一週間遅れで来た「追加データ」 — 受け取る機器はルーターだった

スマートフォンに新しいゲームをインストールした日を思い出してみましょう。ストアから受け取るアプリは思ったより小さいものです。ところが初めて起動すると、こんな表示が出ます。「追加データをダウンロードします。」 本当のゲームはその後に来ます。サイズも最初に受け取ったアプリよりはるかに大きいのです。

追加データにはルールが一つあります。自分の機器に合ったバージョンが降りてくるということです。機器ごとに中に入っているチップが違います。だから他の機器用のファイルは受け取っても動きません。

昨日、私たちのサーバーでこの2段階が見えました。ただし2段階のあいだに一週間が挟まっていました。そして降りてきたバージョンは、私たちが毎日使うパソコン用ではありませんでした。

まず、私たちの家の話

事実 私たちはハニーポットを運用しています。ハニーポットはわざと手薄に開けておいたおとりサーバーです。誰が来て何をするのかを見守るために置いています。以下の話は実際の被害ではありません。観察記録です。

事実 おとりサーバーは2台です。センサー01はパスワードさえ合えば実際に入ってこられるサーバーです。中で打ったコマンドと持ち帰ったファイルが記録されます。センサー02は扉が開かないサーバーです。誰がどの扉を何回叩いたかだけを記します。今日の話はほとんどがセンサー01から出たものです。

事実 記事に出てくるATK-で始まる名前は、私たちが送信元ごとに付ける別名です。送信元IPは末尾を伏せて記します。ファイルを配信したアドレスは143[.]20[.]154[.]42のようにドットを括弧で包みます。誤ってクリックしても接続されないよう、わざと壊した表記です。これを**デファング(defang)**と呼びます。

一週間前: 小さなインストールファイルだけが来た

事実 10月8日、143[.]20[.]154[.]42というアドレスからwget.shというファイルが15回降りてきました。wgetはインターネットからファイルを受け取るコマンドです。.shはコマンドを順番に書き留めたメモ(シェルスクリプト)という意味です。サイズは1,670バイトでした。受け取ったのはATK-713362の1か所だけでした。

事実 その日センサー01に保存された実行ファイルは0個でした。その日の日誌にはこう記しました。「wget.sh が次の段階として何を呼び出そうとしたのかは分からない。」

ゲームでいえば、インストールアプリだけを受け取って**「追加データ」画面で止まった状態**でした。

昨日: 同じアドレスから本編3着

事実 一週間後の10月15日。同じアドレスの/bins/フォルダから、今度は実行ファイルが降りてきました。3種類でした。

サイズの欄を一週間前の数字と見比べてみてください。 bot.arcひとつが10月8日のwget.shの約60倍です。小さなインストールアプリの次に大きな本編が来た形そのものです。

事実 3ファイルを合わせると44回です。44回を受け取ったのはATK-7E40FB1か所だけです。この別名と3ファイルの指紋(ハッシュ)は、過去の日誌37本のどこにもなかった値です。ハッシュはファイルの内容から計算した固有の番号です。文字が一つ違うだけでまったく別の番号が出ます。だからファイルの指紋のように使います。

事実 3ファイルには共通点がもう2つあります。第一に、静的リンクです。実行に必要な部品をすべて一つのファイルに束ねてあるという意味です。受け取る側の機器に何が入っていようと単体で動きます。第二に、**デバッグ情報が削除されて(stripped)**います。作った人が作業中に残した名札を取り外したという意味です。そのため中を覗いても何をする部分なのか読み取りにくくなっています。

バージョン一覧に「パソコン」がなかった

事実 CPUは機械の頭脳チップです。チップの種類ごとに聞き取れる言葉が違います。だからプログラムはチップの種類別に別々に作らなければなりません。ファイル名の後ろのarc、arm4、arm5がまさにそのチップの種類です。ゲームの「機種別バージョン」と同じ位置です。

