1q2w3e4r、1qaz2wsx はキーボードの配列を上下になぞると出てくる順序です。覚えやすいパスワードは入れてみるのも簡単です。

昨日一日の全体

事実 扉が実際に開く1台目のサーバーの一日の集計です。右の欄も一緒に見てください。

事実 サーバーの中で打ったコマンドを、何をしようとしたかで分けるとこうなります。

事実 「SSH 鍵の植え込み」は、サーバーにパスワードなしで再び入れる鍵をこっそり登録しておくことです。その鍵のファイルが上の IOC の389バイトの公開鍵です。ショートメッセージ3通ほどのサイズです。この鍵は昨日12か所から13回入ってきました。「実行権限の付与」は受け取ったファイルをプログラムとして動かせるように許可する段階です。7行を足すと3,978です。コマンド5,577個より少ないです。その差を台帳は説明してくれません。

事実 2台目のサーバーで最も多く来た12か所の件数を足すと43,019です。そのうち上位9か所はそれぞれ2,900回を超えて来ました。168.144.x.x は互いに異なる2つの別称(ATK-48B384 · ATK-2A62E4)で出てきます。アドレスが隠されているので同じアドレスなのかは分かりません。

同じ日の VNC 窓口の話は60秒の動画にもしました。動画は数字1つに集中し、この記事はその数字の前後の台帳を広げました。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CK は攻撃の手口ごとに番号を付けておいた国際的な一覧です。昨日見た行動をその番号に合わせるとこうなります。**ID を押すと原文の説明に飛びます。**私たちの言葉をそのまま信じず、直接確認してみてくださいという意味でリンクを張ります。

• T1110.001Brute Force: Password Guessing — ログイン試行3,602回、admin/admin 30か所143回推定
• T1078.001Valid Accounts: Default Accounts — 主要セッション5件すべてログイン成功、引用した組み合わせが初期値の系列推定
• T1082System Information Discovery — 「偵察 — システム」3,129回推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」18回、backdoor.sh · parm7推定
• T1222.002File and Directory Permissions Modification: Linux and Mac — 「実行権限の付与」787回推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「SSH 鍵の植え込み」16回、公開鍵の出所12か所推定
• T1070Indicator Removal — 「痕跡の削除」13回推定
• T1562Impair Defenses — 「防御の無力化」2回、ATK-87A71B · ATK-7F6088推定
• T1046Network Service Discovery (センサー02 — 接触パターン基準) — VNC · RDP · SMB などの窓口への叩き推定

事実 9行すべて**[推定]です。私たちの手元にあるのはコマンドの「意図の分類結果」と回数までです。コマンドの原文はありません。分類表に合わせることは常に解釈です。最後の行は2台目のサーバーの話です。そこでは扉が開かないので、「叩いた形」だけを見て付けた番号**です。

以前こういう形があった

推定 Mirai ボットネット (2016). 初期アカウントで Telnet などにログインして IoT 機器を感染させました。IoT 機器はルーターや防犯カメラのようにインターネットにつながった小さな機器です。感染した機器たちは大規模な DDoS 攻撃に動員されました。DDoS は複数の機械が一斉に接続を浴びせてサービスを麻痺させる攻撃です。admin/admin、root/12345 のような初期・脆弱な認証情報でリモートシェルに入るという点が昨日と似ています。サーバー用ではなく機器用の CPU(ARM)の実行ファイルをダウンロードする点も似ています。 (出典の類型: 政府のセキュリティ警報 — US-CERT(CISA) Alert TA16-288A)

事実 ここで止めます。検体の分類タグが今日の材料にありません。ですから**昨日のファイルが Mirai 系列だという判定はしません。**似ているのは手口までです。

それで何をすべきか

宅配便の様式がどう変わろうと、警備室にできることは決まっています。窓口を誰にでも開けておかないこと、同じ人が来続けたら止めること、入ってきた箱を記録することです。

事実 1. 初期アカウント・簡単なパスワードをそのまま使っている · 可能性が高い 昨日の主要セッション5件はすべてログインの段階を越えました。上の表の一番上の組み合わせは製品の初期値か、よくあるパスワードです。「SSH 鍵の植え込み」は16回あり、鍵のファイルは12か所から来ました。

推定 破られるとリモートでコマンドを打てる窓(シェル)を渡すことになります。侵入者が鍵を植えて出ていくと、後でパスワードを変えてもその鍵で再び入ってきます。パスワードを変えたなら authorized_keys(許可された鍵の一覧)ファイルも一緒に確認してください。

