9.5秒の録音電話が1分40秒のあいだに四回かかってきた

知らない番号から電話がかかってきたとしましょう。出てみると人ではなく録音です。「こんにちは、お客様。下記のアドレスからアプリをダウンロードしてインストールしてください。」切ったあと1分も経たずにまたかかってきます。同じ声で同じ文章です。長さまで同じです。

人がかける電話は毎回少しずつ違います。話が速くなったり、ため息をついたり、単語を変えたりします。録音はそうではありません。何度流しても同じ文章が同じ秒数のうちに終わります。

昨日、当社のサーバーにこういう電話が四回かかってきました。四回すべて出て、四回すべて録音が言うとおりにしました。今日の話は、その録音の長さについてのものです。

当社の携帯は言われたとおりに何でもします

事実 私たちはハニーポットを運用しています。ハニーポットは、わざと手薄に開けておいたおとりサーバーです。誰が来て何をするのかを見守るために置いています。電話にたとえれば、知らない番号にも全部出て、頼まれたこともすべてやる携帯です。その代わり、通話内容をすべて記録しておきます。以下の話は実際の被害ではなく観測記録です。

事実 サーバーは2台です。1台目（センサー01）はパスワードが合えば実際に入れます。入ってきた側が何をしたかまで記録されます。2台目（センサー02）は絶対に開きません。誰がどの扉を何回叩いたかだけを記録します。今日の主役は1台目のサーバーから出てきました。

四本の電話、秒単位で見ると

事実 電話をかけてきた側は ATK-713362 です。ATK- で始まる名前は、私たちが送信元ごとに付ける別称です。実際のアドレスは 172.166.x.x のように後ろの桁を隠して記します。

事実 この送信元はTelnetで入ってきました。Telnetは遠くのコンピュータに入ってコマンドを打つ古い通路です。やり取りする内容を暗号で包みません。パスワードまでそのまま見えます。今は家庭用ルーター・インターネットカメラ・古い機器に主に残っています。

四本を並べるとこうなります。「通話の長さ」欄を上下に眺めてみてください。

事実 四回すべてログインに成功しました。電話に出たという意味です。最初の通話が始まってから最後の通話が終わるまで1分40.73秒かかりました。コマンドは全部で36個、受け取ったファイルは4件です。

事実 通話の長さを見てください。1本目と2本目が9.54秒で同じです。3本目と4本目が9.68秒で同じです。両者の差は0.14秒です。まばたき一回ほどの差です。

事実 9.54秒のあいだにコマンド9個なら、ほぼ1秒に1行です。コマンド1行を読んで、考えて、手で打つにはぎりぎりの速度です。ところがその速度が四回ずっと同じでした。

推定 人が直接打ったのなら、四回の長さがこれほど揃うのは難しいです。決められた順序を自動で再生するツールである可能性が高いです。録音を四回流したのに近いです。

事実 四つの通話すべてで同じ四種類の行動が分類されました。システム偵察、ファイルダウンロード、実行権限付与、ダウンロード後実行です。

• システム偵察は、入ってきたコンピュータがどんな機械なのかを見回る作業です。
• 実行権限付与は、受け取ったファイルに「これは実行してよいプログラム」という印を付ける作業です。
• ダウンロード後実行は、受け取ったファイルを実際に動かす作業です。

推定 ただし、この四つがどんな順序で起きたのかは分かりません。分類記録は順序を含んでいません。「見回って → 受け取って → 印を付けて → 動かした」と書きたくなります。しかし言えるのは「四つすべてが観測された」までです。他人の鍵をこっそり掛けておく作業（永続化）や記録の消去（痕跡削除）は、この送信元の通話にはありませんでした。ですから今日の話は、入ってきて、受け取って、動かすまでです。

録音が教えてくれたアドレス

事実 毎回の通話で受け取っていったファイルは wget.sh です。シェルスクリプトです。シェルスクリプトは、コマンド何行かを1つのファイルに書いておいたメモです。サイズは1,670バイトです。英字1,670文字ほどになります。携帯のショートメッセージ（英文160文字）10通ほどの長さです。