事実 ARC用の実行ファイルは過去の記録でちょうど一度だけ出てきました。9月8日、別のアドレスが配信した9種セットのうちの一つでした。

推定 ARCはデスクトップやサーバーにはほとんど入らないチップです。だからこのファイルはルーター・セットトップボックスのような小型機器を狙って作られたと見るのが自然です。バージョン一覧に私たちの机の上のパソコンは最初からなかったわけです。

推定 一週間前に空いていた「次の段階」の席に、同じアドレスの実行ファイルが現れました。インストールアプリがあり、一週間後に本編が来ました。だから今日はこのアドレスが続いていく姿を中心に置きました。

事実 ただし注意すべき点があります。昨日このアドレスからwget.shは一度も降りてきませんでした。 10月8日のwget.shが本当に今日のbot.*ファイルを呼ぶスクリプトだったのかは分かりません。スクリプトの内容が私たちの記録にないからです。インストールアプリと本編が同じゲームなのか確認できなかったという意味です。

「ダウンロード」を押した人が見えない

事実 ここで空欄が一つできます。ATK-7E40FBはダウンロード記録にだけ名前があります。その日の主要セッション一覧にはありません。セッションとは「一度入ってきて出ていくまで」を指します。そのため、この送信元について以下が分かりません。

• 送信元IP (伏せた形すら記録にありません)
• いつ入ってきたのか、どの扉(ポート)から来たのか
• ログインに成功したのか
• コマンドをいくつ打ち、何をしようとしたのか
• 44回のダウンロードが一度の訪問で起きたのか、複数回にわたったのか

事実 昨日ファイルを配達した記録があるSSH接続プログラムの指紋は一つありました(98ddc560…、SSH-2.0-Go、4か所)。しかしこの指紋がATK-7E40FBと同じ送信元なのかは記録にありません。だから両者を結びつけません。

ゲーム画面に「ダウンロード完了」の記録は残りました。ところがボタンを押した人の顔は画面にありません。今日の話は人ではなくダウンロード記録から出発します。

圧縮を解いて見えた3つ目のアドレス

事実 昨日、表に現れた配布元(ファイルが置かれていたアドレス)は2か所です。143[.]20[.]154[.]42(bot.*)と176[.]65[.]139[.]40(wget.sh)です。

事実 ところが、もう一つありました。UPXは実行ファイルを圧縮してサイズを減らすツールです。圧縮されたファイルは外からは中の文字が見えません。この圧縮を解いたところ、配布アドレスが12個出てきました。すべてhxxp://31[.]77[.]227[.]121/bins/の下でした。ファイル名はparm・parm5・parm6・parm64・parm7・pm68k・pmips・pmpsl・pppc・psh4・pspc・x86_64でした。チップの種類で12通りです。

事実 表面のアドレスだけを見ていたら、このアドレスは昨日の一覧に一行もなかったはずです。名前の付け方も違います。表に現れた側はbot.チップ種類、解いて出てきた側はp+チップ種類です。

推定 命名規則が違うというだけで、2つのアドレスが同じ運営者なのか、別の運営者なのかは判断できません。どちらも「機種別バージョン」を何着も用意してある形だという点だけが同じです。

同じ日、すでに見た顔ぶれ

事実 昨日センサー01で最も記録が密だったセッション5件は、すべてテルネットで入ってきてログインに成功しました。テルネットは遠くにある機械に接続してコマンドを打つ古い通路です。行き交う言葉が暗号で包まれません。私たちのサーバーでは2223番の扉がテルネットの扉です。

コマンドの欄を見てください。 559個が2つ、61個が3つ。2種類の形しかありません。

事実 559個の方は2日前の日誌で5回見た形です。そのときもコマンド559個、ファイル22件でした。61個の方は10月11日のATK-8FB338と形が同じです。送信元の別名だけが新しいものです。559個の2セッションは176[.]65[.]139[.]40のwget.sh(1,487バイト)とRenesas SHチップ用の実行ファイル(1,196バイト)を持ち帰りました。この2ファイルも2日前に初めて記録した指紋です。

