書き留めなかった番号3,026個 — 残りはすべて見たことのあるものだった

学校の廊下に番号式ダイヤル錠のついたロッカーが並んでいると想像してみてください。休み時間ごとに誰かが通りがかりに他人の錠のダイヤルを回してみます。ほとんどは 0000 か 1234 を回します。誰でも最初に思いつく番号だからです。

ところが時おり、変わった番号を回す人がいます。0000 でも 1234 でもない、どこか具体的な番号です。それがこのクラスの誰かの本物のロッカー番号だったらどうでしょう? その番号を廊下の掲示板に貼ってはいけませんよね。

今日の話は、その掲示板に何を貼り、何を貼らなかったかについてのものです。昨日、貼らなかった番号は3,026個でした。

私たちのロッカーは、わざと簡単な番号で施錠したおとりです

事実 私たちはハニーポットを運用しています。ハニーポットとは、わざと無防備に開けておき、誰が来て何をするのかを見守るおとりサーバーです。簡単な番号で施錠して監視カメラをつけておいた空のロッカーだと考えてください。以下の話は実際の被害ではなく、観測記録です。

事実 ロッカーは2つです。1つ目(センサー01)は番号が合えば実際に開きます。開けた人が中でどんなコマンドを打ったかまで録画されます。2つ目(センサー02)は絶対に開きません。誰が来てダイヤルをどう回したかだけを記録します。

昨日一日の全体

まず1つ目のロッカーの前がどれだけ混み合っていたかから見ます。右の列の「何秒に一度」を見てください。

事実 SSHとtelnetはどちらも、遠くにあるコンピューターに入ってコマンドを打つ方法です。SSHは行き交う内容を暗号で包みます。telnetは包まない古い方式です。ルーターやカメラのような小さな機器が、まだtelnetの扉を開けたままにしている場合があります。

事実 コマンド11,394個のうち「何をしようとしたのか」の分類が付いたのは3,516個です。約30.9%、10個のうち3個ほどです。

事実 偵察が圧倒的です。ロッカーを開けた後に真っ先にすることは中を見回すことでした。残りの5行をすべて足しても偵察の10分の1に届きません。

掲示板に貼った番号、貼らなかった番号

事実 昨日試行されたID・パスワードの組み合わせのうち、この記事にそのまま載せるのは20種です。私たちのルールは一つです。異なるIP3か所以上から同じように回された組み合わせだけを書きます。この基準に届かなかった組み合わせは個数だけを数えます。昨日、その数が3,026種でした。

事実 3,026種は、私たちが蓄積してきたブリーフ32本の中で最も多い値です。これまでの最大は9月7日の2,527種でした。約1.2倍です。掲示板に貼った番号1つにつき、貼らなかった番号が150個ほどあった計算になります。

推定 1〜2か所からしか出なかった組み合わせは、どこかから漏れた誰かの本物のアカウントかもしれません。廊下でたった一人だけが回してみた具体的な番号と同じです。だから値は書きません。逆に下の20種は、複数の場所が同じように持ち込む番号です。誰のものでもない工場出荷時の初期値です。1行目の数字を見てください。

事実 「(空欄)」は、パスワードなしでそのまま入ってみる試行です。錠のダイヤルを回しもせずに扉を引いてみるのと同じです。こうした試行も4か所から来ました。

事実 なぜ今日3,026種に増えたのかは**分かりません。**相手が使う番号リストが変わったのか、私たちの集計方式が変わったのか、データが区別してくれません。

33人が一度ずつ、そして同じ鍵

事実 表の1行目の 345gs5662d34 / 345gs5662d34 は、異なるIP33か所からちょうど33回試行されました。1か所につき1回ずつです。

事実 同じ日に389バイトのSSH公開鍵ファイルも、異なる出所33か所から33回残りました。大きさは英字389文字、短いメモ1枚分です。SSH公開鍵を埋め込むとはこういう意味です。ロッカーの**「この鍵でも開けてあげて」名簿**に自分の鍵をこっそり載せておくのです。そうすれば、後でダイヤル番号を変えてもその鍵で再び開けられます。サーバーではこの名簿ファイルを authorized_keys(許可された鍵のリスト)と呼びます。この公開鍵は8月16日のブリーフから出続けているファイルです。

