点検表559行を五回 — 二人は並んで読んだ

マンションに浄水器の点検担当者が来る日を思い浮かべてみましょう。担当者の手には点検表が一枚あります。フィルターの確認、水を出してみる、部品の交換、サインをもらう。どの家に行っても順番は同じです。だから何分かかるかもだいたい決まっています。

点検表の良いところは、誰が持って行っても同じように作業できることです。ところが、これを逆から考えてみることもできます。別々の担当者三人が来て、一行も違わずに、ほぼ同じ時間で作業を終えたとしたらどうでしょうか。その家で働いたのは人というより点検表の方です。

昨日、私たちのサーバーでそんなことが起きました。違いがあるとすれば、この点検表が559行だったという点です。そして、誰も担当者を呼んでいません。

まず、私たちの家の話

事実 私たちはハニーポットを運用しています。ハニーポットはわざと手薄に開けておいたおとりサーバーです。誰が来て何をするのかを見守るために置いています。以下の話は実際の被害ではなく観察記録です。

事実 おとりサーバーは二台あります。一台目(センサー01) は玄関の暗証番号を簡単な数字に設定しておいた家です。番号が合えば実際に入ることができ、中でやったことが記録されます。二台目(センサー02) は扉が絶対に開かない家です。誰がどの扉を何回触ったかだけを書き留めます。今日の話はほとんどが一台目の家から出たものです。

事実 昨日入ってきた担当者はみなTelnetで来ました。Telnetは遠くにあるコンピュータに接続してコマンドを打つ、とても古い通路です。やり取りされる言葉が暗号で包まれません。ルーターやCCTVのような小さな機器にまだ残っている場合が多いです。私たちの家では2223番の扉がTelnetの扉です。ここで言う「扉の番号」はポートと呼ばれるものです。

五回、一行も違わなかった

事実 昨日、一台目の家でログインに成功したセッションのうち五件が目に留まりました。セッションとは「一度入ってきて出ていくまで」を指します。五件の数字はこうです。

**コマンドの列とファイルの列を上から下へ眺めてみてください。**五行すべてが同じです。

事実 ATK-で始まる名前は、私たちが送信元ごとに付ける別称です。送信元IPは後ろ側をマスクして記しました。送信元は三か所です。そのうちATK-447569は三回来ました。

事実 滞在時間は79秒から105秒の間です。その中でコマンド559個を打ちました。1秒あたり五から七行です。ファイル22個は4秒に一つの割合で受け取りました。記録がどれだけ緻密かを示すスコア(completeness)は五件すべて81で、昨日これより高いセッションはありませんでした。

推定 人がキーボードで1秒に七行を打つことはできません。しかも三か所が559行を一行も違わずに繰り返しました。同じ点検表を機械がそのまま読み下していったと見るのが自然です。こういうものを自動化スクリプトと呼びます。

点検表に書かれていたこと

事実 559行の原文は私たちの手元にありません。代わりに、コマンドが「何をしようとしているのか」を分類した結果があります。五件すべて四種類で同じでした。

• **ファイルのダウンロード。**外の倉庫から部品を取り寄せる作業です。
• 実行権限の付与。Linuxでは受け取ったファイルをそのまま実行することはできません。「このファイルは実行してよい」という印を付ける必要があります。部品に電源スイッチを取り付ける作業です。
• **ダウンロード後の実行。**取り寄せた部品のスイッチを入れる作業です。
• 痕跡の削除。玄関の訪問記録簿から自分の行を消す作業です。

推定 四種類は一覧であって順番ではありません。「取り寄せて → スイッチを付けて → 入れて → 消した」という順番はもっともらしいですが、記録が順番まで教えてくれるわけではありません。そして一つ欠けているものがあります。次にまた入ってくるための仕掛け(永続化) がこの五件にはありませんでした。たとえばパスワードなしで入れる鍵をこっそり掛けておく作業のようなものです。ですから今回の点検表は「設置して片づけて出ていく」で終わっています。

午後4時50分、担当者二人が同じ家に

事実 最初のセッションは韓国時間の昼12時10分、ATK-00D1AAでした。次は4時間38分後の午後4時49分、ATK-447569です。ここから4分34秒のあいだに作業が集中しました。

