錠を4回ずつ触っていっただけの255か所、46日ぶりに戻ってきた合鍵

学校の廊下を思い浮かべてみましょう。壁沿いにダイヤル錠のついたロッカーが並んでいます。休み時間になれば数百人がその前を通り過ぎます。ほとんどは自分のロッカーだけを開けます。

ところが時々、他人のロッカーの錠をこっそり触ってみる人がいます。ダイヤルを一、二回回してみて開かなければそのまま行きます。その人は**私のロッカーを選んで来たのではありません。**番号を工場出荷設定のままにしているロッカーがあるかどうかを見て回っているだけです。

一人が一つのロッカーにかかりきりで百回回す姿は目立ちます。ところが昨日はその逆でした。非常に多くの場所が来て、数回ずつ触っていきました。同じ日、廊下の反対側では誰かが開いたロッカーの中に合鍵用の鍵穴をもう一つ空けていきました。46日前に見たものと同じ手口でした。

私たちの廊下にはロッカーが二つあります

事実 私たちはハニーポットを運用しています。ハニーポットはわざと手薄に開けておいたおとりサーバーです。誰が来て何をするのかを見守るために置いています。以下の話は実際の被害ではなく観察記録です。

事実 サーバーは2台です。ロッカーで言えばこうなります。

• **1番目のロッカー(センサー01)**は簡単な番号に合わせてあります。番号が合えば実際に開きます。中で何をしたのかまで記録されます。
• **2番目のロッカー(センサー02)**は絶対に開きません。区画がいくつもあり、区画ごとに錠の種類が違います。誰がどの区画の錠を何回触ったかだけを記録します。

事実 コンピューターではこの「区画」をポートと呼びます。1台のコンピューターの中にある扉の番号です。3389番はWindowsの**リモートデスクトップ(RDP)**の区画です。リモートデスクトップは遠くにあるコンピューターの画面を自分の画面にそのまま映して使う機能です。今日の話の半分がこの区画から出てきました。

255か所が錠を触っていった

事実 昨日の1日で、2番目のロッカーのリモートデスクトップ区画に触れた発信元は255か所です。接触は全部で1,058回でした。1日を秒で割ると約82秒に1回の割合です。

事実 255か所は記録を始めて以降、初めて見る数字です。リモートデスクトップの記録があるブリーフは8月26日から10月8日まで25件です。その間の発信元数は**最も少ない日が102か所(9/3)、最も多い日が164か所(8/31)**でした。昨日は従来の最多より91か所多く来ました。1.55倍です。

事実 ところが接触回数1,058回は平凡でした。25件のブリーフの範囲は567回から42,578回までです。昨日はそのうち下の方です。

ここで二つの数字を割ってみると、この日の形が浮かび上がります。「1か所あたり」の欄を上下で見比べてみてください。

事実 発信元数は記録上最多なのに、1か所あたりの回数は記録上最低です。1か所が平均4回ほど触って去りました。直前のブリーフである10月8日と比べると発信元は2倍以上に増えました。1か所あたりの回数は3分の2以下に減りました。

推定 一人が一つのロッカーにかかりきりだった日ではありません。多くの人が廊下をざっと一通り見て通り過ぎた日に近いです。こういうものを「広く浅いスキャン」と呼びます。ただし255か所が同じ道具一つを複数の場所に分けて回したのか、互いに無関係な複数のスキャナーが1日に重なったのかは私たちの記録では判別できません。

事実 一つ押さえておきます。2番目のロッカーは開きません。ですからこの255か所が実際に番号を合わせてみたのかは分かりません。記録されるのは**「錠に手をかけた」**までです。

手をかけながら差し出した名札

事実 リモートデスクトップに接続する際にはクッキーという短い名札を付けて送ることができます。ロッカーで言えば、錠を触りながら「私は誰だ」と貼り付けるメモです。昨日付いた名札はこうでした。

事実 名札は全部で842件で、216件には名札がありませんでした。'<ip>'の790件は全接触の**74.7%**です。10回のうち7回半です。10月8日にはこの比率が55.8%でした。