事実 数字の33はもう一か所に出てきます。SSHで接続するプログラムは、接続時に自分の設定の組み合わせを示します。それから作った値をフィンガープリントといいます。フィンガープリント f555226d…(SSH-2.0-libssh_0.9.6)が昨日、IP33か所から見られました。libsshはSSH接続プログラムを作るときに持ってきて使う部品の束です。「SSH鍵の埋め込み」に分類された行動は34回でした。

推定 パスワードの組み合わせ33か所、鍵33か所、フィンガープリント33か所。同じツールが「1か所で1回ログインし、同じ鍵を名簿に載せる」を回したものと見られます。ただし3つの数字の33か所が**同じ33か所なのかは確認できません。**送信元ごとにつなぎ合わせる情報がデータにありません。

事実 このフィンガープリントの束はこれまでの累計693か所で、52束の中で最も大きいものです。ただし「累計」値が減ったことがあるので、正確な増加分として読んではいけません。そして同じフィンガープリントは同じツールという意味だけで、同じ人や組織という意味ではありません。同じlibsshバージョンを使う無関係な人も同じ値を出します。

推定 ここで重要なのは「5回間違えたらロック」のようなルールです。1か所が1回ずつしか回していなかったなら、このルールは一度も鳴らなかったでしょう。逆に root/xc3511 は3か所から87回、1か所あたり29回回しました。こちらはロックのルールによく引っかかります。

42日前の録画と重なって見える映像

ここからは実際にロッカーを開けた5件を見ます。5件すべてtelnetで、すべてログインに成功しました。

事実 そのうち最も多くのことをしたのが ATK-F2B80A(121.161.x.x)です。ATK- で始まる名前は、私たちが送信元ごとに付ける別名です。この接続は約32.5秒の間にコマンド48個を打ちました。1秒にコマンド1.5個ほどです。人が手で打つのは難しい速さです。ロッカーの中に入れておいたファイルは12個です。

事実 ところがこの別名は8月23日のブリーフにもあります。2つの日を並べるとこうなります。

事実 42日が経ちました。変わったのは開始時刻だけです。滞在時間は0.1秒差です。監視カメラの映像2つを重ねて流せば、ほぼそのまま重なり合う計算です。

事実 ロッカーに入れた12個のうち11個は1バイトの空ファイルです。文字ちょうど1つ分の大きさです。この空ファイルは昨日あわせて22回出てきて、8月17日から繰り返されています。残りの1個は202バイトのシェルスクリプトです。シェルスクリプトとは、コマンドを数行まとめて1つのファイルに収めたメモです。202バイトなら英字202文字、ショートメッセージ2〜3行の長さです。このメモは8月21日・8月23日・9月6日に続いて4回目の登場です。

推定 別名が同じだからといって、同じ人が再び来たわけではありません。別名は送信元がつながっているかを見る仕掛けにすぎません。同じ自動化プログラムが同じアドレスから再び回ったと見るほうがデータに合います。自動プログラムは日付を気にしません。同じロッカーの前に立てば、同じ順番で同じことをします。

事実 そっくりなものはもう一つあります。ATK-2CB5A2(58.72.x.x)は約17.7秒の間にコマンド20個を打ち、ファイル11個を残しました。記録の細かさは40です。8月29日のブリーフに同じ別名が、コマンド20個・ファイル11個・約18秒・40として残っています。36日ぶりです。