事実 2. パスワードログインを許可し、鍵方式を使っていない · 可能性が高い ログイン試行3,602回のうち SSH セッションは3,539件でした。SSH ログイン成功のセッションもありました。公開していない1,608種には漏れた本物のアカウントが混ざっている可能性があります。ただし確認したわけではありません。

推定 漏れた本物のパスワードで合っていれば、何度も間違えた痕跡もなく正常なログインのように見える侵入になります。

事実 3. 管理用の窓口をインターネットに直接開けておいている · 可能性が高い 1台目のサーバーにはセッション4,194件が213か所から来て、実際のログイン成功まで至りました。2台目のサーバーには VNC 43,402件(207か所)、RDP 3,565件(104か所)、SMB 194件(53か所)、LDAP 111件(8か所)、MSSQL 50件(36か所)が来ました。2台目のサーバーは扉を開けないので、ログイン成功という概念自体がありません。

推定 画面共有やリモートデスクトップがインターネットにそのまま開いていると、一日に数千~数万回の叩きを受けます。そのうち1回でも通れば**画面とキーボードがまるごと渡ります。**ただし2台目のサーバーのデータだけでその可能性がどれほど大きいのかは言えません。昨日のように様式が一日で変わっても、窓口を閉めておいた家は影響を受けません。

推定 4. 接続頻度の制限(fail2ban など)がない · 可能性は中程度 fail2ban は「何回か間違えたらしばらく扉を施錠する」ツールです。VNC は1か所が平均209.7回、RDP は34.3回ずつ来ました。1台目のサーバーも1か所あたり19.7セッションです。こういう側は頻度制限で大きく減らせます。一方 admin/admin は30か所に散らばり、1か所あたり5回に届きません。「5回間違えたら施錠」の規則には引っかからない可能性があります。2種類が混ざっているので「中程度」としておきます。

事実 5. 外へ出ていく接続を遮断していない · 可能性が高い 昨日「ファイルのダウンロード」の意図が18回、「ダウンロード後の実行」が13回でした。backdoor.sh と parm7 はどちらもサーバーが外にあるアドレスへ出ていって受け取ってきたファイルです。ATK-CA5936 もファイルを2個受け取りました。

推定 出ていく道が塞がれていたら「裏口」の箱は警備室に届くことさえできなかったでしょう。開けておくとサーバーが外からスクリプトや実行ファイルを受け取って動かします。その結果ボットネットに引き込まれたり、バックドアがさらに仕掛けられたりする可能性があります。backdoor.sh の実際の内容は私たちの材料にありません。

推定 6. ログを集めていない、または異常行動の監視がない · 可能性は中程度 「痕跡の削除」が13回、「防御の無力化」が2回ありました。偵察(3,129回)に比べれば少ないです。サーバーの中の記録だけを信じると、侵入者が消した記録とともに侵入の事実自体を知るのが遅れます。記録を外へリアルタイムで送っておかないと、後で掘り返して見る材料も残りません。昨日の VNC の様式の転換も21日分の台帳が別に残っていたから気づけました。

事実 昨日初めて見た配布元 45[.]207[.]157[.]28 は届出方針上 C-TAS(韓国インターネット振興院のサイバー脅威情報共有体系)の届出対象です。ただしこのアドレスが実際に送信されたのかは材料にありません。送信したとしても私たちが確認できるのは送信成功までです。KISA 側に実際に登録されたのかは別途確認が必要です。

私たちが分からないこと

このブログが他と違う点です。知っていることと同じだけ、分からないことも記します。

変わった送り状の様式について

• [確認不可] VNC のバージョン表記が 003.003 優位から 003.008 優位へ**ひっくり返った原因が分かりません。**相手のツールが変わったのか、私たちのハニーポットが先に提示するバージョンや設定が変わったのか、台帳が区別してくれません。9月1日の記事にも同じ但し書きを付けました。
• [確認不可] 新様式27,336件をどの発信元が作ったのか分かりません。多く来た場所のリストが窓口別に分かれていません。
• [確認不可] 多く来た場所のリストの「件数」と全体の「セッション」が同じ単位なのか定義がありません。ですから上位12か所の合計43,019を全体の何パーセントだと言い換えません。
• [確認不可] Android の通路(ADB)はセッション215件・検体8件以外に詳細な記録がありません。入ってきた内容・ポート・発信元の数を扱えません。