推定 送信元が変わっても559個のコマンド束が2日のあいだに7回実行されました。人ではなく同じ自動化ツールが、すでに感染した複数の機器で動いている形に近いです。

事実 5セッションすべてが持ち帰ったファイルも2つあります。一つは202バイトのシェルスクリプトです。8月21日からほぼ毎日見ているファイルです。もう一つは1バイトのファイルです。文字ちょうど1個分のサイズです。昨日一日だけで181回降りてきました。

時間順に並べるとこうなります。最初の行と「時刻不明」の行のあいだが一週間だという点に注目してください。

1. 2026-10-08 (アーカイブ)
   事実 143[.]20[.]154[.]42/bins/wget.sh(81a7cdbb…、1,670バイト)が15回降りてきて、受け取ったのはATK-713362の1か所だ。その日01に保存された実行ファイルは0個だ。
2. 2026-10-15T01:11:36.827Z ~ 01:13:21.076Z (10:11 KST)
   事実 ATK-5F31BC(133.232.x.x)がテルネットでログインに成功した。104.25秒のあいだにコマンド559個、ダウンロード22件があった。intents はダウンロード後実行・実行権限付与・ファイルダウンロード・痕跡削除の4種で、completeness 81、TTY記録あり。
3. 2026-10-15T01:52:26.484Z ~ 01:54:14.170Z (10:52 KST)
   事実 ATK-A600B8(123.216.x.x)が前のセッション開始から40分49.66秒後に入ってきた。107.69秒のあいだにコマンド559個、ダウンロード22件、intents 4種が同じだった。両セッションともwget.sh(7b8cd695…、1,487バイト、176[.]65[.]139[.]40)とRenesas SH実行ファイル(7c34c76b…、1,196バイト)のdelivered_by にある。
4. 10/13 対照
   事実 10/13 には別の別名3か所が同じ559個のコマンド束を5回実行した(79~105秒)。今日の107.69秒はその範囲より2.7秒長い。別名ATK-5F31BC・ATK-A600B8 はアーカイブにない。
5. 10/13 対照
   推定 送信元が変わっても同じ559個のコマンド束が2日のあいだに7回実行された。人ではなく同じ自動化ツールが感染した別の機器で動いている形に近い。
6. 2026-10-15T08:10:15Z ~ 08:10:43Z (17:10 KST)
   事実 ATK-B34D3D(171.113.x.x)がテルネットでログインに成功した。28.54秒のあいだにコマンド61個、ダウンロード20件があった。intents は痕跡削除の1つ、completeness 69。
7. 2026-10-15T11:45:18Z ~ 11:45:38Z (20:45 KST)
   事実 ATK-BBC079(201.145.x.x)がテルネットでログインに成功した。20.00秒のあいだにコマンド61個、ダウンロード20件があり、intents は痕跡削除の1つだ。
8. 2026-10-15T11:58:42Z ~ 12:00:07Z (20:58 KST)
   事実 ATK-74E36B(116.72.x.x)がテルネットでログインに成功した。84.84秒のあいだにコマンド61個、ダウンロード20件があり、intents は痕跡削除の1つだ。同じ形が10/11 にATK-8FB338 として記録されている。
9. 一日全体
   事実 主要セッション5件すべてが202バイトのシェルスクリプト(0c99433c…、アーカイブ8/21 から繰り返し記録)と1バイトファイル(01ba4719…、今日181回)のdelivered_by に入っている。
10. 一日全体 (時刻不明)
    事実 hxxp://143[.]20[.]154[.]42/bins/bot.arc(ARC700 32ビット、100,156バイト)が16回、bot.arm4(ARM 32ビット、66,756バイト)が16回、bot.arm5(ARM 32ビット、63,468バイト)が12回降りてきた。3つとも静的リンクでデバッグ情報が削除されており(stripped)、delivered_by は3ファイルともATK-7E40FB の1か所だ。
11. 一日全体
    事実 今日143[.]20[.]154[.]42 からwget.sh は降りてこなかった。10/8 のwget.sh が今日のbot.* を呼ぶスクリプトだったのかは、スクリプトの内容がブリーフにないため確認できない。
12. 一日全体
    推定 ARC実行ファイルはアーカイブで9/8 に一度記録された(別の配布元の9種セットのうちの一つ)。デスクトップ・サーバーにはほとんどないCPU なので、このファイルはルーター・セットトップボックスのような組み込み機器を狙ったと見るのが自然だ。
13. 一日全体
    事実 同じ389バイトのSSH公開鍵(a8460f44…)が互いに異なる21か所で21回仕込まれた。同じ日に認証情報 345gs5662d34:345gs5662d34 も21か所、libssh_0.9.6 指紋(f555226d…)も今日21か所だ。
14. 一日全体
    推定 3つの値がすべて21か所なので同じ一団である可能性がある。ただし送信元リスト同士を突き合わせた値がJSON にないため、数が同じだということ以外に根拠はない。