事実 ATK-50E6EA(45.238.x.x)は昨日、行動分類が最も多く付いた接続です。偵察・ファイルのダウンロード・実行権限の付与・ダウンロード後の実行・SSH鍵の埋め込みの5種類です。コマンドは17個で、残したファイルは0個です。この形(コマンド17・分類5・ファイル0・細かさ17)は、8月18日〜23日に異なる別名で6回記録されたものと同じです。

事実 ATK-7FD4FE(112.46.x.x)は5.0秒でコマンド20個を打ち、9バイトの文字ファイル2個を残しました。9バイトは英単語1つの長さです。この2つのファイルは8月21日・23日・28日・9月1日にも対で出てきました。そのときは別の別名でした。

事実 ATK-677233(117.216.x.x)は約86.2秒の間にコマンド31個を打ちました。ダウンロードしようとする行動が分類されましたが、残ったファイルは0個です。

時間順に並べてみると

昨日を時間順に並べるとこうなります。時刻は韓国時間で、括弧内は世界標準時(UTC)です。「アーカイブ照合」の行で、8月23日の数字と10月4日の数字を合わせてみてください。

1. 10:01:38 ~ 10:03:04 KST (01:01:38Z ~ 01:03:04Z)
   事実 ATK-677233(117.216.x.x) telnetログイン成功。約86.2秒 · コマンド31個 · 行動分類3種(「ファイルのダウンロード」 · 「実行権限の付与」 · 「ダウンロード後の実行」) · ダウンロード0 · 記録の細かさ13
2. 10:01:38 ~ 10:03:04 KST (01:01:38Z ~ 01:03:04Z)
   推定 ダウンロード行動が分類されたのに保存されたファイルは0個だ。ダウンロードに失敗したのか、分類器だけが反応したのかは区別できない
3. 11:15:40 ~ 11:15:57 KST (02:15:40Z ~ 02:15:57Z)
   事実 ATK-2CB5A2(58.72.x.x) telnetログイン成功。約17.7秒 · コマンド20個 · ダウンロード11件 · 行動分類なし · 記録の細かさ40。1バイトの空ファイル(01ba4719…)。8/29 に同じ別名がコマンド20 · ファイル11 · 18秒 · 40 として記録された。36日ぶり
4. 17:08:21 ~ 17:08:26 KST (08:08:21Z ~ 08:08:26Z)
   事実 ATK-7FD4FE(112.46.x.x) telnetログイン成功。約5.0秒 · コマンド20個 · ダウンロード2件 · 行動分類「実行権限の付与」 · 「ファイルのダウンロード」。9バイトのASCIIテキスト2つ(a9b1c85a… · 1193dde1…)。8/21 · 8/23 · 8/28 · 9/1 にも対で出てきて、そのときは別の別名
5. 17:12:07 ~ 17:13:09 KST (08:12:07Z ~ 08:13:09Z)
   事実 ATK-50E6EA(45.238.x.x) telnetログイン成功。約62.4秒 · コマンド17個 · 行動分類5種(本日最多) · ダウンロード0 · 記録の細かさ17。8/18~8/23 に異なる別名で6回記録された形と同じだ
6. 17:12:07 ~ 17:13:09 KST (08:12:07Z ~ 08:13:09Z)
   推定 行動分類には順序の情報がない。偵察 → ダウンロード → 実行権限 → 永続化の順に起きたとは書けない。5種類が「観測された」ということまでしか言えない
7. 21:35:51 ~ 21:36:23 KST (12:35:51Z ~ 12:36:23Z)
   事実 ATK-F2B80A(121.161.x.x) telnetログイン成功。約32.5秒 · コマンド48個(本日最多) · ダウンロード12件(本日最多) · 記録の細かさ43(本日最高) · 行動分類なし。1バイトの空ファイル(01ba4719…)11件 + 202バイトのPOSIXシェルスクリプト(0c99433c…)1件
8. アーカイブ照合 (8/23 → 10/4)
   事実 8/23 の ATK-F2B80A(121.161.x.x)は 02:13:52Z~02:14:24Z · 約32.6秒 · コマンド48 · ダウンロード12 · 細かさ43 · 分類0個。ハッシュも 01ba4719… 11件 + 0c99433c… 1件で同じだ。開始時刻だけが変わり、長さは0.1秒差。0c99433c… は 8/21(ATK-792ADF) · 8/23(ATK-F2B80A) · 9/6(ATK-60E535)に続いて4回目
9. アーカイブ照合 (8/23 → 10/4)
   推定 別名は送信元がつながっているかを見る仕掛けにすぎない。同じ人が再び来たという意味ではない。同じ自動化スクリプトが同じアドレスから再び回ったと見るほうがデータに合う
10. 観測区間全体
    事実 389バイトのOpenSSH RSA公開鍵(a8460f44…)が異なる出所33か所から33回。8/16 から繰り返し。345gs5662d34 / 345gs5662d34 の組み合わせがIP33か所から33回。SSHフィンガープリント f555226d…(SSH-2.0-libssh_0.9.6) IP33か所。「SSH鍵の埋め込み」34回
11. 観測区間全体
    推定 33が3つの値で重なる。同じツールが「1か所あたり1回ログイン → 同じ鍵を埋め込む」を回したものと見られる。3つの値の33か所が同じ場所なのかは確認できない
12. 観測区間全体 (センサー02)
    事実 02 の検体4種(46,525 · 153,208 · 239,388 · 334,816バイト、合計773,937バイト)がそれぞれ3回ずつ ATK-D71792 · ATK-EE2628 から来た。4つのハッシュはすべて 8/28(当時 ATK-F4738A)に初記録、8/30 にも4種、9/20 にそのうち1つ。37日の間ファイルはそのままで、送った別名だけが変わった
13. 観測区間全体 (センサー02)
    事実 VNC(5900)への接触32,043件。RFBバージョン 003.008 30,099回 · 003.003 1,887回。バージョンが記録された31,986件のうち 003.008 が94.1%。10/1 に初めて過半(63.2%)となった比率がさらに大きくなった