事実 このメモは hxxp://143[.]20[.]154[.]42/bins/wget.sh からダウンロードされました。このようにファイルを配るところを配布元と呼びます。アドレス冒頭の hxxp と途中の [.] は、誤って押しても接続されないようにわざと壊した表記です。

事実 昨日一日、このメモは15回ダウンロードされました。15回すべて受け取っていったのは ATK-713362 ひとつだけでした。同じ録音電話が同じアドレスを15回読み上げたことになります。

事実 ところが上の表の四つの通話で受け取ったファイルは4件です。15件と11件の差があります。

推定 その差から見て、この送信元は私たちが注目した四本以外にも電話をかけていたと見られます。何本追加でかけたのか、いつだったのかは記録にありません。

事実 メモの次は何だったのでしょうか。普通こういうメモは、本物のプログラム（実行ファイル）を呼び込むインストール案内書の役割をします。ところが昨日1台目のサーバーに残ったファイル5種のうち、実行ファイルは一つもありませんでした。 メモの内容もブリーフにありません。ですから、このメモが次に何を呼び込もうとしたのかは分かりません。

事実 別称 ATK-713362、配布元 143[.]20[.]154[.]42、メモのハッシュ 81a7cdbb… はすべて、8月16日から積み上げた34本のブリーフに一度もなかった値です。ハッシュはファイル内容全体から計算した固有の番号です。1文字違っても全く違う値になります。

事実 もう一つ押さえておきます。入ってきたアドレス（172.166.x.x）と配布元（143[.]20[.]154[.]42）は先頭2桁が違います。 9月7日・9月8日・9月15日・10月6日には、両者の先頭の桁が同じ形が出ました。今回はその形ではありません。

発信者番号が表示されない電話

事実 SSHで入ってくるプログラムは、接続するときに設定の組み合わせが現れます。私たちはそれで接続指紋（hassh）を作り、同じツール同士をまとめます。ところがTelnetにはこういう指紋が生じません。記録にも空欄で残っています。

推定 電話にたとえれば発信者番号が表示されない電話です。ですから今日はツールではなく通話の形でこの送信元を見ます。9.5秒、コマンド9個、ファイル1件。この形が四回繰り返されたということが、私たちの持っているすべてです。

事実 接続ポート（1台のコンピュータの中の扉番号）はセッションごとに記録されていませんでした。一日全体でポート2223の数（341）とTelnetの数（341）が正確に同じです。

推定 ですからこれらの通話も2223番の扉から来たと合わせてみました。数字を合わせた推定です。

時間順に並べると

昨日の記録を時間順に並べるとこうなります。時刻は世界標準時（UTC）です。韓国時間は9時間を足せばよいです。上の四行の開始と終了のあいだの秒単位に注目してください。

