五回やって来て差し込んだプラグ、サーバーのコンセントの形ではなかった

海外旅行に行ってホテルの部屋に入ったとしましょう。携帯の充電器を壁に差そうとするのに入りません。穴が丸い二つではなく、平たい三つです。電気は同じように流れています。それでも プラグの形が合わなければ使えません。

コンピュータのプログラムも似ています。コンピュータの頭脳をCPUと呼びます。CPUには種類がいくつもあり、実行ファイルはそのうち一つの種類に合わせて作られます。形が合うコンセントでしか回らないプラグと同じです。

昨日、誰かが私たちのサーバーに9分足らずのあいだに五回入ってきました。入るたびに外からプラグを受け取ってきました。ところがそのプラグは サーバー用の形ではありませんでした。 今日の話は、そのプラグの形についてです。

私たちのコンセントは、わざと開けておいた餌です

事実 私たちは ハニーポット を運用しています。ハニーポットは、わざと手薄に開けておいた餌のサーバーです。誰が来て何をするのかを見守るためのものです。誰でも使ってくださいと出しておいたコンセントの横にCCTVを付けておいたようなものです。以下の話は実際の被害ではなく観測記録です。

事実 サーバーは二台です。一台目（センサー01）はパスワードが合えば実際に入れます。入った人が何をしたのかまで記録されます。二台目（センサー02）は絶対に開きません。誰がどの扉を何回ノックしたかだけを書き留めます。今日の主役は一台目のサーバーから出てきました。

9分間に五回

事実 まず数字から見ます。ATK-3ED4D8 という送信元が SSH でログインに成功しました。SSHは遠くにあるコンピュータに入ってコマンドを打つための通路です。行き交う内容は暗号で包んで送ります。ATK- で始まる名前は、私たちが送信元ごとに付ける 別名 です。実際のアドレスは 45.198.x.x のように後ろの桁を隠して書きます。

五回の訪問を並べるとこうなります。右端の「直前との間隔」の欄を見てください。

事実 最初の訪問の開始から最後の訪問の終わりまで 8分37秒 です。平均して 1分43秒に一度 再び入ってきた計算になります。二回目の訪問は一回目が終わってから17.8秒後でした。扉を閉めて出ていき、一息ついてまた開けた程度です。

事実 五回すべてコマンドは ちょうど二行 でした。合わせて10行です。ところが受け取ってきたファイルは24件でした。一行打つたびにファイルが二つ以上入ってきた形です。五回の滞在時間を全部足すと約3分46秒です。8分37秒のうち半分に満たない時間しか中にいませんでした。

事実 五回すべて同じ三つの行動が分類されました。ファイルのダウンロード、実行権限の付与、ダウンロード後の実行 です。「実行権限の付与」は、受け取ったファイルに「これは実行してよいプログラムだ」という印を付ける作業です。受け取ってきたプラグをコンセントに差せるようにする段階です。

推定 ただし、この三つが どんな順序で 起きたのかは分かりません。分類の記録には順序が含まれていません。「受け取って → 印を付けて → 実行した」と書きたくなります。しかし私たちが言えるのは「三つがすべて観測された」までです。

持ち込まれたプラグの形

事実 この送信元が昨日持ち込んだファイルは三種類です。

事実 馴染みのない言葉が多いので一つずつ解きます。

• Bashスクリプト は、コマンドを何行かファイル一つに書いておいたメモです。1,872バイトなら英字1,872文字です。ノート半ページほどの長さです。
• ARM 32ビット はCPUの一種です。これがまさにプラグの形です。ブリーフは二つの実行ファイルを 「サーバー用ではなく機器用」 と分類しました。
• 静的リンク は、必要な部品をファイルの中に全部入れておいた形です。アダプターが一体型で付いているプラグです。
• 動的リンク は逆に、差し込まれる機器の中の部品を借りて使います。0uparm5 は uClibc という部品を借りて使うように作られています。
• 二つの実行ファイルはどちらも stripped の状態です。プログラムに付いていた名札のような案内情報を取り除いたという意味です。

推定 uClibcは小さな組み込み機器でよく使われる部品の束です。組み込み機器とは、ルーターやインターネットカメラのように一つの仕事だけをする小さなコンピュータを指します。つまりこのプラグは、サーバーのコンセントよりも 家の中のルーターやカメラのコンセント に合わせて作られたものと見えます。