事実 時刻が記録された5つの接続はすべて、すでに帳簿にあった形です。昨日初めて見た接続は**一つもありませんでした。**最も短いものは5秒、最も長いものは86秒でした。人が錠の前で考え込む時間としては短すぎます。

開かないロッカーの前では

事実 2つ目のロッカー(センサー02)は開きません。だからログイン成功も、コマンドも、パスワードもありません。誰がどの窓口に何回来たかだけが残ります。

事実 VNCが全体の95.4%です。1日32,043件なら約2.7秒に一度です。1か所が平均390.8回ずつ来ました。最も多く来た3か所(ATK-F81B56 6,484 · ATK-943F0E 6,481 · ATK-A9F1B3 6,468)が、このサーバー全体の記録の約57.9%を占めます。3か所の数字の差は20件もありません。

事実 このサーバーにもファイル4種が3回ずつ残りました。4つを合わせて773,937バイト、約774キロバイトです。スマートフォンの写真1枚より小さいです。4つのファイルはすべて8月28日に初めて記録されたものです。37日の間に1バイトも変わっておらず、送った別名だけが変わりました。

推定 SMBの窓口に来た接続は、ほとんどが非常に古い世代(SMB1)の方言リストをまとめて差し出しました。RDPの名札には zgrab も2回ありました。zgrabはインターネット全体を走査する調査ツールの名前です。こうした形は、特定の対象を狙った攻撃よりもインターネット全域を走査するスキャナーでよく見られます。

昨日出てきた値 — 書き留めておくもの

防御に使えるよう、ハッシュをそのまま載せます。ハッシュとは、ファイルの内容全体から計算した固有の番号です。一文字違うだけで全く別の値が出ます。**値を押すとコピーされます。**昨日はアドレス(URL)が残ったファイルはありません。説明欄の日付を見てください。