時刻が記された行はすべて、すでに見た形のセッションです。肝心の新しく現れたbot.*の3ファイルには時刻がありません。 先ほど述べた空欄が表の上でもそのまま見えます。

数字21が3度

事実 昨日、同じSSH公開鍵一つが互いに異なる21か所で21回仕込まれました。SSHはテルネットと似た遠隔接続の通路です。違いは内容を暗号で包む点です。公開鍵はパスワードの代わりに使う鍵です。この鍵をサーバーのauthorized_keys(許可された鍵の一覧)ファイルに書き込んでおくと、その鍵の持ち主はパスワードなしで入ってこられます。この鍵のサイズは389バイトです。英文389字、短い段落一つ分の長さです。

事実 同じ日に、IDとパスワードがどちらも345gs5662d34の組み合わせも21か所から出ました。libssh_0.9.6という接続プログラムの指紋も21か所です。

推定 3つの数字がすべて21なので一団である可能性はあります。しかし根拠は数が同じだということ一つだけです。21か所の送信元リストを互いに突き合わせた値がありません。しかもlibssh_0.9.6は、同じプログラムを使う無関係な人も同じ値を持ちます。

書き留めておく値

防御する側がブロックリストに入れる値です。値をクリックするとコピーされます。 アドレスはデファングのまま残してあります。

上の6行が今日の新しい値です。下の4行はすでにブロックリストにあるべき値です。 2日前にも、8月にも出ています。

昨日一日全体

事実 センサー01の一日の数字です。

事実 コマンドを「何をしようとしているのか」で分けた一日の合計もあります。実行権限付与 2,298、ファイルダウンロード 291、ダウンロード後実行 291、システム偵察 92、痕跡削除 32、SSH鍵の仕込み 22、防御の無力化 1です。「実行権限付与」は受け取ったファイルに「実行してよい」という印を付ける作業です。Linuxではこの印がないとファイルを起動できません。

扉が開かない家: 画面共有の扉がまた記録を超えた

事実 センサー02ではVNCの接触が8万4,222回でした。VNCは他のコンピューターの画面をそのまま見て操作する画面共有の通路です。1日が8万6,400秒なので、ほぼ1秒に一度誰かがこの扉を叩いた計算になります。2日前(10月13日)に記録した最大値7万4,372回より9,850回多いです。

事実 送信元は436か所で、2日前(438か所)より2か所少なくなりました。代わりに1か所あたり叩いた回数が平均169.8回から193.2回に増えました。センサー02の全接触8万5,729回のうちVNCが**98.2%**です。

事実 VNC接続の際に互いに合わせるバージョン番号も変わりました。003.008が6万2,224回、003.003が2万1,746回です。003.008の割合は2日前の83.2%から**74.1%**に下がりました。