事実 ATK-447569が最初の作業を終えて出ていきました。0.397秒後にまた入ってきました。そしてその0.886秒後、別の送信元ATK-225FF4が入ってきました。二つの送信元はIPの前二桁から違います(181.233・180.190)。このときから二つのセッションが87〜89秒のあいだ並んで動きました。一つの家に担当者二人が1秒も違わない差で入ってきて、同じ点検表を同時に読んだわけです。

事実 ATK-225FF4が先に出ていき、1秒ほど後にATK-447569も出ていきました。そして0.405秒後にATK-447569が三度目に入ってきました。この別称一つが4分34秒のあいだに打ったコマンドは1,677個(559×3)です。

推定 出ていくとすぐまた入ってきて、別の場所と同時に同じことをしました。人よりは自動の繰り返しに見えます。しかし**二つの送信元が同じ運用者だという根拠はありません。**同じ点検表は複数の人がコピーして使うことができます。私たちは「同じツール」までしか言いません。

事実 同じまとまりなのかを確かめる手がかりもありませんでした。SSH接続では接続プログラムの「指紋(hassh)」を取って同じツール同士をまとめることができます。しかしTelnetではその指紋が生成されません。三つの送信元すべて、指紋の欄が空です。

時間順に並べると

時刻は世界標準時(UTC)です。韓国時間は9時間を足せばよいです。07:50付近の小数点以下の数字を見てください。一つのセッションが終わって次が始まるまで1秒もかかっていません。

1. 03:10:48.856Z (KST 12:10:48)
   事実 ATK-00D1AA(103.40.x.x) Telnetセッション開始、ログイン成功
2. 03:12:17.091Z (KST 12:12:17)
   事実 ATK-00D1AA セッション終了。88.23秒のあいだにコマンド559個、ダウンロード22件。意図4種、入力記録(TTY)あり
3. 07:49:01.508Z (KST 16:49:01)
   事実 ATK-447569(181.233.x.x) 一度目のセッション開始。ATK-00D1AA の開始から4時間38分12.65秒後である
4. 07:50:46.241Z (KST 16:50:46)
   事実 ATK-447569 一度目のセッション終了(104.73秒、コマンド559個、ダウンロード22件)
5. 07:50:46.638Z (KST 16:50:46)
   事実 0.397秒後にATK-447569 二度目のセッション開始
6. 07:50:47.524Z (KST 16:50:47)
   事実 その0.886秒後に別の送信元ATK-225FF4(180.190.x.x)がセッション開始。このときから二つのセッションが同時に進行した
7. 07:52:14.923Z (KST 16:52:14)
   事実 ATK-225FF4 終了(87.40秒、コマンド559個、ダウンロード22件)
8. 07:52:15.930Z (KST 16:52:15)
   事実 ATK-447569 二度目のセッション終了(89.29秒)
9. 07:52:16.335Z (KST 16:52:16)
   事実 0.405秒後にATK-447569 三度目のセッション開始
10. 07:53:35.603Z (KST 16:53:35)
    事実 ATK-447569 三度目のセッション終了(79.27秒)。この別称は4分34秒のあいだに三回入ってきてコマンド1,677個を打った(559×3)
11. —
    事実 五つのセッションのコマンドを合わせると2,795個で、昨日のセンサー01の全コマンド41,776個の6.7%である
12. —
    推定 0.4秒間隔の再接続と別の送信元による同時実行から見て、人が打っているのではなく自動化された繰り返しに見える。ただし二つの送信元が同じ運用主体だという根拠はない

事実 下から二行目も見てください。昨日一日、一台目の家で打たれたコマンド15個のうち1個がこの五セッションから出ています。一日4,180セッションのうち五件がそれだけを占めました。

部品はどこから来たのか — 同じ通り、四番目の倉庫

事実 担当者たちが受け取っていったファイルの中にwget.shというインストール手順書があります。1,487バイトです。英語の文字で1,487字、原稿用紙にすると七枚ほどです。この手順書を配っていたアドレスはhxxp://176[.]65[.]139[.]40/wget.shです。昨日このアドレスから60回ダウンロードされました。