事実 サイズも見ます。0uparm は55,804バイト、約55キロバイトです。スマートフォンの写真1枚が普通は数メガバイトですから、それより数十倍小さいです。小さな機器に入らなければならないプログラムなので、これほど小さいのです。

事実 ところが三つのファイルの記録を全部足すと 49回 です。上の五回の訪問で受け取ったファイルは24件でした。25件が空いています。

推定 その差から見て、この送信元は私たちが注目した五回以外にも もっと入ってきていた と見えます。あと何回来たのか、いつ来たのかは記録にありません。

メモとプラグは別々の店から来た

事実 ファイルが出てきた場所は二か所です。このようにファイルを配る場所を 配布元 と呼びます。メモ（ssh）は hxxp://45[.]198[.]224[.]34/ssh から来ました。プラグ二つは hxxp://151[.]243[.]24[.]225/ から来ました。アドレス途中の [.] と頭の hxxp は、誤って押しても接続されないようにわざと壊した表記です。

推定 メモの店とプラグの店が違います。そのため「メモがプラグを呼び込んだ」という2段構えの構造に見えます。説明書を先に受け取り、説明書に書かれた店でプラグを買ってくるような形です。しかしメモの内容とダウンロードの順序が記録にありません。確認はできていません。

事実 目を引く点がもう一つあります。入ってきたアドレス 45.198.x.x とメモの店のアドレス 45[.]198[.]224[.]34 は 前の二桁が同じです。 私たちの記録でこういう形は、9月7日・9月8日・9月15日に続いて四度目です。

推定 前の桁が同じだからといって同じ建物という意味ではありません。同じ町内の番地の頭が同じなのと似ています。しかも入ってきたアドレスは後ろの桁を隠してあります。同じコンピュータなのか、同じ人が運営している場所なのかは 判断できず、判断もしません。

商標はありふれているが、回路は初めて見るもの

事実 SSHで接続するプログラムは、入るときに自分の名前を明かします。この送信元は SSH-2.0-libssh_0.9.6 と明かしました。libsshはSSH接続プログラムを作るときに持ってきて使う部品の束です。この名前はありふれています。昨日だけでIP 12か所、これまでの累計で684か所が同じ名前を使う大きな群れ（f555226d…）があります。

事実 ところが接続プログラムの設定の組み合わせから作った値が別にあります。これを hassh、日本語では 接続指紋 と呼びます。この送信元の指紋は 3335afa7a75e84f8348f05c623c5ecf9 です。あの大きな群れとは違います。昨日多く見られた指紋の上位15個にもなく、33個のブリーフ全体にもありません。

推定 充電器にたとえれば、外側に刻まれた商標はありふれたものなのに、開けてみると回路の配置が初めて見るものです。ただし指紋は 道具をどう作ったか を示すだけです。別の設定の道具だということまでしか言えません。別の人や別の組織という意味ではありません。

事実 まとめると、別名 ATK-3ED4D8、指紋 3335afa7…、配布元二か所、ハッシュ三つが、すべて 8月16日から積み上げた33個のブリーフに一度もなかった値 です。

時間順に並べると

昨日の記録を時間順に並べるとこうなります。時刻は世界標準時（UTC）で、韓国時間は9時間を足せばよいです。五行の開始時刻と終了時刻のあいだの秒単位に注目してください。