事実 nmap・zgrabは広く知られたスキャンツールの名前と同じです。しかし名札は**送る側が好きな文字を書き込めます。**他人の名前を書いて貼ることもできます。ですから私たちは名札だけを見て特定のツールや人物に結びつけません。

同じロッカー、正反対の区画

事実 2番目のロッカーの他の区画も見てみます。「1か所あたり」を計算して入れました。リモートデスクトップの行とVNCの行を並べて見てください。

事実 同じロッカーなのに区画ごとに形がまったく違います。VNC区画には81か所が来て1か所あたり600回以上かかりきりになりました。1日50,922件なら1.7秒に1回の割合です。リモートデスクトップ区画にはその3倍以上の場所が来て、4回ずつ触っていっただけです。全体52,971件のうちVNCが96.1%です。

事実 VNCに接続する際に差し出すバージョン表記003.008の比重は**98.7%**でした。10月1日63.2%、10月4日94.1%、10月8日98.0%に続いてまた上がりました。

事実 最も多く来た10か所はそれぞれ4,006〜6,146件で、合わせると50,005件です。そのうちATK-F81B56・ATK-943F0E・ATK-A9F1B3は10月8日の上位リストにもあった別名です。ATK-で始まる名前は私たちが発信元ごとに付ける別名です。201.79.x.xで隠された別名は二つ(ATK-F81B56・ATK-08F736)です。別名が違うので実際には互いに異なるアドレスです。

推定 10か所の合計がVNCの50,922件に近いです。ですからこれらがVNC区画にかかりきりだった側である可能性があります。ただしどの接触がどの区画に向けられたものかは記録にありません。

事実 SMB区画では接続方式の提案が215件入ってきました。‘Samba’ 3件を除けばすべてSMB1系の名前でした。SMB1はWindowsファイル共有の非常に古い方式です。

推定 古いSMB1をまだ受け入れているサーバーを探す要求に見えます。

事実 ADB区画は504件でした。このロッカーに残ったファイルは1種、46,525バイト(0d3c687f…)です。送ってきたのはATK-371699の1か所で、初めて見る別名です。しかしファイルのハッシュは8/28・8/30・9/20・10/4のブリーフにすでにあった値です。ハッシュはファイル内容の全体から計算した固有の番号です。一文字違うだけでまったく異なる値が出ます。

開くロッカーの側 — 1分以内にできた合鍵用の鍵穴

ここからは廊下の反対側、実際に開く1番目のロッカーへ行きます。

事実 韓国時間午後2時39分、ATK-FB5E45(222.71.x.x)がSSHでログインに成功しました。SSHは遠くにあるコンピューターに入り込んでコマンドを打つ経路です。やり取りする内容を暗号で包みます。留まった時間は59.81秒です。その間にコマンド18個を打ち、ファイル2件を受け取りました。コマンド1つに3.3秒の割合です。

事実 この1分間に分類された行動は四つです。

• **偵察 — システム。**入り込んだコンピューターがどんな機械なのかを見て回ることです。
• 永続化 — SSHキーの植え込み。SSHにはパスワードの代わりに鍵ファイルで入る方法があります。サーバーはauthorized_keys(許可された鍵の一覧)に書かれた鍵だけを受け入れます。ここに自分の鍵を書き込むのが「キーの植え込み」です。ロッカーで言えばダイヤル錠の横に鍵穴をもう一つ空けて、その鍵を持っていったということです。持ち主が番号を変えても鍵では開き続けます。
• 永続化 — cron。cron(クロン)は予約タスクの機能です。アラームのように決まった時刻ごとにコンピューターが決まった仕事を自動でやるようにします。ロッカーで言えば中にタイマー装置を一つ入れておいたわけです。
• **痕跡削除。**ロッカーの使用記録帳から自分の行を消すことです。

事実 「永続化」は一度入った後も続けてまた入れるようにしておくことを指します。このセッション一つに永続化二つと痕跡削除が一緒に入っていました。昨日の1日全体で「cron」の意図に分類されたのはちょうど1件でした。