事実 リモートデスクトップの通路であるRDPは逆に減りました。611回・111か所です。2日前の3,323回の5分の1にも届きません。 RDP接続の最初のリクエストに付く名札の欄(クッキー)にhelloと書いてきたケースが、2日前の2,747回から16回へとほぼ消えました。一方、<ip>と書いてきたケースは413回で、2日前(412回)とほぼ同じです。

事実 SMB側で相手が提示した規格名はほとんどが非常に古いバージョン(SMB1時代)でした。新しいバージョン名は2回だけでした。このサーバーは扉が開きません。そのためログイン成功・コマンド・パスワードの記録は最初からありません。

このパスワード、お使いですか

事実 昨日センサー01に入ってきたID・パスワードの組み合わせのうち、互いに異なる送信元3か所以上から出たものだけを載せます。

事実 admin / adminは22か所から330回出ました。1か所が平均15回ずつ同じ組み合わせを入れてみた計算になります。反対に345gs5662d34の組み合わせは21か所から21回です。1か所あたりちょうど1回です。

事実 3か所未満からしか出なかった組み合わせは197種です。実際に流出したアカウントである可能性があるため、値は載せず個数だけを明らかにします。過去の最大値(10月8日、3,212種)の6.1%の水準です。

手口を国際分類表に対応させると

攻撃者が使った方法を MITRE ATT&CK という国際分類表の番号に合わせてみるとこうなります。IDをクリックすると原文の説明を見られます。

• T1110.001Brute Force: Password Guessing推定
• T1078Valid Accounts推定
• T1105Ingress Tool Transfer推定
• T1222.002File and Directory Permissions Modification: Linux and Mac推定
• T1059.004Command and Scripting Interpreter: Unix Shell推定
• T1070Indicator Removal推定
• T1098.004Account Manipulation: SSH Authorized Keys推定
• T1027.002Obfuscated Files or Information: Software Packing推定

今日の主役は**T1105(外部からのツール持ち込み)**です。インストールアプリと本編が降りてきた出来事はすべてここに入ります。最後の行のT1027.002が先ほど見たUPX圧縮です。すべて「推定」であるのには理由があります。コマンドを分類した結果を私たちが表に繋ぎ合わせたからです。

以前にもこういう形があった

推定 2016年のMiraiボットネットが似た形でした。ボットネットとは、感染した複数の機器を一人がまとめて操る群れのことです。Miraiはテルネットの工場出荷時パスワードでIoT機器(インターネットに接続された小型機器)に入り込みました。そして複数のチップ種類別の実行ファイルを配信しました。テルネットログイン → ファイルの持ち込み → 実行の印を付ける → 実行。そしてサーバー用ではないARC・ARM・Renesas SHチップ用のファイルがチップごとに用意されている点まで構造が同じです。上の表のroot / xc3511は、公開されたMiraiのソースの初期パスワード一覧にある組み合わせとして知られています。

推定 だからといってMirai系列だと断定はしません。 ソースが公開された後、変種が非常に多く出ました。昨日のファイルのマルウェア分類タグも私たちの記録にありません。(参考: 米国CISA警報 TA16-288A、USENIX Security 2017 論文 ‘Understanding the Mirai Botnet’)

それで何をすべきか

ゲームの本編は、機器が「ダウンロード」を許可してこそインストールされます。ルーターも同じです。以下の6つは、その許可をどこで断ち切るかについての話です。侵害の可能性はブリーフの判断をそのまま移しました。

1. 工場出荷時のアカウント・簡単なパスワードをそのまま使っている · 侵害の可能性 高 推定 admin / adminが22か所から330回出ました。昨日の主要セッション5件はすべてログインに成功しました。工場出荷時のアカウントがそのままなら、最初の試行の束の中で扉が開きます。その次は機器用の実行ファイルが降りてきてボットネットの1台になる順番です。