1. 01:52:08Z ~ 01:52:51Z (KST 10:52)
   事実 ATK-3ED4D8(45.198.x.x) SSHログイン成功。約43.4秒 · コマンド2個 · ダウンロード6件 · 記録の密度 28。クライアント SSH-2.0-libssh_0.9.6、hassh 3335afa7a75e84f8348f05c623c5ecf9。入力記録（TTY）はあるが内容はブリーフにない
2. 01:53:09Z ~ 01:53:48Z (KST 10:53)
   事実 直前のセッションが終わって17.8秒後に同じ別名が再びログイン成功。約38.4秒 · コマンド2個 · ダウンロード5件 · 記録の密度 25
3. 01:55:52Z ~ 01:56:49Z (KST 10:55)
   事実 三つ目のセッション。約57.3秒 · コマンド2個 · ダウンロード5件 · 記録の密度 25。直前のセッションと2分4秒の間隔
4. 01:57:58Z ~ 01:58:47Z (KST 10:57)
   事実 四つ目のセッション。約48.9秒 · コマンド2個 · ダウンロード4件 · 記録の密度 22
5. 02:00:07Z ~ 02:00:45Z (KST 11:00)
   事実 五つ目のセッション。約37.6秒 · コマンド2個 · ダウンロード4件 · 記録の密度 22。最初のセッション開始から8分37秒のあいだにコマンド10個、ダウンロード24件
6. 5件共通
   推定 五つのセッションの行動分類（ファイルのダウンロード · 実行権限の付与 · ダウンロード後の実行）は順序まで同じ。ただしこの一覧は実行順序を含まない。「ダウンロード → 権限 → 実行」の順に起きたとは書けず、三段階が観測されたというところまでしか言えない
7. 1日全体
   事実 ATK-3ED4D8 が送ったファイルの記録は三つ。ssh スクリプト（1,872バイトのBash）32回、0uparm（55,804バイト、ARM 32ビット静的リンク）13回、0uparm5（48,112バイト、ARM 32ビット uClibc 動的リンク）4回。合計49回で、上の五つのセッションのダウンロード24件より多い
8. 1日全体
   推定 49と24の差から見て、この別名は上の五件の外でもセッションをさらに開いたと見える。あと何回開いたのかは記録にない
9. 1日全体
   推定 スクリプト（45[.]198[.]224[.]34）と実行ファイル（151[.]243[.]24[.]225）の配布元が違う。「スクリプトが実行ファイルを呼び込んだ」という2段構えの構造に見えるが、スクリプトの内容とダウンロードの順序がないため確認できない
10. アーカイブ照合
    事実 ATK-BDB53E の kla.sh（39be6853…、3,241バイト）は 9/15 の初観測以降22日目もハッシュが同じ。同じ配布元の net.x86_64 はハッシュが三度目に変わった。9/15 · 9/17 cd6ccc5d…(190,632B)、9/20 · 9/22 · 9/27 2cebccdc…(192,328B)、今日 64d8f97b…(193,288B)。直前より960バイト大きい

事実 五回すべて1分以内に終わりました。最も短いのは37.6秒、最も長いのは57.3秒です。コマンドは毎回二行で同じでした。受け取ったファイル数だけが 6 → 5 → 5 → 4 → 4 と少しずつ減りました。人が手で打つ形よりは、同じ動作を繰り返す自動プログラムに近いように見えます。

昨日1日の全体

ここから視野を広げて、一台目のサーバーの1日全体を見ます。右の「比較の目安」の欄がこの数字たちを実感させてくれます。

事実 TelnetはSSHと同じ仕事をする古い通路です。違いは内容を暗号で包まないという点です。ポートは一台のコンピュータの中の扉番号だと考えればよいです。

事実 1日のあいだに分類された行動はこうです。

事実 偵察が圧倒的です。入ってきて最初にすることは中を見回ることでした。ところが今日の主役は、五回入ってくるあいだ 偵察に分類された行動がありませんでした。 見回らずに、すぐプラグから受け取ってきました。他人の鍵をこっそり掛けておく「SSHキーの埋め込み」や「痕跡の削除」も、この送信元では出てきませんでした。それは1日全体の別の接続から出てきた数字です。

このパスワードを使っていませんか

事実 昨日試されたID・パスワードの組み合わせのうち、この記事にそのまま載せるのは 10種 です。基準は一つです。異なるIPが三か所以上から同じように入れてみた組み合わせだけ を書きます。複数の場所が同じように持ち回る番号は、誰のものでもない工場出荷時の初期値だからです。三つ目の欄の数字 を見てください。

事実 この基準に届かなかった組み合わせは個数だけを数えます。昨日は 2,213種 でした。誰かの本物のアカウントから漏れ出たものである可能性があるので、値は書きません。表に書いた組み合わせ一つごとに、書かない組み合わせが220個ほどあった計算です。二日前（10月4日）の最高値3,026種よりは少ないです。

事実 今日の主役がこのうち どの組み合わせで入ってきたのかは分かりません。 接続とパスワードをつなぐ情報が記録にありません。

隣のコンセント：同じ名前、三度目の中身

事実 昨日は別の送信元 ATK-BDB53E もファイルを受け取ってきました。hxxp://160[.]119[.]66[.]206/bins/net.x86_64 です。今回は x86-64 用、つまりARMとは違う形のプラグです。x86-64は一般的なPCやサーバーでよくあるCPUの種類です。