推定 このセッションにcronがあったのですから、その1件がこのセッションです。

推定 ここで気をつけることがあります。四つの行動はリストであって順序ではありません。「見て回って → 鍵穴を空けて → タイマーを入れて → 記録を消した」と書きたくなります。しかし言えるのは「四つが1分以内にすべて観測された」までです。どの鍵を植えたのか、タイマーを何時に何をするように合わせたのかも分かりません。入力記録(TTY)は残っていますが、その内容はブリーフにありません。

46日前にも同じ手口があった

事実 SSHで接続するプログラムは接続時に自分の設定の組み合わせを明らかにします。私たちはそれで接続指紋を作り、同じツール同士をまとめます。ロッカーで言えば鍵穴を空けた工具のモデル名です。このセッションの指紋はf555226df1963d1d3c09daf865abdc9a(SSH-2.0-libssh_0.9.6)です。

事実 46日前の8月26日にもこの指紋で入ってきたセッションがありました。ATK-E17FA9です。コマンド18個、ダウンロード2件、行動四つまで同じでした。留まった時間だけ約46秒で違いました。2日後の8月28日のATK-AE28B3もコマンド18個に同じ行動四つでした。ただし指紋(03a80b21…、libssh_0.11.1)とダウンロード数(1件)が違いました。3日とも、その日のcronの意図は1件だけでした。

推定 ですからこのセッションは「初めて見る侵入」ではありません。アーカイブで3度目に出てきた組み合わせです。まれに戻ってくる反復と見るのが妥当です。発信元のアドレスは毎回違いました。しかし工具のモデルは同じでした。

推定 とはいえ**同じ人物という意味ではありません。**同じモデルの工具は誰でも買えます。この指紋も同じです。同じ標準プログラムを使う無関係な人も同じ値を持ちます。私たちは「同じツール」までしか言わず、「同じ組織」とは書きません。

事実 この工具は昨日一人ではありませんでした。昨日のSSH指紋のまとまりは48個で、f555226d…がそのうち最も大きなまとまりでした。この指紋が出たIPは41か所です。四つの数字を並べて置くとこうなります。

• 389バイトの公開鍵(a8460f44…)が降りてきた回数: 41回(送ってきた場所40か所)。389バイトはショートメッセージ2、3通ほどの大きさです。
• 指紋f555226d…が出たIP: 41か所
• ID・パスワード345gs5662d34/345gs5662d34を入れてみたIP: 37か所
• 「SSHキーの植え込み」に分類された行動: 43件

事実 四つの数字が同じ桁で一緒に動きました。9月20日のブリーフ(41・41・40・43)と似た形です。

同じ日に開いた他のロッカーの扉

事実 昨日1番目のロッカーで注目したログイン成功セッションは5件です。ところが別名・指紋・ファイルハッシュを8月16日から積み上げた35件のブリーフと照合してみると**新しい組み合わせが一つもありません。**2台のサーバーに残ったファイル6種のうち、初めて見るハッシュもありません。

事実

• ATK-ADE2BE(45.43.x.x)はテルネットで入ってきました。テルネットはSSHと同じことをする古い経路ですが、内容を暗号で包みません。60.66秒、コマンド17個、行動5種、ダウンロード0件でした。8月23日のブリーフにあった同じ別名のセッションと数値がまったく同じです。
• ATK-CA5936(130.12.x.x)はSSHで3.95秒留まりました。コマンド1個に行動5種、ダウンロード2件です。8月19日以降、繰り返し出てきた別名です。
• ATK-A51A59(111.246.x.x)はテルネットで88.95秒の間にコマンド31個を打ちました。行動に「ダウンロード」があるのに実際のダウンロード記録は0件です。
• ATK-8FB338(171.114.x.x)はテルネットで19.08秒の間にコマンド61個を打ちました。1秒に3行を超えます。ダウンロード20件、行動は「痕跡削除」一つでした。記録の密度(completeness)69で昨日の最高です。

推定 最も騒がしかったのはATK-8FB338です。ところが受け取っていったのは一文字だけのファイルと、すでに見たスクリプトだけでした。ですから今日の話の中心は静かに1分留まったATK-FB5E45に置きました。残していった装置の種類が最も多かったからです。