2. パスワードログインだけを使い、鍵方式を使っていない · 侵害の可能性 高 推定 「SSH鍵の仕込み」が22回、同じ公開鍵が21か所から出ました。パスワードで入ってきて自分の鍵を仕込んでおけば、パスワードを変えても鍵でまた入ってきます。authorized_keysファイルを直接開いて見なければ、気づかずに見過ごします。

3. 管理用の扉をインターネットに直接開けてある · 侵害の可能性 高 推定 一日のあいだにセンサー01へ175か所、センサー02へ695か所が訪れました。開いている管理用の扉は一日のうちに発見されるという意味です。テルネットのように内容を暗号で包まない通路なら、パスワードが漏れ出す危険も一緒に大きくなります。

4. 再接続制限(fail2ban・rate limit)がない · 侵害の可能性 中 推定 admin / adminのように1か所が15回ずつ叩く方式は回数制限で防げます。しかし345gs5662d34のように1か所がちょうど1回ずつだけ叩く方式は、送信元別の制限に引っかかりません。だから「中」です。工場出荷時アカウントの削除と併せて使ってこそ効果があります。

5. 機器が外へ出ていく接続を遮断していない · 侵害の可能性 高 推定 ログインの次の段階はすべて機器が外部のアドレスへファイルを受け取りに出ていく動作でした。今日の「追加データのダウンロード」がまさにそれです。機器がどの外部アドレスへも出ていけなかったなら、昨日見た実行ファイルの持ち込みは失敗していたはずです。

6. 記録を外部に集めていない(ログ収集・EDRなし) · 侵害の可能性 高 推定 痕跡削除のコマンドが一日に32回出ました。主要セッション5件すべてに入っていました。記録が機器の中にしかなければ、消された後は誰がいつ何を持ち帰ったのかを復元できません。EDRは機器の中の不審な動作を監視して別途報告するセキュリティプログラムです。

私たちが分からないこと

このセクションはこの日誌で最も重要な部分です。上で述べた話の境界線だからです。

本編を持ち帰った側について

• [確認不可] ATK-7E40FBは主要セッション一覧にありません。そのため接続時刻・通路・扉の番号・ログイン成功の有無・意図の分類・コマンド数が分かりません。44回のダウンロードが一度の訪問だったのか、複数回にわたったのかも分かりません。
• [確認不可] 昨日ファイル配達の記録がある唯一のSSH指紋(98ddc560…、SSH-2.0-Go、昨日4か所・累計16か所)がどのファイルを配達したのか記録にありません。主要セッション5件はテルネットなので指紋の欄が空いています。

インストールアプリと本編の関係について

• [確認不可] 10月8日のwget.sh(同じアドレス、81a7cdbb…)が今日のbot.*ファイルを呼ぶスクリプトだったのか分かりません。スクリプトの内容がブリーフにありません。10月8日のATK-713362と昨日のATK-7E40FBがどのような関係なのかも分かりません。
• [確認不可] bot.arc・bot.arm4・bot.arm5がどのマルウェア系列なのか分かりません。MalwareBazaarの分類タグが記録にありません。
• [確認不可] 143[.]20[.]154[.]42(bot.*)、31[.]77[.]227[.]121(圧縮の中のp+チップ種類)、176[.]65[.]139[.]40(wget.sh)が同じ運営者なのか判断する根拠がありません。

すでに見たセッションについて

• [確認不可] 主要セッション5件の画面記録(TTY)はあるということだけ確認しました。内容はブリーフにありません。意図の分類一覧には実行順序が含まれていません。
• [確認不可] 公開鍵・345gs5662d34アカウント・libssh指紋がすべて21か所であることは数が同じだという事実にすぎません。送信元リストが同じかどうかは突き合わせられません。