1. 11:04:55Z ~ 11:05:04Z (KST 20:04)
   事実 ATK-713362(172.166.x.x) Telnetログイン成功。9.54秒 · コマンド9個 · ダウンロード1件 · 記録の密度 18。入力記録（TTY）はあるが内容はブリーフにない
2. 11:05:20Z ~ 11:05:30Z (KST 20:05)
   事実 直前のセッションが終わって15.95秒後に同じ別称が再びログイン成功。9.54秒 · コマンド9個 · ダウンロード1件。最初のセッションと秒単位まで同じ長さ
3. 11:05:58Z ~ 11:06:07Z (KST 20:05)
   事実 三番目のセッション。直前と27.83秒の間隔。9.68秒 · コマンド9個 · ダウンロード1件
4. 11:06:26Z ~ 11:06:36Z (KST 20:06)
   事実 四番目のセッション。直前と18.51秒の間隔。9.68秒 · コマンド9個 · ダウンロード1件。最初のセッション開始から1分40.73秒のあいだにコマンド36個、ダウンロード4件
5. 4件共通
   推定 四つのセッションの行動分類は同じだ。ただしこの一覧は実行順序を含んでいない。「偵察 → ダウンロード → 権限 → 実行」の順だとは書けず、四段階が観測されたというところまでしか言えない
6. 4件共通
   推定 セッションの長さ（9.54・9.54・9.68・9.68秒）とコマンド数（9個）が繰り返される。人が直接打ったのではなく、決められた順序を自動で再生するツールである可能性が高い
7. 一日全体
   事実 wget.sh（81a7cdbb…、1,670バイトPOSIXシェルスクリプト）が hxxp://143[.]20[.]154[.]42/bins/wget.sh から15回ダウンロードされた。受け取っていったのはATK-713362ひとつだけ
8. 一日全体
   推定 15回と上の四つのセッションのダウンロード4回のあいだに11回の差がある。この別称は上位5件の外でもセッションをさらに開いたと見られる。何回、いつなのかは記録にない
9. 一日全体
   事実 1台目のサーバーに保存されたファイル5種のうち実行ファイルはない。wget.sh が次に何を呼び込もうとしたのかは、スクリプトの内容がないため分からない
10. 13:08:32Z ~ 13:08:54Z (KST 22:08)
    事実 記録の密度が最高（42）のセッションはATK-DE3709(123.184.x.x)のTelnetセッション。21.91秒 · コマンド22個 · ダウンロード11件 · 行動分類は「防御の無効化」ひとつ。受け取ったファイルはアーカイブ19本のブリーフに既にあった1バイトファイル（01ba4719…）
11. アーカイブ照合
    事実 入ってきたアドレス（172.166.x.x）と配布元（143[.]20[.]154[.]42）の先頭2桁が違う。9/7・9/8・9/15・10/6 の「先頭の桁が同じ」形ではない

事実 上の四行はすべて10秒以内に終わりました。四つの通話を全部合わせても38.44秒です。1分40秒のうち半分にもなりません。残りの1分2秒は、電話を切って再びかけるあいだでした。

事実 下から二番目の行も見てください。ATK-DE3709 は昨日、記録が最も密だったセッションです。しかし受け取っていったファイルは1バイト、文字ちょうど1文字分でした。それもすでに19回のブリーフに出てきたファイルです。ですから今日の主役から外しました。

昨日一日全体

ここで視野を広げて1台目のサーバーの一日全体を見ます。右の「比べるもの」欄が数字を手に取れるようにしてくれます。

事実 SSHはTelnetと同じことをする通路です。違いは内容を暗号で包む点です。Telnet側は一日341件で全体の10分の1にもなりません。ところが今日の主役は、その少ない側から来ました。

事実 意図で分類されたコマンドは3,532件です。そのうち3,161件（89.5%）がシステム偵察でした。10回のうち9回は入ってきて見回るだけだったという意味です。「SSH鍵の植え込み」は35件でした。パスワードなしで入れる鍵をこっそり掛けておく作業です。同じ389バイトの鍵（a8460f44…）が33回ダウンロードされました。ショートメッセージ2〜3通ほどのサイズです。これは今日の主役ではなく、他の接続から出てきた数字です。

事実 2台のサーバーを合わせた固有の送信元は最大494か所です。2台のサーバーに重複して来たところが分からないので「最大」とだけ記します。セッション数は2台のサーバーの数える単位が違うため足しません。

このパスワードをお使いですか

事実 昨日試されたID・パスワードの組み合わせのうち、この記事にそのまま載せるのは19種です。基準は一つです。互いに異なるIP3か所以上から同じように入れてみた組み合わせだけを記します。複数の場所が同じように持ち歩いている番号なら、誰のものでもない工場出荷時の初期値である可能性が高いです。3番目の欄の数字を見てください。

事実 この基準に届かなかった組み合わせは個数だけを数えます。昨日は3,212種でした。誰かの本物のアカウントから漏れたものである可能性があるため、値は記しません。表に記した組み合わせ一つごとに、記していない組み合わせが170個ほどあったことになります。