事実 このファイルは名前はそのままなのに、中身が三度目に変わりました。ファイルの中身を確認するときは ハッシュ を使います。ハッシュはファイルの内容全体から計算した固有の番号です。一文字違うだけでまったく違う値が出ます。

事実 直前より960バイト大きくなりました。英字960文字ほどです。一方、同じ送信元のインストール用メモ kla.sh（3,241バイト、39be6853…）は、9月15日に初めて見てから 22日目も一文字も変わっていません。 メモはそのままにして、プラグだけを取り替える形に見えます。なぜ変わったのかは分かりません。

二台目のサーバーの前では

事実 開かない二台目のサーバーには、誰がどの扉を何回ノックしたかだけが残ります。

事実 VNCが全接触38,152件のうち 96.0% です。1日36,631件なら約2.4秒に1回です。接続するときに差し出すバージョン表記 003.008 の割合は96.8%でした。10月1日は63.2%、10月4日は94.1%で、そのまま大きくなり続けています。最も多く来た三か所（ATK-F81B56 6,436 · ATK-943F0E 6,435 · ATK-A9F1B3 6,422）は互いに16件の差もありません。

事実 このサーバーに残ったファイル五種のうち四つは、8月28日に初めて記録された後ハッシュがそのままです。昨日は新しい別名 ATK-53E31C が送りました。残りの一つ（90,164バイト、7e70323b…、ATK-3447C1）は以前になかったハッシュです。

昨日出てきた値 — 書き留めるもの

防御に使えるようそのまま載せます。このような値を IOC（侵害指標）と呼びます。「この値が見えたら疑え」という標識です。値を押すとコピーされます。 アドレスは壊した表記のままにしておきます。説明欄の「新規」と「count」を見てください。

事実 上の六行（ATK-3ED4D8 の分）はすべて昨日初めて見た値です。ブロックリストを管理しているなら、昨日新しく載せる行が六行できました。 新しい配布元二か所（45[.]198[.]224[.]34、151[.]243[.]24[.]225）はC-TASへの届け出対象です。C-TASは韓国インターネット振興院（KISA）の脅威情報共有体系です。確認できたのは 送信の成功まで です。KISA側に実際に登録されたかは別途確認しなければなりません。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは、攻撃の手口ごとに番号を付けておいた国際的な一覧です。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に飛びます。

• T1021.004Remote Services: SSH — ATK-3ED4D8 のSSHログイン成功5回推定
• T1110Brute Force — 1日全体のログイン試行3,713回を基準に。主題のセッションがどの認証情報で入ってきたのかは記録にない推定
• T1105Ingress Tool Transfer — 配布元二か所からファイルを受信、五つのセッション合計24件推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限の付与」が五つのセッションすべて推定
• T1059.004Command and Scripting Interpreter: Unix Shell — Bashスクリプト ssh（1,872バイト）推定

事実 五行すべて [推定] です。私たちの手元にあるのは行動分類と回数、そしてファイルまでです。打たれたコマンド二行の原文はありません。だから番号を付ける作業は常に解釈です。注目すべき行は T1105 です。外からプラグを持ち込む段階 がこの番号です。

以前こういう形があった

事実 Miraiボットネット（2016）。 初期アカウントでTelnet・SSHにログインしました。その後CPUの種類別の実行ファイルを受け取り、IoT機器を感染させました。IoT機器はルーターやCCTVのようにインターネットにつながった小さな機器です。ボットネットは、こうして感染した機器を大量に一度に操る群れを指します。(出典の種類: 政府のセキュリティ警報 US-CERT Alert TA16-288A)

推定 似ているのは 手口 までです。初期アカウントで入ってきて、ARMのような機器用のプラグを受け取ってくる方式が同じです。昨日のファイルがMirai系列かは判定しません。VirusTotalは連携されておらず、検体の分類タグも昨日の材料にありませんでした。

では何をすべきか

プラグの話に戻ると、やるべきことは三つに集まります。コンセントを誰にでも使わせないこと、パスワードの代わりに鍵で施錠すること、外からプラグを持ち込めないようにすること。 ブリーフが挙げた六つを順に見ます。

事実 1. 管理ポートをインターネットに直接開けておいた · 可能性 高 1日のあいだに188か所がSSHの扉（2222）をノックしました。セッションは3,271件でした。ある送信元は8分37秒のあいだに五回ログインに成功しました。