事実 インターネットアドレスは前の三つのかたまりが同じなら同じ「帯」としてまとめられます。同じ通りの番地のようなものです。176.65.139の通りでファイルを配ったアドレスは、今回が四番目です。

事実 倉庫一つをブロックリストに載せると、同じ通りの別の倉庫が店を開けます。私たちの記録がその様子を二か月にわたって書き留めています。

推定 ですから、アドレスを一つずつ塞ぐより通り(帯)単位で見守ることを検討する根拠になります。ただし、同じ通りにあるからといって同じ持ち主だと断定する根拠はありません。

事実 新しく出てきたこのアドレスはC-TASに通報しました。C-TASは韓国インターネット振興院(KISA)の脅威情報共有体系です。私たちの側で確認できたのは「送信成功」までです。KISAに実際に登録されたかどうかは別途確認する必要があります。

サーバー用ではない部品

事実 一緒に入ってきたファイルのうち実行ファイル二つが目に留まります。一つはRenesas SHというCPU用です。1,196バイトで原稿用紙六枚ほどです。もう一つはMIPSというCPU用で160バイトです。原稿用紙一枚も埋まらない大きさです。MIPSファイルはATK-447569だけが送りました。

事実 CPUはコンピュータの頭脳です。実行ファイルはCPUの種類に合っていないと動きません。Renesas SHとMIPSは、一般のサーバーやPCよりルーター・セットトップボックスのような小さな機器に入る系列です。浄水器の担当者が浄水器ではなくボイラー用の部品を持ってきたのと似ています。

推定 この家が何の機械なのかを確認せずに、いろいろな機械用の部品をとりあえず全部持ってきたように見えます。しかしこれも解釈にすぎません。559行の中で何があったのかは原文がないので分かりません。

事実 背景として一つだけ付け加えます。8月16日から繰り返し出てきた圧縮ファイルがあります。このファイルは解凍しないと中に書かれたアドレスが見えません。解凍するとhxxp://31[.]77[.]227[.]121/bins/の下にCPU名の付いたファイル12個が出てきます。そこにRenesas SH系列(psh4)とMIPS系列(pmips・pmpsl)が入っています。昨日入ってきた実行ファイルとCPUの種類が重なるということまでが事実です。昨日のファイルがその一覧から来たという根拠はありません。

書き取っておく値

防御に使えるようそのまま書き写します。こうした値をIOC(侵害指標)と呼びます。「この値が見えたら疑え」という標識です。sha256はファイル内容全体から計算した固有の番号です。一文字違うだけで全く違う値になります。値を押すとコピーされます。説明の最後の「初めて/繰り返し」を見てください。

事実 上の四行は昨日初めて出た値で、下の二行は以前にも見た値です。送ってきた相手の一覧には、今日の五セッション以外にATK-F3C363・ATK-706401・ATK-A72B17といった別称もあります。同じ部品を受け取っていった家が五セッションより広いという意味です。

昨日一日の全体

視野を広げて一台目の家の一日を見ます。右の「比べるもの」の列が数字を手に取れるようにしてくれます。

事実 コマンド41,776個のうち2,795個が今日見た五セッションです。ポート別の合計と通信方式別の合計はどちらも4,177なのに、全体セッションは4,180です。3件が食い違います。理由は下の「私たちが分からないこと」に記しました。

開かない家 — 画面共有の扉が記録を書き換えた

事実 二台目の家は扉が開きません。ですから誰が何回触ったかだけが残ります。昨日はVNCの扉が目に留まりました。VNCは遠くにあるコンピュータの画面を自分の画面に映して操作する画面共有の機能です。「一か所あたり」の列を比べてみてください。

事実 VNCの接触74,372回は1.2秒に一度の割合です。送信元438か所も、接触回数も、8月26日以降のブリーフ26本の中で最大の値です。従来の最大は接触65,487回(9/10)、送信元416か所(9/8)でした。一か所あたりの平均は169.8回です。

事実 VNCに接続するときに差し出すバージョン表記も変わりました。003.008が61,601回、003.003が12,478回です。003.008の比率は83.2%で、10月11日の98.7%から下がりました。003.003だけを見ると二日のあいだに19.0倍になりました。