事実 9行すべて、すでに帳簿にあった値です。ブロックリストを着実に管理してきたなら、昨日**新しく追加する行はありません。**それ自体が昨日の結果です。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは、攻撃手口ごとに番号を付けておいた国際的なリストです。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に飛びます。

• T1110.001Brute Force: Password Guessing — ログイン試行5,020回、初期値中心の組み合わせ推定
• T1078.001Valid Accounts: Default Accounts — 初期アカウント類の組み合わせでtelnetログイン成功5件推定
• T1082System Information Discovery — 「偵察 — システム」3,250回推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」67回、「ダウンロード後の実行」49回推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限の付与」81回推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の埋め込み」34回、389バイトの公開鍵33回推定
• T1070Indicator Removal — 「痕跡の削除」35回 (詳細な手法はコマンド原文がないため特定不可)推定
• T1046Network Service Discovery — センサー02 の VNC · RDP · SMB · LDAP · MSSQL への接触 (侵入ではなく探索の段階)推定

事実 8行すべてが**[推定]です。私たちの手元にあるのは行動分類の結果と回数までです。コマンドの原文はありません。だから番号を付ける作業は常に解釈です。特に T1098.004 が、前に見た鍵の名簿のすり替え**です。

以前にこういう形があった

事実 Miraiボットネット (2016). telnetの初期アカウントを総当たりしてIoT機器を感染させた事件です。IoT機器とは、ルーターや監視カメラのようにインターネットにつながった小さな機器です。昨日の表にある root/xc3511、root/juantech は、2016年に公開されたMiraiのソースコードの初期認証情報リストに入っている組み合わせです。(出典の種類: 政府機関の警報 US-CERT TA16-288A, 2016 · 公開ソースコード)

推定 似ているのはtelnetの初期アカウントを総当たりするという手口までです。昨日の観測がMirai系であるという判定はしません。検体の分類タグが昨日の材料にありません。10年前の廊下で回っていた番号が今も回っているということまでしか言いません。

それで何をすべきなのか

ロッカーの話に戻ると、やるべきことは単純です。誰でも知っている番号を使わないこと、鍵の名簿を覗いてみること、廊下にロッカーを出しておかないことです。

事実 1. 初期アカウント・簡単なパスワードをそのまま使っている · 可能性 高 昨日注目した5件はすべてログインに成功しました。admin/admin は12か所から102回、root/admin 93回、root/xc3511 87回、root/juantech 70回、root/(空欄) 70回、support/support 54回入ってきました。

推定 この番号のどれかを使っていたなら、特別な技術もなく開いたでしょう。開けたらまず中を見回します(偵察3,250回)。その次に外部のファイルを受け取って回し、機器をボットネットの一員として使うことができます。ただし昨日実際に残ったファイルは、1バイト・9バイト・202バイトのスクリプト・公開鍵だけでした。実行プログラムはありませんでした。

事実 2. パスワードログインだけを使い、鍵方式を使っていない · 可能性 高 ログイン試行5,020回、SSHセッション3,559件でした。同じ公開鍵が33か所から33回埋め込まれました。

推定 パスワードログインが無効になっていたなら、5,020回のダイヤル回しは最初から意味がありませんでした。逆に一度開いた後に鍵が名簿に載ってしまえば、ダイヤル番号を変えてもその鍵で再び開きます。鍵方式に変えた後も authorized_keys(許可された鍵のリスト)を開いて、知らない鍵がないか確認してください。

事実 3. 管理窓口をインターネットに直接開けている · 可能性 高 1日にSSH・telnet側に216か所、Windowsリモート管理側に311か所が扉を叩きました。RDP752件(114か所)、VNC32,043件(82か所)です。

推定 管理窓口がVPNやアクセス制御の後ろにあったなら、これらの接触は錠に手も触れられなかったでしょう。ロッカーを廊下ではなく、鍵のかかった教室の中に置くのと同じです。