時間順に並べると

昨日の記録を時間順に並べるとこうなります。時刻は世界標準時(UTC)で、韓国時間は9時間を足せばよいです。上の4行はリモートデスクトップ区画の1日、下は開くロッカーの場面です。ATK-FB5E45の行の始まりと終わりが1分以内に収まっているのを見てください。

1. 2026-10-11 (하루 전체) · 02
   事実 RDP(3389) 接触1,058件、固有の発信元255か所。1か所あたり平均4.15回だ
2. 아카이브 대조 · 02
   事実 RDP の固有発信元はアーカイブ25件のブリーフで102か所(9/3)〜164か所(8/31)の間だった。今日の255か所は従来最多の1.55倍だ。1か所あたりの接触数も従来最低の5.02回(9/27)より低い。直前のブリーフ10/8 は795件・119か所(か所あたり6.68回)だった
3. 하루 전체 · 02
   事実 RDP クッキー '<ip>' 790件はRDP接触の74.7% だ(10/8 ブリーフ 444/795 = 55.8%)。그 밖에 hello 33・eltons 7・rdpaudit 5・nmap 4・zgrab 3 がある。クッキーの合計は842件で、216件はクッキーの記録がない
4. 하루 전체 · 02
   推定 発信元数だけが大きく増え、1か所あたりの回数がアーカイブ最低に下がった形だ。1か所が執拗に叩いたのではなく、多くの場所が数回ずつ見て回った広く浅いスキャンに見える。同じツールなのか、互いに無関係な複数のスキャナーなのかはJSON では区別できない
5. 05:39:25Z ~ 05:40:24Z (KST 14:39)
   事実 ATK-FB5E45(222.71.x.x)がSSHログインに成功した。59.81秒の間にコマンド18個、ダウンロード2件があった。intents は 偵察 — システム · 永続化 — SSHキーの植え込み · 永続化 — cron · 痕跡削除 の4種だ。指紋 f555226df1963d1d3c09daf865abdc9a(SSH-2.0-libssh_0.9.6)、completeness 21。TTY 記録はあるが内容はブリーフにない
6. 하루 전체 · 01
   推定 command_intents の '永続化 — cron' は1日を通して1件だ。ATK-FB5E45 の intents に cron があるので、その1件がこのセッションだ
7. 아카이브 대조 · 01
   事実 8/26 ATK-E17FA9 も同じ指紋 f555226d…・コマンド18個・ダウンロード2件・同じ intents 4種だった(約46秒)。8/28 ATK-AE28B3 はコマンド18個・intents 4種が同じだが、指紋(03a80b21…, libssh_0.11.1)とダウンロード数(1件)が違う。3日とも、その日のcronの意図は1件だけだった
8. 4개 의도 공통
   推定 intents 配列は意図の集合であって実行順序ではない。だから '偵察 → 鍵 → cron → 削除' の順に起きたとは書けない
9. 05:51:19Z ~ 05:52:19Z (KST 14:51)
   事実 ATK-ADE2BE(45.43.x.x)がテルネットログインに成功した。60.66秒、コマンド17個、intents 5種、download_count 0、completeness 17 だ。8/23 ブリーフに記録された同じ別名のセッションと数値が同じだ
10. 06:14:01Z ~ 06:14:05Z (KST 15:14)
    事実 ATK-CA5936(130.12.x.x)がSSHログインに成功した。3.95秒、コマンド1個、intents 5種、ダウンロード2件だ。指紋 16443846…4397(SSH-2.0-Go)は今日IP4か所で見られ、今日の指紋リストで delivered_samples=true である唯一の値だ。8/19 ブリーフ以降、繰り返し登場した別名だ
11. 08:12:40Z ~ 08:14:09Z (KST 17:12)
    事실 ATK-A51A59(111.246.x.x)がテルネットログインに成功した。88.95秒の間にコマンド31個があり、intents は ダウンロード後に実行・実行権限の付与・ファイルのダウンロード の3種、download_count 0 だ
12. 14:53:04Z ~ 14:53:23Z (KST 23:53)
    事実 ATK-8FB338(171.114.x.x)がテルネットログインに成功した。19.08秒の間にコマンド61個、ダウンロード20件があり、intents は痕跡削除一つだ。completeness 69 で今日の最高だ。この別名は1バイトのファイル(01ba4719…)と202バイトのシェルスクリプト(0c99433c…、アーカイブ8/23 にあったハッシュ)の delivered_by に入っている
13. 하루 전체 · 01
    事実 389バイトの公開鍵(a8460f44…)41回・配達元40か所、指紋 f555226d… IP41か所、資格情報 345gs5662d34/345gs5662d34 IP37か所、'SSHキーの植え込み' の意図43件。四つの値が同じ桁で一緒に動いた。9/20 ブリーフ(41・41・40・43)と似た形だ

