サイズは1,196バイトのまま、顔だけ変えて戻ってきた — 3日で古くなった写真の張り紙

マンションの管理室の壁には、ときどき写真が貼られています。「この人を入れないでください。」 こっそりチラシを配っていた人かもしれないし、他人の宅配便を持ち去った人かもしれません。管理員さんは入ってくる人の顔をその写真と照らし合わせます。

この方法はよく効きます。ただし、条件が一つあります。その人が同じ顔でまた来なければなりません。

身長も同じ、入ってきてからの行動もまったく同じ人がいるとしましょう。ところが来るたびに顔だけが違ったら、どうでしょうか。壁に貼られた写真は、その人を一度も見分けられません。

昨日、私たちのサーバーでそんなことが起きました。

まず、私たちのサーバーの話

事実 私たちはハニーポットを運用しています。ハニーポットは、わざと手薄に開けておいたおとりサーバーです。誰が来て何をするのかを見守るために置いています。以下の話は実際の被害ではありません。観察記録です。

事実 おとりサーバーは2台です。センサー01はパスワードが合えば実際に入ってこられます。入ってから打ったコマンドと持っていったファイルが記録されます。センサー02は扉が開きません。誰がどの扉を何回叩いたかだけを記録します。今日の話はほとんどがセンサー01から出たものです。

事実 ATK-で始まる名前は、私たちが出発地ごとに付ける別名です。出発地IPは後ろの桁を隠して記します。ファイルを配っていたアドレスは 185[.]228[.]72[.]128 のようにドットをかっこで包みます。誤ってクリックしても接続されないよう、わざと壊した表記です。これを**デファング(defang)**と呼びます。

今日使う言葉を一つ: ハッシュ

事実 ハッシュは、ファイルの内容から計算した固有の番号です。文字が一つ変わるだけでまったく違う番号が出ます。だからセキュリティの分野ではハッシュでファイルを見分けます。悪いファイルのハッシュを集めた一覧をハッシュブロックリストと呼びます。

管理室のたとえに移すとこうなります。ハッシュは顔写真で、ハッシュブロックリストは壁に貼られた写真の張り紙です。ファイルサイズは身長くらいに当たります。

同じ人がまた来た

事実 10月18日夜9時57分(韓国時間)でした。ATK-1B78D6(177.46.x.x)がTelnetで入ってきてログインに成功しました。Telnetは遠くにある機械に接続してコマンドを打つ古い通路です。やり取りされる内容が暗号で包まれません。

事実 この客は75.34秒間とどまりました。その間にコマンドを559個打ちました。1秒に7個超打った計算です。人の手では出ない速度です。ファイルも22件受け取りました。

事実 559個という数字は初めてではありません。10月13日に5回、10月15日に2回見ました。毎回出発地が違いました。それなのにコマンド数は559個でまったく同じでした。

事実 56分後、ATK-AB8FF6(185.40.x.x)が入ってきました。82.15秒間でコマンド559個、ファイル22件でした。前の客と同じです。

事実 続けてもう2か所が来ました。ATK-B91DF4(42.100.x.x)はコマンド531個、ATK-8BA6EA(113.221.x.x)は532個でした。559個より27〜28個少ないです。受け取ったファイルも21件で1件少ないです。

事実 4回の侵入は1時間8分32.69秒の間にすべて始まりました。およそ17分に1回の割合です。4か所すべて、何をしようとしたのか(意図分類)がまったく同じでした。ファイルダウンロード、実行権限の付与、ダウンロード後の実行、痕跡の削除。 この4つです。

「実行権限の付与」は、受け取ったファイルに「実行してもよい」という印を付ける作業です。Linuxではこの印がないとファイルを起動できません。「痕跡の削除」は、入って出ていった記録を消す作業です。

推定 出発地4か所はIPの先頭の桁から互いに違います。それなのにやることはまったく同じです。人が直接打ったというより、同じ自動化プログラムがすでに感染した複数の機器で動いている形に近いです。管理室のたとえで言えば、身長も同じ、歩き方も同じ人が、毎回違う服を着て来たということです。