推定 4. 繰り返し試行のブロック(fail2banなど)がない · 可能性 中 fail2banは「何回間違えたら一定期間ロックする」ツールです。root/xc3511 のように1か所が29回ずつ回すものはこれで止まります。しかし 345gs5662d34 のように33か所が1回ずつしか回さなければ引っかかりません。2種類が混ざっているので「中」です。アカウント単位のロックとパスワードログインの無効化を一緒に使うべき理由です。

推定 5. 外に出ていく接続を止めていない · 可能性 中 「ファイルのダウンロード」67回、「ダウンロード後の実行」49回、「実行権限の付与」81回でした。サーバーが外へ自由に出ていけるなら、「受け取って → 権限を与えて → 実行」がそのままつながります。ただし昨日、1つ目のサーバーに実際に残ったファイルには実行プログラムがありませんでした。だから「高」ではなく「中」です。

推定 6. 記録を外部に集めていない · 可能性 中 「痕跡の削除」が35回ありました。私たちはハニーポットなので、5件すべて録画が残りました。一般のサーバーが記録を自分の中だけに置いていると、侵入者がその記録を消せます。昨日、42日前と全く同じ接続を見分けられたのも、42日前の記録が別に残っていたからでした。

事実 繰り返し出てきた指標(圧縮を解かないと見えない 31[.]77[.]227[.]121/bins/ パス12件、Discordウェブフック1件)はC-TASへの申告対象です。C-TASは韓国インターネット振興院(KISA)のサイバー脅威情報共有体系です。確認できたのは送信成功までです。KISA側に実際に登録されたかは別途確認が必要です。

同じ日の、42日ぶりの再訪の話は60秒の映像にもしました。映像は0.1秒差という一点に集中しました。この記事はその隣の数字を広げました。

私たちが分からないこと

このブログが他と違う点です。知っていることと同じだけ、分からないことも書きます。

そっくりだった接続について

• [確認不可] ATK-F2B80A が8月23日と**同じコマンド48個を打ったのかは分かりません。**コマンドの原文がありません。個数・ファイルハッシュ・長さが同じだということまでしか言えません。
• [確認不可] ATK-F2B80A と ATK-2CB5A2 はコマンド48個・20個を打ってファイル12件・11件を残したのに、行動分類が空です。8月29日のブリーフも同じ空白を指摘しました。昨日最も多くコマンドを打った接続が何をしたのか分かりません。
• [確認不可] ATK-677233 は「ファイルのダウンロード」・「ダウンロード後の実行」、ATK-50E6EA は「ファイルのダウンロード」が分類されました。ところが両方とも残ったファイルは0個です。ダウンロードが失敗したのか、保存されなかったのか、分類だけされたのかは区別できません。
• [確認不可] 9バイトの文字ファイル2つ(a9b1c85a…・1193dde1…)と202バイトのシェルスクリプト(0c99433c…)の**内容は分かりません。**だから用途は判断しませんでした。
• [推定] セッションごとの接続ポートはデータにありません。telnet=2223、SSH=2222は、ポート数とプロトコル数が正確に一致するため(1,768 · 3,559)合わせたものです。

掲示板に貼らなかった番号と33か所について

• [確認不可] 書き留めなかった組み合わせが3,026種で**最も多くなった理由は分かりません。**攻撃側の番号リストが変わったのか、集計方式が変わったのか、データが区別してくれません。
• [確認不可] 3,026種のうち実際に漏れたアカウントがどれだけあるのかは分かりません。「漏れたものかもしれない」というのは公開しない理由にすぎず、流出を確認したわけではありません。
• [確認不可] 345gs5662d34 の組み合わせ(33か所)、公開鍵 a8460f44…(33か所)、フィンガープリント f555226d…(33か所)が**同じ33か所なのか分かりません。**送信元ごとにつなぎ合わせる情報がありません。公開鍵を送った場所も33か所のうち10か所だけが標本として載っています。