事実 3,212種は34本のブリーフのうち最も多い数字です。最近の流れは10月1日1,608種 → 10月4日3,026種 → 10月6日2,213種 → 昨日3,212種です。一週間前の2倍ほどになります。

事実 今日の主役がこのうちどの組み合わせで電話に出させたのかは分かりません。 接続とパスワードをつなぐ情報が記録にありません。

2台目のサーバーの前は

事実 開かない2台目のサーバーには、誰がどの扉を何回叩いたかだけが残ります。

事実 全体37,395件のうちVNCが**96.4%**です。一日36,037件なら約2.4秒に一回です。1か所の送信元が平均600回ほど叩きました。接続するときに差し出すバージョン表記 003.008 の割合は98.0%でした。10月1日63.2%、10月4日94.1%に続いてまた大きくなりました。

事実 最も多く来た6か所はそれぞれ4,780〜5,338件で均等に分かれます。6か所を合わせると29,492件です。

推定 数字が均等なのを見ると、同じ設定のスキャナーたちが仕事を同じように分担した様子です。ただし、これらの接触がどの扉に向かったのかは記録にありません。

事実 SMB側では SMB 2.??? 1件を除けば、すべてSMB1系統の名前だけが出ました。SMB1はWindowsのファイル共有のとても古い方式です。

推定 まだこの古い方式を受け入れるサーバーを探す要求と見られます。

事実 RDPで接続するときに付けて送るタグ（クッキー）は655件でした。このタグは相手が好きなように埋める文字なので、特定のツールにまとめません。このサーバーに残ったファイル4種はすべて以前に見たハッシュです。送った別称 ATK-E2D202 だけが初めて見る値でした。

昨日出てきた値 — 書き留めておくもの

防御にお使いいただけるようそのまま載せます。こういう値をIOC（侵害指標）と呼びます。「この値が見えたら疑え」という目印です。値を押すとコピーされます。 アドレスは壊した表記のままにしておきます。説明欄の「受け取っていったところ」を見てください。

事実 2行とも昨日初めて見た値です。受け取っていったところが1か所だけなので、この2行は事実上ある送信元ひとつの署名です。新しい配布元 143[.]20[.]154[.]42 はC-TASへの申告対象です。C-TASは韓国インターネット振興院（KISA）の脅威情報共有体系です。確認されたのは送信成功までです。KISA側に実際に登録されたかは別途確認する必要があります。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは、攻撃の手口ごとに番号を付けておいた国際的な一覧です。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に移動します。

• T1078Valid Accounts — 初期アカウント使用の推定。ATK-713362 がどの認証情報で入ってきたのかは記録にない推定
• T1082System Information Discovery — 行動分類「偵察 — システム」推定
• T1105Ingress Tool Transfer — 行動分類「ファイルダウンロード」、wget.sh 一日15回推定
• T1222.002Linux and Mac File and Directory Permissions Modification — 行動分類「実行権限付与」推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 行動分類「ダウンロード後実行」、受け取ったファイルがシェルスクリプト推定

事実 5行すべて**[推定]です。私たちの手元にあるのは行動分類と回数、ファイルまでです。コマンド36行の原文はありません。ですから番号を付ける作業は常に解釈です。注目すべき行は T1105 です。録音が読み上げたアドレスからメモを受け取ってくる段階**がこの番号です。

以前にこういう形があった

事実 Miraiボットネット（2016）。 Telnetの初期アカウントでIoT機器にログインして感染させた事件です。IoT機器は家庭用ルーター・防犯カメラのようにインターネットにつながった小さな機器です。ボットネットはこうして感染した機器の多数を一度に操る群れです。(出典の種類: 政府のセキュリティ警報 US-CERT TA16-288A · 学術論文 USENIX Security 2017 ‘Understanding the Mirai Botnet’)

推定 Telnetで入ってきて外からファイルを受け取り、実行の印を付けて、動かす流れが同じです。上のパスワード表の root/vizxv・root/anko のような組み合わせも、Mirai公開ソースの初期アカウント一覧にある値と同じ形です。しかし昨日のメモの内容と、その次のプログラムを確認できませんでした。ですからMirai系統だとは判定しません。