今回は顔が違った

ここまでは先週も見た場面です。違う点は、この4人の客が持っていったファイルにありました。

事実 4か所すべてが同じファイル2個を受け取りました。

2行目を見てください。 サイズは1バイトも違いません。それなのにハッシュが違います。身長はまったく同じで、顔だけが変わったということです。

事実 wget.sh は名前のとおり、インターネットからファイルを取ってくるコマンド(wget)を書いておいたメモです。.sh はコマンドを順番に書いておいたファイル(シェルスクリプト)という意味です。今回のものは前回より11バイト大きいです。英文で11文字、単語2〜3個の差です。

事実 このファイルを配っていたアドレス 185[.]228[.]72[.]128 は、過去の日誌38本のどこにもなかったアドレスです。2つのファイルのハッシュも同じです。4人の客の別名も、すべて初めて見るものでした。

事実 1,196バイトは英文1,196文字分です。原稿用紙に換算すると6枚ほどです。ノート1ページに全部収まるサイズです。Renesas SH はチップの名前です。チップは機械の頭脳で、種類ごとに理解できる言葉が違います。だから実行ファイルはチップの種類ごとに別々に作ります。

推定 コマンド559個はそのままです。変わったのはファイルを配るアドレスとファイルのハッシュだけです。3日前のハッシュでブロックリストを作っていたとしたら、昨日のこのファイルはそのリストに引っかかりませんでした。壁に貼った写真が3日で古くなったのです。

559個と531個、何が違うのか

事実 202バイトのシェルスクリプト(0c99433c…)がもう一つあります。8月21日から7本の日誌に出てきた、すでに知っている顔です。昨日このファイルは、559個の2か所だけが受け取りました。531・532個の2か所は受け取りませんでした。

推定 531・532個の側はコマンドが27〜28個少なく、受け取ったファイルが1件少ないです。その差が202バイトのファイル1個を受け取って扱う段階である可能性があります。しかしコマンドの原文がないため確認できませんでした。

最も速かった

事実 559個のものがとどまった時間は、10月13日に79.27〜104.73秒、10月15日に104.25〜107.69秒でした。昨日の最初の客は75.34秒でした。これまで見た559個のもののなかで最も短いです。これまでの最短記録より3.93秒速いです。

時間順に見ると

昨日一日を時間順に並べるとこうなります。2行目から5行目まで、客の間隔が56分 → 7分 → 2分へと縮まっていくことに注目してください。

1. 2026-10-18T09:09:41.818Z (18:09:41 KST)
   事実 ATK-D385E9(185.41.x.x)がTelnetログインに成功した。76.47秒間でコマンド33個、ダウンロード19件。intents は痕跡削除1種、completeness 66、TTY記録あり。1バイトの空ファイル(01ba4719…)は受け取ったが wget.sh・Renesas SH は受け取らなかった
2. 2026-10-18T12:57:36.952Z (21:57:36 KST)
   事実 ATK-1B78D6(177.46.x.x)がTelnetログインに成功した。75.34秒間でコマンド559個、ダウンロード22件。intents 4種、completeness 81
3. 2026-10-18T13:54:10.300Z (22:54:10 KST)
   事実 前のセッション開始から56分33.35秒後に ATK-AB8FF6(185.40.x.x)が入ってきた。82.15秒間でコマンド559個、ダウンロード22件、intents 4種、completeness 81。前のセッションと同じ
4. 2026-10-18T14:02:36.388Z (23:02:36 KST)
   事実 前のセッションが終わって7分03.94秒後に ATK-B91DF4(42.100.x.x)が入ってきた。91.84秒間でコマンド531個、ダウンロード21件、intents 4種、completeness 78
5. 2026-10-18T14:06:09.643Z (23:06:09 KST)
   事実 前のセッションが終わって2分01.42秒後に ATK-8BA6EA(113.221.x.x)が入ってきた。91.71秒間でコマンド532個、ダウンロード21件、intents 4種、completeness 78。最初のセッションからここまで1時間08分32.69秒の間に同じ形の侵入が4回
6. 一日全体
   事実 4セッションすべてが wget.sh(e06be431…、1,498バイト、hxxp://185[.]228[.]72[.]128/wget.sh)と Renesas SH 実行ファイル(453505bf…、1,196バイト)を受け取った。両ファイルともに4回、持っていった先は4か所
7. 一日全体
   事実 202バイトのシェルスクリプト(0c99433c…)は559個の2セッション(ATK-1B78D6・ATK-AB8FF6)だけが受け取った。531・532個の2セッションは受け取らなかった
8. 一日全体
   推定 531・532個の版は559個の版よりコマンドが27〜28個、ダウンロードが1件少ない。その差が202バイトのスクリプト1個を受け取って扱う段階である可能性がある。コマンドの原文がないため確認できなかった
9. アーカイブ照合
   事実 559個の版の所要時間は10/13が79.27〜104.73秒、10/15が104.25〜107.69秒だった。今日の75.34秒はその範囲の最小値より3.93秒短い
10. アーカイブ照合
    推定 出発地の先頭2オクテットが互いに異なる4か所が、同じコマンドの束を実行した。人が直接打ったというより、同じ自動化ツールが異なる感染機器で動いている形に近い。Telnetのため SSH 指紋は空で、指紋では確認できない
11. 一日全体
    事実 ATK-9A068C が 143[.]20[.]154[.]42 から bot.arc(18回)・bot.arm4(18回)・bot.arm5(16回)を持っていった。ハッシュ3個は10/15の日誌と同じで、別名はアーカイブにない