アドレスと通報について

• [確認不可] 記録の中のアドレス一覧にDiscordのウェブフックアドレスが1件あります。ウェブフックはメッセンジャーのルームへ自動でメッセージを送るアドレスです。どのファイル・セッションから出たのか、何に使われたのか分かりません。アドレスの中に秘密トークンが入っているため原文は載せません。
• [確認不可] 昨日見た配布元はC-TAS(韓国インターネット振興院の脅威情報共有システム)へ通報しました。ただし送信成功までしか確認できていません。KISAに実際に登録されたかは別途確認が必要です。
• [参考] ブリーフに載っている脆弱性統計(CVE 7,689件・実際の悪用が確認されたKEV 414件・ランサムウェア確認101件。上位5件: FortiOS CVE-2018-13379・Confluence CVE-2022-26134・Log4j2 CVE-2021-44228・NetScaler CVE-2023-4966・PAN-OS CVE-2024-3400)はKISAセキュリティ公示の背景情報です。昨日のハニーポット観測と直接つながるものではありません。

数字の性格について

• [確認不可] 2つのセンサーの送信元を合わせた870か所は最大値です。2つのセンサー両方に来た送信元が何か所あるのか分からないため、実際にはこれより少ない可能性があります。
• [確認不可] センサー02の送信元上位一覧には、どの扉を叩いたかの区別がありません。そのため上位12か所がVNCを叩いたと確定することはできません。上位一覧の接触数と全体の接触数が同じ単位なのかも明示されていません。
• [確認不可] 一つの送信元が複数の扉を回ったのかは、送信元別の記録がないため計算していません。ADBの扉の446件は何が入ってきたのか詳細な記録がありません。そこで保存されたファイルは0個です。

そもそも判断しないこと

• 通信事業者・組織(ASN・ISP): 関連データベースがありません。推定しません。
• 地理的位置: 同じ理由で分かりません。IPの地理情報は、そもそも誰がやったのかを特定する根拠にもなりません。この記事はいかなる国家・企業・個人も攻撃者として名指ししません。
• VPN・Tor・クラウドの可否: 判別する手段がありません。
• VirusTotal: 連携していません。ファイルの分類はMalwareBazaarのタグを使います。
• 接続プログラム文字列(User-Agent): 2つのセンサーはどちらもウェブ(HTTP)サーバーではありません。センサー01はSSH・テルネット、センサー02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)との結び付け: SSH・テルネット攻撃はほとんどが特定の脆弱性を参照しません。センサー02も接続規則を合わせる段階なので同様です。

一週間前、私たちのサーバーには小さなインストールファイルが一つ入ってきました。その日はそこで止まりました。昨日、同じアドレスから本編が降りてきました。サイズは60倍で、バージョンは3着でした。ところが3着とも私たちの机の上のパソコン用ではありませんでした。ルーターやセットトップボックスのように、居間の隅で点いている小型機器用でした。

ゲームなら「追加データのダウンロード」は自分が押すボタンです。ルーターでは違います。工場出荷時のパスワードがそのままで、外へ出ていく道が開いていれば、そのボタンは他人が押します。 だからやるべきことは2つです。ルーターの管理者パスワードを今日変えること。 そして、使っていない遠隔管理機能を切ること。

観測日は2026年10月15日(UTC基準の一日)で、この記事は翌日にまとめました。比較対象は10月8日・10月11日・10月13日の日誌です。送信元IPはブリーフで伏せ字処理された形(133.232.x.x、123.216.x.x、171.113.x.x、201.145.x.x、116.72.x.x)のまま移し、復元していません。ATK-7E40FBは伏せたIPすら記録にないため記していません。アドレスは誤って接続されないようデファング(hxxp://、[.])の状態を維持しました。認証情報は互いに異なるIP 3か所以上で観測された組み合わせ11個だけを原文引用しました。残りの197種は個数だけを明らかにし、値は記していません。通信事業者・国籍・VPNの有無のように、私たちに計測手段のない項目は推定せず「分からない」として残しました。