それで何をすべきか

電話の話に戻ると、やるべきことは三つにまとまります。知らない番号には出ないようにすること。出たとしてもロックのパスワードを初期値のままにしないこと。録音が読み上げたアドレスからアプリをインストールできないようにすること。 ブリーフが挙げた五つを順に見ます。

事実 1. 管理ポート（Telnet）をインターネットに直接開けておいた · 可能性 高 一日のあいだにTelnetの接触が341件でした。そのうち1か所の送信元は1分40秒のあいだに四回ログインに成功しました。

推定 運用サーバーがTelnetを開けておいたなら、同じ電話を同じ回数だけ受けていたでしょう。Telnetは内容を包まないので、やり取りされるアカウント情報もそのまま現れます。家庭用ルーターやカメラの設定画面でTelnetを切っておけば、電話のベル自体が鳴りません。

事実 2. 初期アカウント・簡単なパスワードをそのまま使っている · 可能性 高 admin/admin は14か所、root/admin・root/123456・root/12345 はそれぞれ5か所、root/root・guest/guest はそれぞれ3か所から入ってきました。

推定 この表にあるパスワードを使っている機器は、互いに異なる送信元が同じ日に同じ組み合わせで叩きます。開いてしまえば、昨日のように10秒以内に見回り・受け取り・印付け・実行が終わります。ただし昨日の主役がどの組み合わせで入ってきたのかは分かりません。

事実 3. パスワードログインを許可し、鍵方式を使っていない · 可能性 高 ログイン試行3,436回、値を記していない組み合わせだけで3,212種です。

推定 鍵方式（鍵認証）は、パスワードの代わりに自分のコンピュータにだけある鍵ファイルで入る方法です。パスワードだけで開くサーバーは、この一覧の全体を相手にしなければなりません。そしてTelnetには鍵方式がまったくありません。 Telnetを使う限り、この項目もそのまま該当します。漏れた一覧に当社の従業員アカウントが混ざっていれば、数千回ではなく一回で当たることもあり得ます。

事実 4. サーバーが外へ出ていく接続を止めていない · 可能性 高 一日のあいだに「ファイルダウンロード」が65回、「ダウンロード後実行」が28回分類されました。wget.sh は15回ダウンロードされました。

推定 携帯に「提供元不明のアプリのインストールをブロック」という設定があります。サーバーにも同じ仕組みがあります。サーバーがどんな外部アドレスにも接続できないように止めておくのです。そうしていたなら、録音がアドレスを15回読み上げてもメモを受け取る段階で流れが断たれていたでしょう。メモがその次に何を呼び込もうとしたのかは確認できませんでした。

事実 5. 記録を外部に集めていない · 可能性 中 一日全体で「痕跡削除」が37回、「防御の無効化」が1回ありました。今日の主役の通話には両方ともありませんでした。

推定 ですから「中」です。同じサーバーを狙う別の送信元のリスクです。通話記録を携帯の中にだけ置いておくと、消された瞬間に終わりです。外へリアルタイムで送った記録だけが残ります。昨日「34本のブリーフになかった値」と言えたのも、過去の記録が別に積み上がっていたからです。

同じ日の話を60秒の動画にもしました。動画は「初めて見る客が15回出入りした」という一点に集中しました。この記事は、その客が毎回何秒滞在したのか、何を持って出ていったのかを広げました。

私たちが分からないこと

このブログが他と違う点です。知っていることと同じだけ、分からないことも記します。

四本の電話について

• [確認不可] ATK-713362 がどのID・パスワードで入ってきたのか分かりません。 接続とパスワードがつながっていません。
• [確認不可] 毎回打たれたコマンド9個の内容と順序が分かりません。 行動分類は「何をしようとしたか」のまとまりであって、実行順序ではありません。
• [確認不可] wget.sh 15回のうち、四つの通話に捉えられなかった11回がいつ、何回の接続で起きたのか分かりません。
• [確認不可] セッションごとの接続ポートは記録にありません。Telnetを2223番の扉と見たのは、一日の数字を合わせてみた推定です。