事実 ご覧のとおり、リモートデスクトップ側には時刻が記録された行がありません。開かないロッカーなので「いつ誰が入ってきた」という場面が生じないからです。逆に1番目のロッカーのログイン成功5件はすべて1分30秒以内に終わりました。最も短いものは4秒に満たないです。

昨日の1日全体

視野を広げて1番目のロッカーの1日全体を見ます。右の「比べるもの」の欄が数字を手に取れるようにしてくれます。

事実 行動に分類されたコマンドは2,580件です。そのうち**「偵察 — システム」が1,763件(68.3%)**です。10回のうち7回は入ってきて見て回るだけだったという意味です。残りは実行権限の付与689、痕跡削除44、SSHキーの植え込み43、ダウンロード後に実行20、ファイルのダウンロード20、cron 1です。2,580件のうちcronはたった1件で、それが今日見た1分間のセッションでした。

事実 入力記録(TTY)は1,931件残りました。2台のサーバーを合わせた固有の発信元は最大673か所です。2台のサーバーに重複して来た場所が分からないので「最大」とだけ書きます。セッション数は2台のサーバーで数える単位が違うので足しません。

この番号をお使いですか

事実 昨日1番目のロッカーに入れてみられたID・パスワードの組み合わせのうち、この記事にそのまま載せるのは6種です。基準は一つです。互いに異なるIP3か所以上から同じように入れてみられた組み合わせだけを書きます。複数の場所が同じように持ち歩いている番号なら、誰のものでもない工場出荷のデフォルト値である可能性が高いです。3番目の欄の数字を見てください。

事実 admin/adminは37か所が合計118回入れてみました。1か所あたり3.2回です。345gs5662d34/345gs5662d34は37か所が38回です。ほぼ1か所に1回ずつです。

推定 4番目の行はパスワードではありません。ウェブページを要求する文(GET / HTTP/1.1)がIDの欄に入ったものです。ウェブサーバーを探すスキャナーがテルネットの扉にウェブ要求を送りました。その文がID・パスワードの欄にそのまま記録されたものと見られます。もともとパスワードの欄にアドレスが入っていましたが、私たちのサーバーのアドレスである可能性があるので省略しました。

事実 この基準に達しなかった組み合わせは個数だけを数えます。昨日は1,861種でした。誰かの本物のアカウントから漏れ出たものである可能性があるので値は書きません。表に書いた組み合わせ一つごとに、書かなかった組み合わせが310個ほどあったことになります。最近の流れは10月1日1,608種 → 10月4日3,026種 → 10月6日2,213種 → 10月8日3,212種 → 昨日1,861種です。

事実 昨日ログインに成功した5セッションが**どの組み合わせで開けたのかは分かりません。**接続とパスワードをつなぐ情報が記録にありません。

昨日出てきた値 — 書き取るもの

防御に使えるようそのまま載せます。こうした値をIOC(侵害指標)と呼びます。「この値が見えたら疑え」という目印です。値を押すとコピーされます。説明欄の「送ってきた場所」を見てください。

事実 昨日のIOCはこの一行です。一文字だけの、事実上空のファイルです。ところが送ってきた場所に今日の主役ATK-FB5E45が入っています。新しく出てきた値ではなく、繰り返し出てきた値です。昨日1番目のロッカーに残ったファイル5種は降りてきたアドレス(URL)がすべて空でした。ですから昨日新たに申告する配布元があったのかは、この記録では確認されません。配布元はファイルを降ろしてくれる場所です。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは攻撃の手口ごとに番号を付けておいた国際的なリストです。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に行きます。