客が来るほど、次の客が早く来ました。最後の2か所は前の人が出ていって2分で入ってきました。そして一番下の行を見てください。10月15日に見た bot.* ファイル3個はハッシュがそのままでした。今回は出発地の別名が新しいものでした。あるファイルは顔を変え、あるファイルは人だけ変えて戻ってきました。

写真の代わりに何を見るか

壁に貼った写真が通じないなら、警備員は別のものを見なければなりません。行動です。昨日の4人の客は顔が違いましたが、行動は同じでした。そしてその行動には、欠かせない段階が一つありました。

事実 4人の客すべてがログインの後に外部のアドレスからファイルを取ってきました。 一日全体で見ても「ファイルダウンロード」に分類されたコマンドが394個、「ダウンロード後の実行」が340個でした。

推定 攻撃者がハッシュをいくら変えても、ファイルを外から持ち込まなければならないという順序は変えられません。管理室で言えば、怪しい人の顔を覚える代わりに**「この建物の人は、どこの外の倉庫にでも出入りしたりしない」**というルールを立てる側です。写真は3日で古くなりましたが、このルールは顔が変わってもそのまま通じます。

圧縮を解かないと見えないアドレス

事実 表から見えるアドレスだけでなく、隠れたアドレスもありました。UPX は実行ファイルを圧縮してサイズを小さくするツールです。圧縮されたファイルは、外から中の文字が見えません。この圧縮を解かないと出てこないアドレスが12個ありました。すべて 31[.]77[.]227[.]121/bins/ の下、チップの種類ごとのパスでした。このアドレスは8月19日から私たちの記録にあります。

事実 表面だけを見て作ったブロックリストには、この12個が入りません。写真を撮るときに帽子を取らせないと顔が見えないのと同じです。

書き取っておく値

防御する側が一覧に入れる値です。値をクリックするとコピーされます。 アドレスはデファングした状態のままにしてあります。

上の3行が、今日新しく貼る写真です。下の2行はすでに張り紙にあるべき顔です。 1バイトのファイルは文字ちょうど1個分の大きさなのに、一日に133回降ってきました。そしてもう一度言いますが、上の3行も来週には古くなるかもしれません。

昨日一日の全体

事実 センサー01の一日の数字です。

事実 コマンドを「何をしようとしているのか」で分けた合計もあります。システム偵察 2,296、実行権限の付与 1,414、ファイルダウンロード 394、ダウンロード後の実行 340、cron登録 103、痕跡の削除 80、マイニング 55、SSH鍵の植え込み 19です。cronは決まった時刻ごとにコマンドを自動で再び動かしてくれる予約機能です。SSH鍵の植え込みは、パスワードなしで入ってこられる鍵をサーバーの authorized_keys(許可された鍵の一覧)に書いておく作業です。