「裏口」の箱と1台目のサーバーについて

• [確認不可] backdoor.sh(83b36b3a…、697バイト)の**内容と実行の有無が分かりません。**受け取っていった ATK-FFF96F のセッションが主要セッションの一覧にないため、どう入ってきたのか・コマンドを何個打ったのか・何をしようとしたのかも空白です。
• [確認不可] 配布元 45[.]207[.]157[.]28 が C-TAS に実際に送信・登録されたのかはこの材料では確認できません。
• [推定] 代表セッションのポートを2222と記した根拠は、ポート2222の数(3,539)と SSH の数(3,539)が同じだということだけです。セッション別のポートの欄はありません。
• [確認不可] libssh の指紋 a591c4dd… の累計39か所のうち昨日以前の5か所がいつ来たのか分かりません。私たちの記事の台帳にはありませんが、「昨日初めて観測」とは書きません。
• [確認不可] 399バイトの OpenSSH 秘密鍵(43728fbf…)を攻撃者が持ってきたのか、サーバーで作られたのか、材料が区別してくれません。8月19日以降同じ状態です。
• [確認不可] 1バイトの空ファイル(01ba4719…、22回)の**用途が分かりません。**ダウンロードに失敗した痕跡なのか、わざとそうしたのか見分けられません。
• [確認不可] 公開していない認証情報1,608種のうち、実際に漏れたアカウントがどれほどあるのか分かりません。「漏れたものかもしれない」は公開を見送った理由にすぎず、漏洩を確認したわけではありません。

わざと除いた、またはつなげなかったもの

• [除外] 平文の指標として残っていた Discord Webhook 1件は、昨日のどの観測とつながるのか材料にありません。台帳に繰り返し出てきた値なので本文に書きませんでした。
• [除外] 圧縮を解いてはじめて見えるアドレス12件(31[.]77[.]227[.]121/bins/…)は8月16日以降繰り返された指標なので背景としてのみ置きます。
• [除外] 背景の統計(CVE 7,662件 · KEV 412件 · ランサムウェア連携の確認101件)は昨日のハニーポットの観測と直接つながらないため根拠として使いませんでした。

一切判断しないもの

• 通信事業者・組織(ASN・ISP) — 関連するデータベースがありません。推定しません。
• 地理的位置 — 同じ理由で分かりません。IP の地理情報は、そもそも誰がやったのかを特定する根拠になりません。この記事はいかなる国・企業・個人も攻撃者として指し示しません。
• VPN・Tor・クラウドの有無 — 判別する手段がありません。
• 検体の分類(VirusTotal) — 連携していません。検体の分類は MalwareBazaar のタグを使います。
• 接続プログラムの文字列(User-Agent) — 2台のサーバーはどちらもウェブ(HTTP)ではありません。1台目は SSH・Telnet、2台目は SMB・RDP・VNC・MSSQL・LDAP・ADB です。ウェブ攻撃は別のソースで扱います。
• 脆弱性番号(CVE)との紐付け — SSH・Telnet 攻撃は大部分が特定の脆弱性を参照しません。2台目のサーバーも接続規則を合わせる段階なので同様です。

昨日の警備室には、箱がいつも来るのと同じだけ来ました。4万3千個、2秒に1つの割合です。違ったのは送り状でした。21日間一度も過半数になったことのない新様式が、10枚のうち6枚を超えました。34か所から来た送り状は同じ機種のプリンターで出力されていました。初めて見る発送元から来た箱1つには、品名欄に「裏口」と書かれていました。

様式がなぜ変わったのか、箱の中に何が入っていたのかは分かりません。分からないことは分からないままにしておきます。ただし様式が変わったことに気づけたのは21日分の台帳があったからです。そして様式がどう変わろうと結果が同じ家があります。窓口を閉めておいた家です。

観測日は2026年10月1日(UTC 基準の一日)で、この記事は翌日に整理しました。発信元 IP はブリーフでマスキング処理された形(130.12.x.x、183.106.x.x、217.60.x.x、209.99.x.x、82.14.x.x、168.144.x.x)のまま移し、復元しませんでした。配布元のアドレスは誤って接続されないよう、デファング(hxxp://、[.])の状態を本文と IOC ブロックの両方で維持しました。認証情報は互いに異なる IP 3か所以上で繰り返し観測された組み合わせ20個だけ原文を引用し、残りの1,608種は個数だけ明らかにして値は記しませんでした。通信事業者・国籍・VPN の有無のように私たちに計測手段がない項目は、推定せず「分からない」として残しておきました。