• T1078Valid Accounts — ログイン成功5件。どの資格情報で入ってきたのかはJSON にない推定
• T1082System Information Discovery — intents '偵察 — システム'推定
• T1098.004Account Manipulation: SSH Authorized Keys — intents '永続化 — SSHキーの植え込み'推定
• T1053.003Scheduled Task/Job: Cron — intents '永続化 — cron'推定
• T1070Indicator Removal — intents '痕跡削除'。コマンドの原文がないため下位の技法(ヒストリー削除・ログ削除など)は特定しない推定
• T1046Network Service Discovery — 02 RDP 255か所の広く浅い接触、RDP クッキー nmap・zgrab推定

事実 6行すべて**[推定]です。私たちの手元にあるのは行動の分類と回数までで、コマンドの原文はありません。注目すべき行は真ん中の2行、T1098.004とT1053.003です。合鍵用の鍵穴とタイマー装置**がこの番号です。どちらも「次にまた入ってくる」ための手口です。一番下のT1046はリモートデスクトップ区画を見て回った255か所の形を指しています。

以前にこういう形があった

事実 **Outlaw ボットネット (2018〜2019)。**Linuxサーバーにパスワードを無作為に入れて侵入した後、authorized_keysを書き換えてcronを登録し、出入りし続けられるようにした集団です。ボットネットは感染したコンピューター複数台をまとめて操る集団を指します。(出典の種類: セキュリティベンダーの脅威レポート · Trend Micro ブログ)

推定 「鍵の植え込み + 予約タスク」という組み合わせが同じです。しかし私たちの記録にはマイニングプログラムも、実行ファイルも、コマンドの原文もありません。ですから**Outlaw系統とは判定しません。**手口が似ているという比較に過ぎず、誰がやったのかを特定する根拠ではありません。

それで何をすべきか

ロッカーの話に戻れば、やることは三つに集まります。**廊下にロッカーを出しておかないこと。番号を工場出荷設定のままにしないこと。開いたことがあるなら番号だけを変えずに中を探ってみること。**ブリーフが挙げた六つを順に見ます。

事実 1. 管理ポートをインターネットに直接開けておいた · 可能性 高 リモートデスクトップ区画に1日1,058回、255か所が手をかけました。1番目のロッカーにはSSH 2,321セッション、テルネット326セッションが来て、そのうちログイン成功だけで5件です。

推定 運用中のコンピューターが3389番をインターネットに開けておいたなら、1日に255か所がその扉を確認していったでしょう。2番目のロッカーは開かないので、その次の被害はこの記録では語れません。確認できるのは**「開いているという事実が1日で数百か所に知られる」**までです。

事実 2. デフォルトアカウント・簡単なパスワードをそのまま使っている · 可能性 高 admin/adminは37か所から118回、root/1234・root/123456はそれぞれ3か所から入ってきました。

推定 この組み合わせを使っている機器は1日のうちに合わせられる可能性があります。開いてしまえばATK-FB5E45のように1分以内に鍵の植え込みと予約タスクが入ってきます。その後は**番号を変えても合鍵で開き続ける可能性があります。**ただし昨日成功した5件がどの組み合わせで入ってきたのかは分かりません。

事実 3. パスワードログインを許可し、鍵方式を使っていない · 可能性 高 ログイン試行2,068回、値を書かなかった組み合わせ1,861種。SSHログインの成功も2件ありました。

推定 パスワードだけで開くサーバーは、公開した6種に加えて書かなかった1,861種のすべてを相手にしなければなりません。漏れ出たリストに本物の従業員アカウントが混じっていれば、無作為な総当たりではなく一度で合うログインになります。成功したセッションが実際にパスワードで入ってきたのかは記録にありません。

事実 4. 失敗回数の制限(fail2banなど)がない · 可能性 中 345gs5662d34の組み合わせは37か所が1か所あたり1.03回、admin/adminは1か所あたり3.2回、リモートデスクトップは1か所あたり4.15回でした。