推定 運用サーバーだったなら、外の誰でもパスワード入力の段階まですぐに来ます。そして昨日見た「受け取り・印付け・実行」の三段階が、本物のサーバーでそのまま起きます。

事実 2. 初期アカウント・簡単なパスワードをそのまま使っている · 可能性 高 admin/admin は20か所から60回、root/root は8か所から27回、root/123456 は8か所から24回来ました。

推定 上の表にあるパスワードなら最初の試行で開きます。その次は昨日のように、1分もかからず外からファイルを受け取って実行の印を付けるところまで行きます。

事実 3. パスワードログインを許可しており鍵方式を使っていない · 可能性 高 ログイン試行3,713回、値を書かなかった組み合わせだけで2,213種以上です。昨日の攻撃はパスワードの当てっこでした。

推定 鍵方式（鍵認証）は、パスワードの代わりに自分のコンピュータにしかない鍵ファイルで入る方法です。これだけを許可していたなら、3,713回の試行はすべて意味がありませんでした。パスワードを許可すれば、そのうち一つが合うだけで突破されます。

事実 4. 繰り返し試行の遮断（fail2ban など）がない · 可能性 低 五つのセッションすべてログインに成功しました。セッションの間隔は17.8秒〜2分4秒でした。この送信元が何回間違えたのかは記録にありません。

推定 fail2banは「何回か間違えたらしばらく止める」道具です。合っているパスワードでそのまま入ってくる接続は止められません。だから昨日の主役には効果が薄かったでしょう。ただし「同じ場所から10分以内に五回接続」のような 接続頻度の制限 であれば、二回目から遅らせることはできました。

事実 5. サーバーが外へ出ていく接続を止めていない · 可能性 高 ssh スクリプト32回、0uparm 13回、0uparm5 4回。すべて配布元二か所からHTTP（ウェブアドレスでファイルをやり取りする方式）で受け取りました。昨日起きたことは全部、サーバーが外へ接続を開いた後に出てきました。

推定 サーバーが外部のウェブアドレスへ自由に出ていけるなら、機器用の実行ファイルが入ってきて実行の印まで受け取ります。その後、ボットネットの一員として使われる可能性があります。実行ファイルが実際に何をするのかは確認できていません。プラグを持ち込めなければ、形が合おうが合うまいが差す機会はありません。

事実 6. 記録を外に集めていない · 可能性 中 1日全体で「痕跡の削除」が14回ありました。今日の主役ではなく、別の接続から出てきた数字です。

推定 記録をサーバーの中だけに置いておくと、侵入者が消した後ではいつ入ってきて何を持っていったのかを取り戻すのが難しくなります。昨日「頭の桁が同じ形は四度目」と言えたのも、9月の記録が別に残っていたからです。

同じ日の話を60秒の映像にもしました。映像は「五回すべて正しい番号で開いた」という一点に集中しました。この記事は、そのとき入ってきたプラグの形と出所を広げました。

私たちが分からないこと

このブログが他と違う点です。知っていることと同じだけ、分からないことも書きます。

五回の訪問について

• [確認不可] 五回すべて どのID・パスワードで入ってきたのか分かりません。 接続とパスワードをつなぐ情報が記録にありません。
• [確認不可] 毎回打たれた コマンド二行の内容が分かりません。 入力記録（TTY）があることだけが分かっており、内容はブリーフにありません。
• [確認不可] 受け取り・実行の印付け・実行が どんな順序で 起きたのか分かりません。行動分類には順序がありません。
• [確認不可] ファイルの記録49回と五つのセッションのダウンロード24件が違います。だから五回以外にもさらに入ってきたと推定します。何回、いつだったのかは分かりません。
• [推定] セッションごとの接続ポートは記録にありません。ポート2222の数（3,271）とSSHの数（3,271）が正確に同じなので、SSHを2222に合わせました。