2つ目のロッカーについて

• [推定] 02 の検体4種がAndroidの経路(ADB)から入ってきたというのは推定です。このサーバーで入ってきた内容が残る経路がADBだけだという定義に依拠した判断です。ファイルの種類とADBの送信元数はデータにありません。
• [確認不可] 02 の検体4種は8月28日とハッシュが同じですが、送った別名が違います(8/28 ATK-F4738A → 昨日 ATK-D71792・ATK-EE2628)。同じツールが別の場所で回ったのか、このファイルが広く広まっているのかは区別できません。
• [確認不可] VNCバージョン 003.008 の比率が10月1日の63.2%から昨日94.1%に大きくなった**原因は分かりません。**相手のツールが変わったのか、私たちのハニーポットの設定が変わったのか区別がつきません。どの送信元が作ったものかも分かりません。
• [確認不可] 多く来た場所のリストに、マスキングされた上位桁が同じ別名の組があります(201.79.x.x の ATK-F81B56・ATK-08F736、168.144.x.x の ATK-48B384・ATK-2A62E4)。別名が違うので互いに異なる送信元です。同じ帯域なのかを詰めるにはマスキングを解かなければならないので、詰めません。

わざと外した、あるいはつなげなかったもの

• [除外] Discordウェブフックのアドレス1件は、どのセンサーのどの接続から出てきたのかデータにありません。9月15日のブリーフにも繰り返し指標として記されました。アドレスの中にトークンが入っているため、値は載せませんでした。
• [確認不可] C-TASへの申告は送信成功のみ確認されました。KISAへの登録の有無は別途確認が必要です。
• [除外] 背景統計(KISA公示のCVE7,662件のうちCISA KEV412件、ランサムウェア確認101件)は、**昨日のハニーポット攻撃と直接つながりません。**つながっているかのようには書きませんでした。

そもそも判断しないもの

• 通信事業者・組織(ASN・ISP) — 関連データベースがありません。推定しません。
• 地理的位置 — 同じ理由で分かりません。IPの地理情報は、そもそも誰がやったのかを特定する根拠にはなりません。この記事はいかなる国家・企業・個人も攻撃者として指し示しません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• VirusTotal — 連携していません。検体の分類はMalwareBazaarのタグを使いますが、昨日の材料にはタグがありません。
• 接続プログラムの文字列(User-Agent) — 2つのサーバーはどちらもウェブ(HTTP)ではありません。1つ目はSSH・telnet、2つ目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。ウェブ攻撃は別のソースで扱います。
• 脆弱性番号(CVE)との紐付け — SSH・telnetへの攻撃は、ほとんどが特定の脆弱性を参照しません。2つ目のサーバーも接続規則を合わせる段階なので同じです。

昨日の廊下は、いつものように混み合っていました。17秒に一度ほど、誰かがダイヤルを回しました。5回開き、5回すべて以前に見た手つきでした。42日前の録画と重なって見える映像もありました。ロッカーの中に残された物9種も、すべて見たことのあるものでした。

新しかったのは、掲示板に貼らなかった番号の個数でした。3,026個です。その番号が何なのかは、この記事にはありません。これからもありません。ただ一つだけは確かです。掲示板に貼られた20個の中に自分の番号があるなら、今日が変える番です。

観測日は2026年10月4日(UTC基準の1日)で、この記事は翌日にまとめました。送信元IPはブリーフでマスキングされた形(121.161.x.x、58.72.x.x、112.46.x.x、45.238.x.x、117.216.x.x、201.79.x.x、168.144.x.x)のまま載せ、復元していません。アドレスは誤って接続されないようdefang([.])の状態を維持し、トークンが入ったウェブフックのアドレスは載せませんでした。認証情報は異なるIP3か所以上から繰り返し観測された組み合わせ20個のみを原文引用し、残りの3,026種は個数だけを明かして値は書きませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段がない項目は推定せず「分からない」として残しました。