メモについて

• [確認不可] wget.sh の内容が分かりません。 このメモが次にどんなファイルを呼び込もうとしたのかも分かりません。
• [確認不可] 1台目のサーバーに実行ファイルが残りませんでした。次の段階が失敗したのか、別の道を行ったのか、もともとなかったのか区別できません。
• [確認不可] C-TASへの申告は送信成功のみ確認されました。KISA側での登録の有無は別途確認する必要があります。

同じ日の他の記録について

• [確認不可] ATK-DE3709 の「防御の無効化」が何を切ろうとしたものなのか分かりません。 1バイトのファイルを11回受け取っていった目的も分かりません。
• [確認不可] VNC 003.008 の割合が10/1 63.2% → 10/4 94.1% → 昨日98.0%へ大きくなった理由が分かりません。 相手のツールが変わったのか、当方の設定が変わったのか区別できません。
• [確認不可] 2台目のサーバーで複数の扉を一緒に叩いた送信元の数は数えられません。 送信元ごとの記録にどの扉かの区別がありません。0と記すと「なかった」と読まれるので空けておきます。

数字の性格について

• [確認不可] 値を記していない3,212種のうち、実際に漏れたアカウントが何個なのか分かりません。「漏れた可能性がある」は公開の基準であって判定ではありません。
• [確認不可] 脆弱性の統計（CVE 7,679件 · 実際の悪用が確認されたKEV 413件 · ランサムウェア確認101件）はKISAの告知に基づく背景情報です。昨日のハニーポット観測と直接つながりません。
• [除外] 圧縮を解かないと出てこない指標12件（31[.]77[.]227[.]121/bins/）は8月16日のブリーフから繰り返されている値なので、昨日の新しい材料としては使いませんでした。

そもそも判断しないこと

• 通信事業者・組織（ASN・ISP） — 関連するデータベースがありません。推定しません。
• 地理的位置 — 同じ理由で分かりません。IPの地理情報は、そもそも誰がやったのかを指し示す根拠になりません。この記事はいかなる国家・企業・個人も攻撃者として指名しません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• VirusTotal — 連携していません。検体の分類はMalwareBazaarのタグを使います。
• 接続プログラムの文字列（User-Agent） — 2台のサーバーはどちらもウェブ（HTTP）サーバーではありません。1台目はSSH・Telnet、2台目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号（CVE）との紐付け — SSH・Telnetへの攻撃は、ほとんど特定の脆弱性を参照しません。2台目のサーバーも接続規則を合わせる段階なので同じです。

昨日の夕方8時、同じ番号から電話が四本かかってきました。四本すべて9.5秒ほどでした。毎回九つの言葉を発し、同じアドレスから同じメモを受け取らせました。そのメモは一日に15回ダウンロードされ、受け取っていったのはその番号ひとつだけでした。

録音電話は相手を選びません。誰が出ても同じ文章を同じ長さで流します。ですから防ぐ方法も、相手を見分けることにはありません。Telnetを切って電話のベルが鳴らないようにし、サーバーがどんなアドレスからも受け取れないようにすればよいのです。家に古い家庭用ルーターやカメラがあるなら、今日、設定画面でTelnetから確認してみる番です。

観測日は2026年10月8日（UTC基準の一日）で、この記事は翌日にまとめました。送信元IPはブリーフで隠し処理された形（172.166.x.x、123.184.x.x）のまま載せ、復元していません。アドレスは誤って接続されないようにデファング（hxxp://、[.]）の状態を本文とIOCブロックの両方で維持しました。認証情報は互いに異なるIP3か所以上で繰り返し観測された組み合わせ19個のみを原文引用し、残りの3,212種は個数だけを明かし、値は記しませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段がない項目は推定せず「分からない」として残しておきました。