プラグと店について

• [確認不可] ssh のメモが 0uparm のプラグたちを呼び込んだのか分かりません。メモの内容とダウンロードの時刻がありません。
• [確認不可] 0uparm・0uparm5 が 何をするのか分かりません。 サービス妨害攻撃（DDoS）なのか、採掘なのか、中継サーバー（プロキシ）なのか、判断する根拠がありません。VirusTotalは連携されておらず、MalwareBazaarのタグもありません。
• [確認不可] 0uparm と、解凍しないと見えない 31[.]77[.]227[.]121/bins/ のパスの ‘parm’ 系列は名前が似ています。しかし配布元・ハッシュがつながりません。同じ系列だと書く根拠がありません。 そのパスの12件は8月17日から繰り返されている指標なので、背景としてだけ置いておきます。
• [確認不可] 入ってきたアドレス（45.198.x.x）とメモの店（45[.]198[.]224[.]34）は前の二桁だけが同じです。隠し処理のため、同じコンピュータなのか、同じ運営者なのかは 判断できず、判断してもなりません。
• [確認不可] 「頭の桁の一致が四度目」は、ブリーフの保管庫から 9/7・9/8・9/15 を見つけた結果です。保管庫にない日付（9/9・9/11・9/12 など）は数えられませんでした。
• [確認不可] net.x86_64 のハッシュが三度目に変わった理由（機能の変更なのか、再梱包なのか）は分かりません。ファイルの内容がブリーフにありません。

二台目のサーバーについて

• [確認不可] サービス別の送信元数を足した値（272）と全体の固有送信元（296）の関係が分かりません。一つの送信元が複数の扉をノックしたのかも数えられません。重なりの程度を教えてくれる情報がありません。
• [推定] 最も多く来た三か所の数字がほぼ同じなので、同じ日程でなぞったものと見えます。同じ道具なのかは、このサーバーに指紋がないため確認できません。
• [推定] このサーバーのファイルたちがAndroidの通路（ADB）から入ってきたというのは推定です。どの通路から来たのかの表記がありません。

わざと外した、あるいはつなげなかったこと

• [除外] DiscordのWebhookアドレスは 9/15・9/20 のブリーフにすでに出ている繰り返しの指標です。アドレスの中にトークンが入っているため 値は載せませんでした。
• [確認不可] C-TASへの届け出は送信の成功だけが確認されました。KISAへの登録の有無は別途確認しなければなりません。
• [除外] 同じ名前（libssh_0.9.6）を使う大きな群れと今日の主役を 同じ側とも別の側とも結び付けませんでした。 指紋が違うというのは、道具の設定が違うという意味までです。

そもそも判断しないこと

• 通信事業者・組織（ASN・ISP） — 関連するデータベースがありません。推定しません。
• 地理的位置 — 同じ理由で分かりません。IPの地理情報は、そもそも誰がやったのかを指す根拠にはなりません。この記事はいかなる国・企業・個人も攻撃者として指名しません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• VirusTotal — 連携されていません。検体の分類はMalwareBazaarのタグを使いますが、昨日の材料にはタグがありません。
• 接続プログラムの文字列（User-Agent） — 二台のサーバーはどちらもウェブ（HTTP）サーバーではありません。一台目はSSH・Telnet、二台目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号（CVE）との紐付け — SSH・Telnetへの攻撃はほとんど特定の脆弱性を参照しません。二台目のサーバーも接続規約を合わせる段階なので同じです。

昨日、同じ客が9分足らずのあいだに五回入ってきました。毎回二言だけ発して、二つの店からプラグを受け取ってきました。そのプラグはサーバーのコンセントの形ではありませんでした。ルーターやカメラのような小さな機器の形に見えます。

「うちのサーバーには合わないから大丈夫」と流してしまいがちです。ところがこの客はコンセントの形を確認しませんでした。見回る偵察もなく、とにかく差して去りました。どの家であれ入れさえすれば同じプラグを差してみる、という意味に読めます。家の中のどこかにその形のコンセントがあるなら、その機器のパスワードから今日確認する番 です。

観測日は2026年10月6日（UTC基準の1日）で、この記事は翌日にまとめました。送信元IPはブリーフで隠し処理された形（45.198.x.x）のまま載せ、復元していません。アドレスは誤って接続されないようデファング（hxxp://、[.]）の状態を本文とIOCブロックの両方で維持し、トークンが入ったWebhookアドレスは載せませんでした。認証情報は 異なるIP3か所以上で繰り返し観測された組み合わせ10個だけ を原文のまま引用し、残りの2,213種は個数だけを明かして値は書きませんでした。通信事業者・国籍・VPNの有無のように、私たちに計測する手段がない項目は推定せず「分からない」として残しておきました。