推定 fail2banは同じ場所から何回か間違えればその発信元を遮断するツールです。ところが昨日の試行は1か所から集中的に押し寄せたのではありません。複数の場所に薄く分かれていました。「1か所から5回間違えれば遮断」のような規則はほとんどの発信元で発動しなかったでしょう。ですから「高」ではなく「中」です。遮断の記録が静かだからといって誰も来なかったわけではありません。発信元とは関係なくアカウント一つに積み上がった失敗を数えてこそ、こうした分散した試行が見えます。

事実 5. サーバーが外へ出る接続を遮断していない · 可能性 中 「ファイルのダウンロード」20件、「ダウンロード後に実行」20件が分類されました。ATK-ADE2BE・ATK-CA5936・ATK-A51A59の行動に「ファイルのダウンロード」がありました。

推定 外からファイルを受け取ろうとする意図は見えました。しかし昨日残ったファイル5種はアドレスがすべて空で、実行ファイルもありませんでした。外部と実際に接続できたのか確認されないので「中」です。外部への接続を遮断してあれば、この段階で流れが断ち切られます。

事実 6. 記録を外部に集めていない(ログ収集・EDRなし) · 可能性 高 1日全体の「痕跡削除」が44件です。ATK-FB5E45の1セッションに鍵の植え込み・cron・痕跡削除が一緒にありました。ATK-8FB338はコマンド61個の間ずっと行動が「痕跡削除」一つでした。

推定 EDRはコンピューターの中の怪しい動きを記録して知らせてくれる監視プログラムです。使用記録帳がロッカーの中にだけあれば、消される瞬間に終わりです。合鍵用の鍵穴とタイマーがいつ、誰の手でできたのかをたどれません。そうなればパスワードを変えるだけでは終わりません。authorized_keysとcrontab(予約タスクの一覧)をすべて開いて見て、再インストールするかを判断しなければなりません。私たちが「46日前と同じだ」と言えるのも記録を外部に別途積み上げておいたからです。

同じ日の話を60秒の動画にもしました。動画はリモートデスクトップの扉の前の255か所一つに集中しました。この記事はその255か所が他の区画とどう違ったのか、そして同じ日に開いたロッカーの中に何が残ったのかまで広げました。

私たちが分からないこと

このブログが他と違う点です。知っていることと同じだけ、分からないことも書きます。

リモートデスクトップ区画の255か所について

• [確認不可] 255か所が**ツール一つを複数の場所に分けて回したものなのか、互いに無関係な複数のスキャナーが重なったものなのか分かりません。**2番目のロッカーにはSSH指紋のように発信元をまとめる情報がありません。
• [確認不可] 2番目のロッカーで**複数の区画を一緒に触った発信元の数は数えられません。**発信元別の記録にどの区画なのかの区別がありません。0と書けば「なかった」と読まれるので空けておきます。
• [確認不可] 名札がない216件がどこから来たのか分かりません。'<ip>'の名札の比重が74.7%に上がった理由も分かりません。

1分間のセッションについて

• [確認不可] ATK-FB5E45が**どの鍵を植えたのか、予約タスクを何時に何をするように合わせたのか分かりません。**行動の分類は「何をしようとしたのか」のまとまりに過ぎません。コマンドの原文と入力記録の内容がありません。
• [データ不一致] 指紋f555226d…は「ファイルを送ったことがない」と表示されています。ところがこの指紋のセッションATK-FB5E45は1バイトのファイルを送ってきた場所のリストに入っています。空のファイルが集計から外れるのか、記録が説明していません。
• [データ不一致] 1バイトのファイルは1日20回なのに、送ってきた二つの別名のダウンロード数を足すと22回(ATK-8FB338 20 + ATK-FB5E45 2)です。ATK-FB5E45のダウンロード2件のうち残りの1件が389バイトの公開鍵なのかは確認できません。公開鍵を送ってきた40か所のうち名前が公開されているのは10か所だけです。
• [確認不可] 指紋f555226d…の「全期間のIP数」656か所は**累積の数字として読んではいけません。**この値が増えるだけではないという点が9/5・9/8・9/10のブリーフですでに確認されています。