事実 リモートデスクトップ(RDP)の扉に付いてきたタグ(クッキー)は’hello’が2,747回、'<ip>'が412回、’zgrab’が1回です。タグは送る側が好きな文字を書き込めるので、これだけで誰なのかをまとめることはしません。SMBの扉では、とても古い方式(SMB1)時代の名前だけが入ってきました。

推定 この記録は侵入の話ではありません。扉を触った規模と形までしか言えません。なぜ増えたのかは分かりません。

この番号をお使いですか

事実 昨日、一台目の家の玄関で押されたID・パスワードのうち、この記事にそのまま書き写すのは10種です。基準は一つです。異なる送信元三か所以上から同じように押された組み合わせだけを記します。複数の場所が同じように持ち歩いている番号なら、誰のものでもない工場出荷時の初期値である可能性が高いです。三つ目の列を見てください。

事実 admin/adminは45か所から合わせて311回入ってきました。一か所あたり7回の割合です。最後の行はパスワードを完全に空にしたまま押してみた場合です。

事実 この基準に届かなかった組み合わせは個数だけを数えます。昨日は2,633種でした。誰かの本物のアカウントから漏れたものである可能性があるので値は書きません。表に書いた組み合わせ一つごとに、書かなかった組み合わせが260個ほどあるということです。記録上もっとも多かった日は10月8日の3,212種です。

事実 今日の五セッションが**どの組み合わせで扉を開けたのかは分かりません。**接続とパスワードをつなぐ情報が記録にありません。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは攻撃手口ごとに番号を付けておいた国際的な一覧です。昨日見た行動をその番号に合わせるとこうなります。IDを押すと原文の説明に飛びます。

• T1078Valid Accounts — Telnetログイン成功5件推定
• T1110.001Brute Force: Password Guessing — センサー01のログイン試行3,278回、admin/admin が45か所から試行された推定
• T1105Ingress Tool Transfer — セッションごとにダウンロード22件、wget.sh の持ち込み推定
• T1222.002File and Directory Permissions Modification: Linux — 意図「実行権限の付与」推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 意図「ダウンロード後の実行」、シェルスクリプトの持ち込み推定
• T1070Indicator Removal — 意図「痕跡の削除」(詳細な技法はコマンド原文がないため特定不可)推定

事実 六行すべてが**[推定]** です。私たちの手元にあるのは行動分類と回数までで、コマンドの原文はありません。真ん中の三行(T1105・T1222.002・T1059.004)が点検表の部品の取り寄せ → スイッチの取り付け → 電源投入に当たります。最後のT1070が訪問記録簿を消すことです。

以前にこういう形があった

事実 **Miraiボットネット (2016)。**Telnetの初期パスワードでIoT機器に入り、複数のCPU用実行ファイルをばらまいた集団です。IoT機器とはルーターやCCTVのようにインターネットにつながった小さな機器を指します。ボットネットは感染した機器を何台もまとめて操る集団です。今日の表にあるroot/vizxvは、Mirai公開ソースの初期パスワード一覧にある組み合わせとして知られています。(出典の種類: 政府アラート US-CERT/CISA Alert TA16-288A · 学術論文 USENIX Security 2017 ‘Understanding the Mirai Botnet’)

推定 Telnetログイン成功 → 外からのファイル持ち込み → 実行権限の付与 → 実行。そしてサーバーではなく小さな機器用のCPU(Renesas SH・MIPS)の実行ファイル。この骨組みが同じです。しかし**Mirai系列だと判定はしません。**ソースが公開された後、派生版が多くあります。昨日のファイルのマルウェア分類タグ(MalwareBazaar)も私たちのブリーフにはありません。

では何をすればいいのか

点検表の話に戻れば、やることは簡単です。**呼んでいない担当者が入ってこられないように。入ってきても部品を取り寄せられないように。そして記録簿は家の外にも一部。**ブリーフが挙げた六つを順に見ます。

事実 1. 初期アカウント・簡単なパスワードをそのまま使っている · 侵害の可能性: 高 今日の五セッションはすべてログインに成功しました。同じ日にadmin/adminが45か所から311回、root/12345が7か所、root/vizxvが3か所から入ってきました。