事実 今日の4人の客には、cronも鍵の植え込みもありませんでした。受け取って実行して消して出ていきました。腰を据えて居座る段階までは記録にありません。

事実 画面記録(TTY)は3,036件残りました。セッション数3,846件とログイン試行3,234回は、それぞれ別に数えた数字です。セッション数が扉番号ごとの合計(3,833件)より13件多い理由は、下の「私たちが分からないこと」に書きました。

扉が開かないサーバー: センサー02

事実 センサー02では、画面共有の通路であるVNCが6万3,607回叩かれました。一日が8万6,400秒なので、おおよそ1.4秒に1回です。それでも10月15日(8万4,222回、これまでの最大)よりは少ないです。出発地344か所も10月13日(438か所、最大)より少ないです。昨日センサー02で記録を破った値はありませんでした。

事実 VNC接続時に互いに合わせるバージョン番号は、003.008 が4万2,741回、003.003 が2万703回でした。003.008 が67.4%です。RDP接続の最初のリクエストの名札の欄(クッキー)には、hello が1,274回、<ip> が477回書かれて来ました。

推定 SMBの側では、相手が1990年代の規格名まで一度に差し出してきました(NT LM 0.12 41回、LANMAN1.0 35回など)。どのバージョンでも合うものを探そうとするスキャンプログラムのやり方として読めます。

事実 センサー02にもファイルが2個残りました。333a9ccd…(152回)と 0c3ad275…(60回)です。どちらも206,176バイトで、どちらも ATK-412FD8 から来ました。ハッシュも別名も、過去の記録にありません。

このパスワード、お使いですか

事実 昨日センサー01に入ってきたID・パスワードの組み合わせのうち、互いに異なる複数の出発地から出て引用してもよいものだけを移します。

事実 admin / admin は41か所から192回出ました。1か所あたり平均4.7回です。1か所が5回も叩かずに次の場所へ渡した計算です。

事実 出発地3か所未満からしか出なかった組み合わせは2,339種です。実際に流出したアカウントである可能性があるため、値は載せずに個数だけを数えます。過去の日誌38本のうち5番目に多いです。もっと多かった日は10月8日(3,212)、10月4日(3,026)、10月13日(2,633)、9月7日(2,527)です。

手口を国際分類表に対応させると

攻撃者が使った方法を MITRE ATT&CK という国際分類表の番号に合わせてみると、こうなります。IDをクリックすると原文の説明を見られます。

• T1078.001Valid Accounts: Default Accounts推定
• T1110.001Brute Force: Password Guessing推定
• T1059.004Command and Scripting Interpreter: Unix Shell推定
• T1105Ingress Tool Transfer推定
• T1222.002File and Directory Permissions Modification: Linux and Mac推定
• T1070Indicator Removal推定

6行がそのまま4人の客の動線です。工場出荷時のデフォルトアカウントで入ってきて(T1078.001)、パスワードを当ててみて(T1110.001)、コマンドウィンドウを使い(T1059.004)、外からファイルを持ち込み(T1105)、実行の印を付け(T1222.002)、痕跡を消します(T1070)。顔は変わっても、この表は先週と同じです。 すべて「推定」である理由は、コマンドを分類した結果を私たちがこの表につなぎ合わせたからです。

以前にもこういう形があった

事実 上のパスワード表の root / xc3511、root / vizxv、root / juantech、root / xmhdipc は、2016年に公開された Mirai のソースコードのデフォルトパスワード一覧にある値です。Miraiはルーター・カメラのような小さな機器を感染させ、一斉に操ったボットネットです。ボットネットは、感染した複数の機器を一人が束ねて操る群れを指します。

推定 Telnetで入ってくる経路も似ています。ルーター・組み込み機器向けチップ(ARC・ARM・Renesas SH)の実行ファイルを持ち込む点も、同じ系列の手口と重なります。ただし昨日のファイルが Miraiから派生したものかどうかは確認していません。 ファイル分類の結果が記録にありません。(参考: 米国CISA警報 TA16-288A)