同じ日の他の記録について

• [確認不可] ATK-ADE2BE・ATK-A51A59は行動にダウンロードがあるのに実際のダウンロードは0件です。試みて失敗したのか、受け取ったが保存されなかったのか区別できません。
• [確認不可] ATK-CA5936が残した399バイトのOpenSSH秘密鍵(43728fbf…)が攻撃者が持ってきたものなのか、セッション中に作られたものなのか分かりません。8月19日から解けていない問題です。
• [確認不可] 繰り返し出てきたDiscordのウェブフック(メッセージを自動で送るアドレス)1件が、どのセッション・ファイルとつながるのか分かりません。トークンが入っているため原文は載せません。
• [確認不可] 昨日残ったファイル5種はアドレスがすべて空です。新たにC-TASに申告する配布元があったのか、この記録では分かりません。C-TASは韓国インターネット振興院(KISA)の脅威情報共有体系です。申告は送信成功のみが確認され、KISA側での取り込みの有無は別途確認しなければなりません。

数字の性格について

• [確認不可] 値を書かなかった1,861種のうち実際に漏れ出たアカウントが何個なのか分かりません。「漏れ出た可能性がある」は公開の基準であって判定ではありません。
• [掲載前に確認が必要] パスワードの表のGET / HTTP/1.1の行には、もともとアドレスの原文が入っていました。私たちのサーバーのアドレスである可能性があるので省略しました。整理の過程がID・パスワードの欄の中のアドレスを隠せなかったものと見られ、確認が必要です。
• [背景] 脆弱性の統計(CVE 7,679件 · 実際の悪用が確認されたKEV 413件 · ランサムウェアの確認101件、上位にFortiOS・Confluence・Log4j2・NetScaler・PAN-OS)はKISAの告知に基づく背景情報です。昨日のリモートデスクトップ・SSHの観測と直接つながりません。
• [除外] 圧縮を解かなければ出てこない指標12件(31[.]77[.]227[.]121/bins/)は8月16日から繰り返された値なので、昨日の新しい材料としては使いませんでした。

まったく判断しないこと

• 通信事業者・組織(ASN・ISP): 関連するデータベースがありません。推定しません。
• 地理的位置: 同じ理由で分かりません。IPの地理情報はそもそも誰がやったのかを特定する根拠になりません。この記事はいかなる国・企業・個人も攻撃者として指名しません。
• VPN・Tor・クラウドかどうか: 判別する手段がありません。
• VirusTotal: 連携されていません。ファイルの分類はMalwareBazaarのタグを使います。
• 接続プログラムの文字列(User-Agent): 2台のサーバーはどちらもウェブ(HTTP)サーバーではありません。1番目はSSH・テルネット、2番目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)との紐付け: SSH・テルネットの攻撃はほとんどが特定の脆弱性を参照しません。2番目のサーバーも接続規則を合わせる段階なので同じです。

昨日の廊下では二つのことがありました。開かないロッカーのリモートデスクトップ区画の前を255か所が通り過ぎました。記録を始めて以降、最も多い数字です。ところが皆、錠を4回ほど触って去りました。反対側の開くロッカーでは1か所が1分留まりました。その間に合鍵用の鍵穴を空け、タイマーを入れ、記録帳を消そうとしました。46日前に見たものと同じモデルの工具でした。

二つの場面は一つのことを語っています。錠を触る側は、ロッカーの持ち主が誰なのかを問いません。番号を変えていないロッカーがあるかどうかだけを見ます。そして一度開けば番号を変えても開き続けるようにしておいて去ります。ですからやることは二つです。リモートデスクトップのように使っていない区画は廊下から片付けておくこと。もし開いたことがあるなら、番号だけを変えずに中に見慣れない鍵穴とタイマーがないか開けてみることです。

観測日は2026年10月11日(UTC基準の1日)で、この記事は翌日に整理しました。発信元IPはブリーフで隠し処理された形(222.71.x.x、45.43.x.x、130.12.x.x、111.246.x.x、171.114.x.x、201.79.x.x)のまま載せ、復元していません。アドレスは誤って接続されないようデファング(hxxp://、[.])の状態を維持しました。資格情報は互いに異なるIP3か所以上で繰り返し観測された組み合わせ6個のみ原文を引用しました。残りの1,861種は個数だけを明らかにし、値は書きませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段のない項目は推定せず「分からない」と残しておきました。