推定 ログインできた瞬間、1分30秒のうちに外のファイル22個が入ってきて、スイッチが付き、電源が入ります。その機器は他人の命令を受ける状態になります。ただし、五セッションがどの組み合わせで入ってきたのかは分かりません。上の組み合わせとのつながりは状況証拠だけです。

事実 2. 管理用の扉(Telnet)をインターネットに直接開けておいた · 侵害の可能性: 高 昨日、Telnetの扉(2223)に1,266セッションが来ました。今日の五件もすべてTelnetです。

推定 Telnetは暗号化もなく、鍵方式の認証もありません。パスワード一つ合えば中に入ってきます。そうなれば今日見た四段階がそのまま再び起こります。ルーターやカメラの設定画面に「Telnet」という項目があるなら、切っておくのがよいです。

事実 3. パスワードログインだけを使い、鍵方式を使っていない (SSH側) · 侵害の可能性: 中 今日の五セッションとは別に、SSHの扉側の記録です。SSHセッション2,911件、「SSH鍵の植え付け」と分類された行動17件がありました。同じ公開鍵ファイル(a8460f44…)が別称15か所から15回ダウンロードされました。

推定 SSH鍵の植え付けは、パスワードなしで入れる鍵を玄関にこっそり一つ掛けておく作業です。サーバーはauthorized_keys(許可された鍵の一覧)に書かれた鍵ならそのまま通します。こうなると、後でパスワードを変えてもまた入ってこられます。

事実 4. 再接続の制限(fail2ban・rate limit)がない · 侵害の可能性: 高 ATK-447569は0.397秒、0.405秒の間隔で、4分34秒のあいだに三回入り直しました。ATK-225FF4は0.886秒後に一緒に入ってきました。何の制限もかかりませんでした。

推定 fail2banは短い時間にあまりに頻繁に来る送信元を一時的に塞ぐツールです。こういう仕掛けがないと、同じ家に同じ設置が何度でも繰り返されます。点検表で言えば**「たった今帰った担当者が1秒でまたベルを押したら扉を開けない」**というルールです。

事実 5. 機器が外に出ていく接続を塞いでいない · 侵害の可能性: 高 五セッションがそれぞれ22件ずつ受け取りました。wget.shのアドレスからだけで60回ダウンロードされました。一日全体では「ファイルのダウンロード」110件、「ダウンロード後の実行」96件が分類されました。

推定 機器が外の倉庫から部品を直接受け取ってきました。決めておいた納品先とだけつながるようにしていれば(許可リスト)、部品の取り寄せの段階で流れが途切れていたでしょう。点検表がいくら長くても、部品がなければ設置はできません。

事実 6. 記録を外に集めていない(ログ収集・EDRなし) · 侵害の可能性: 中 五セッションすべてに「痕跡の削除」がありました。一日全体では78件です。私たちはおとりサーバーなので入力記録(TTY)が別に残りました。

推定 EDRはコンピュータの中の怪しい動きを記録して知らせてくれる監視プログラムです。訪問記録簿が家の中にだけあると、消された瞬間に終わりです。いつ誰が何を持ち込んだのかをたどれません。記録は機器の外へリアルタイムで送らなければ残りません。

同じ日の話を60秒の映像にもしました。映像はATK-447569が出ていくとすぐまた入ってきた0.4秒に焦点を当てました。この記事は、その五セッションがなぜ同じ点検表に見えるのか、部品がどこから来たのかまで広げました。

私たちが分からないこと

このブログが他と違う点です。分かっていることと同じだけ、分からないことも書きます。

五セッションについて

• [確認不可] 五セッションがどのID・パスワードで入ってきたのか分かりません。admin/adminのような組み合わせとのつながりは状況証拠だけです。
• [確認不可] **559行の実際の内容がありません。**行動分類4種だけがあります。559個のうち何個が分類されたのかも分かりません。
• [確認不可] セッションごとに受け取った22件がどのファイルで構成されていたのか分けられません。「送ってきた相手」の一覧には別の別称の分(1バイトのファイル1,190回など)が混ざっています。
• [確認不可] ATK-447569とATK-225FF4が**なぜ同時に同じことをしたのか分かりません。**同じツールだという状況証拠はありますが、同じ組織だという根拠はありません。