では何をすべきか

写真の張り紙は、絶えず貼り替え続けなければなりません。それより長持ちするルールが以下にあります。侵害可能性はブリーフの判断をそのまま移しました。

1. 工場出荷時のアカウント・簡単なパスワードをそのまま使っている · 侵害可能性 高 推定 admin / admin が41か所から192回出ました。昨日の主要セッション5件はすべてログインに成功しました。工場出荷時のパスワードがそのままの機器なら、同じ一覧を回すプログラムにそのまま開きます。その次は昨日見た順序そのままです。ファイルが入ってきて、実行の印が付き、機器が他人の命令を受けて動きます。

2. パスワードログインだけを使い、鍵方式を使っていない · 侵害可能性 高 推定 Telnetには鍵方式がありません。パスワード一つが合えば扉が開きます。昨日成功した侵入5件はすべてこの道から来ました。さらにパスワードが暗号で包まれないままやり取りされるので、途中で盗み聞きするのも簡単です。

3. 管理用の扉をインターネットに直接開けてある · 侵害可能性 高 推定 一日に221か所がセンサー01の扉を叩きました。外に開いた管理用の扉は一日のうちに発見されると考えるべきです。上の2つが手薄なら、同じ日に破られます。

4. 再接続制限(fail2ban・rate limit)がない · 侵害可能性 中 推定 fail2banは、パスワードを何度も間違えた出発地を一時的にブロックしておくプログラムです。昨日のログイン試行は出発地1か所あたり平均14.6回でした。admin / admin だけを見ると1か所あたり4.7回です。よくあるブロック基準(例: 5回)の前後なので、複数の場所に分けて叩けば一部はすり抜けます。だから「中」です。

5. 機器が外に出ていく接続をブロックしていない · 侵害可能性 高 推定 今日の記事の結論がここにあります。ログインの次の段階はすべて機器が外部のアドレスへファイルを取りに出ていく動作でした。機器がどの外部アドレスへも出ていけなかったとしたら、昨日見た持ち込みは失敗していました。ハッシュが変わろうが、アドレスが変わろうが関係なく。写真の代わりに動線をブロックする方法です。

6. 記録を外部に集めていない(ログ収集・EDRなし) · 侵害可能性 高 推定 痕跡削除のコマンドが一日に80回出ました。主要セッション5件すべてに入っていました。ATK-D385E9 はそもそも痕跡削除だけをしました。記録が機器の中だけにあると、消した瞬間に消えます。昨日のように75〜92秒で終わる侵入は、人が画面を見ていて捕まえられる長さではありません。EDRは機器の中の怪しい動きを監視して外部に報告するセキュリティプログラムです。

私たちが分からないこと

このセクションは、この日誌で最も重要な部分です。上でした話がどこまで正しいのか、線を引く場所だからです。

変わった顔について

• [確認不可] 185[.]228[.]72[.]128 と10月13・15日の 176[.]65[.]139[.]40 が同じ運営者なのか、判断する根拠がありません。コマンドの束が同じだということだけが確認されます。
• [確認不可] wget.sh(e06be431…)が Renesas SH 実行ファイルや他のチップ向けファイルを呼び出すスクリプトなのか分かりません。スクリプトの内容がブリーフにありません。ダウンロード22件のうち、保存されたハッシュで確認できるのは一部だけです。
• [確認不可] Renesas SH 実行ファイル 453505bf… は1,196バイトで小さいです。他のファイルを取ってくる小さな第一段階のように見えますが、推定にすぎません。ファイル分類の結果(MalwareBazaarタグ)が記録にありません。

同じ行動について

• [確認不可] 531・532個のものと559個のものの差が202バイトのスクリプトの段階だという解釈は、「誰がどのファイルを受け取ったか」の記録の差から出た推定です。コマンドの原文がないため検証していません。
• [確認不可] 4つの出発地が同じプログラムを使っているという解釈は、コマンド数・意図分類・受け取ったファイルが同じだということに頼ったものです。Telnetのため、接続プログラムの指紋(hassh)では確認できません。いずれの場合も**「同じツール」までしか**言えません。「同じ組織」だと言える根拠はありません。

数字と通報について

• [確認不可] センサー01のセッション数3,846件は、扉番号ごとの合計3,833件より13件多いです。扉番号や通路が記録されていないセッションがあるのか、元データでは分かりません。
• [確認不可] Telnetの扉を2223番と記したのは、Telnetセッション数(1,366)と2223番の扉のセッション数(1,366)が同じだからです。主要セッションの記録自体には扉番号の欄がありません。
• [確認不可] 2つのセンサーを合わせた出発地842か所は最大値です。両方に来た出発地が何か所あるのか分からないため、実際にはもっと少ない可能性があります。
• [確認不可] センサー02のADBは接触数415件だけがあり、詳細な記録がありません。ADBで何が入ってきたのか、206,176バイトのファイル2個がADBで入ってきたのかは確認できません。
• [確認不可] センサー02で一つの出発地が複数の扉を回ったのかは、出発地ごとの記録がないため数えられませんでした。
• [確認不可] 新しい配布元 185[.]228[.]72[.]128 は C-TAS(韓国インターネット振興院の脅威情報共有システム)への通報対象です。ただし送信の成功までしか確認されていません。KISAに実際に登録されたかどうかは別に確認する必要があります。
• [確認不可] 記録中のアドレス一覧にDiscord Webhookのアドレスがあります。Webhookは、メッセンジャーのルームに自動でメッセージを送るアドレスです。どのセッション・ファイルとつながるのかはブリーフにありません。アドレスの中に秘密のトークンが入っているため、原文は載せません。

そもそも判断しないこと

• 通信事業者・組織(ASN・ISP): 関連データベースがありません。推定しません。
• 地理的位置: 同じ理由で分かりません。IPの地理情報は、そもそも誰がやったのかを指し示す根拠にもなりません。この記事は、いかなる国家・企業・個人も攻撃者として指名しません。
• VPN・Tor・クラウドかどうか: 判別する手段がありません。
• VirusTotal: 連携していません。ファイル分類は MalwareBazaar のタグを使います。
• 接続プログラムの文字列(User-Agent): 2つのセンサーはどちらもウェブ(HTTP)サーバーではありません。センサー01はSSH・Telnet、センサー02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• 脆弱性番号(CVE)との紐付け: SSH・Telnetの攻撃は、ほとんどが特定の脆弱性を参照しません。センサー02も接続規則を合わせる段階なので同じです。

管理室の壁の写真は役に立ちます。同じ顔でまた来る人は防いでくれます。昨日も10月15日の bot.* ファイル3個は、同じ顔で戻ってきました。

しかし、コマンド559個の客は違いました。身長は1,196バイトのままでした。行動は559個のコマンドのままでした。顔だけ変えて、3日でまた来ました。写真の張り紙だけを信じていたなら、4回すべてが初めて見る客だったでしょう。

顔はいつでも変わります。変わらないのは、外から何かを持ち込まなければならないという動線です。だからやるべきことは2つです。ルーターの管理者パスワードを今日変えること。 そして機器が知らない外部アドレスへ出ていけないようにブロックすること。

観測日は2026年10月18日(UTC基準の1日)で、この記事は翌日にまとめました。比較対象は10月13日・10月15日の日誌と、8月16日〜10月15日の日誌38本です。出発地IPはブリーフで隠し処理された形(177.46.x.x、185.40.x.x、42.100.x.x、113.221.x.x、185.41.x.x)のまま移し、復元していません。アドレスは誤って接続されないよう、デファング(hxxp://、[.])の状態を維持しました。認証情報は互いに異なる複数のIPで観測され、引用が許可された組み合わせ11個だけを原文で移しました。3か所未満からしか出なかった2,339種は個数だけを明らかにし、値は記しませんでした。通信事業者・国籍・VPNかどうかのように、私たちに計測手段がない項目は推定せず「分からない」として残しておきました。