入ってきた部品について

• [確認不可] wget.sh(1,487バイト)が次の段階で何を取り寄せるのか、内容がないため確認できません。
• [推定] Renesas SHの実行ファイル(7c34c76b…)は1,196バイトで小さいです。別のファイルを取り寄せる小さな段階に見えますが、検証していません。
• [推定] MIPSの160バイトのファイル(48f9b3ea…)はセクションヘッダの位置(1960)がファイルサイズを超えます。転送中に切れたファイルである可能性がありますが、確認していません。
• [確認不可] ファイルのMalwareBazaarタグがブリーフにないため、マルウェアの系列名を付けていません。

アドレスと通報について

• [確認不可] 176[.]65[.]139[.]40と、先に出た.196・.202・.206が**同じ運用者なのか分かりません。**帯だけが同じです。
• [確認不可] C-TASへの通報は送信成功までしか確認できていません。KISAに実際に登録されたかどうかはまだ分かりません。
• [確認不可] 「初めて出た値」は、過去のブリーフでハッシュ・別称・アドレスを文字で検索した結果です。ブリーフがない日(9/9・9/11など)とは比較できていません。

数字の性格について

• [データ不一致] ポート別の合計(4,177)と通信方式別の合計(4,177)が全体セッション(4,180)と**3件食い違います。**原因は分かりません。
• [確認不可] VNCの接触が最大値を記録した理由、003.003表記が再び増えた理由は分かりません。相手のツールが変わったのか、私たちのセンサー側が変わったのか、見分けられません。
• [確認不可] 送信元上位一覧の接触数と全体セッション数が同じ単位なのか明示されていないため、比率を出していません。
• [確認不可] ADBの扉の441件は何が入ってきたのか詳細な記録がないため、今日は扱いませんでした。

そもそも判断しないこと

• 通信事業者・組織(ASN・ISP): 関連データベースがありません。推定しません。
• 地理的位置: 同じ理由で分かりません。IPの地理情報はそもそも誰がやったのかを指し示す根拠になりません。この記事はいかなる国・企業・個人も攻撃者として名指ししていません。
• VPN・Tor・クラウドかどうか: 判別する手段がありません。
• VirusTotal: 連携していません。ファイルの分類はMalwareBazaarのタグを使います。
• 接続プログラムの文字列(User-Agent): 二台のサーバーはどちらもウェブ(HTTP)サーバーではありません。一台目はSSH・Telnet、二台目はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)との紐付け: SSH・Telnetへの攻撃はほとんどが特定の脆弱性を参照しません。二台目のサーバーも接続規則を合わせる段階なので同様です。

---

昨日、私たちの家には呼んでいない担当者が五回やって来ました。送信元は三か所でした。ところが点検表は一つでした。559行を一行も変えずに読みました。部品22個を取り寄せてスイッチを付け、電源を入れ、訪問記録簿を消して1分半で出ていきました。午後4時50分には担当者二人が1秒も違わない差で入ってきて、同じ点検表を並んで読みました。部品を配った倉庫は、同じ通りで四番目に店を開けた場所でした。

点検表を持っている側は、家の主が誰なのかを尋ねません。玄関の番号が工場出荷時の設定のままかどうかだけを見ます。だから防ぐ方法も点検表のように単純です。使っていないTelnetの扉は閉じる。工場出荷時のパスワードは変える。機器がどこからでも部品を受け取れないようにする。そして記録簿は家の外にも一部置くことです。

---

観測日は2026年10月13日(UTC基準の一日)で、この記事は翌日に整理しました。送信元IPはブリーフでマスク処理された形(103.40.x.x、181.233.x.x、180.190.x.x)のまま書き写し、復元していません。アドレスは誤って接続されないようデファング(hxxp://、[.])の状態を維持しました。認証情報は異なるIP3か所以上で繰り返し観測された組み合わせ10個だけを原文引用しました。残りの2,633種は個数だけを明かし、値は書きませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段がない項目は推定せず「分からない」として残しておきました。