概況JPCERT/CCでは、インターネット上に複数の観測用センサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類して、これを脆弱性情報、マルウエアや攻撃ツールの情報などと対比して分析することで、攻撃活動や準備活動の捕捉に努めています。CSIRTと連携してそれぞれの組織にセンサーを設置し観測網に参加してもらう活動を行っています。CSIRT等に情報を提供し、状況の改善を依頼しています。日本国内固有の問題については、JPCERT/CCの日々の活動の中で対処しています。本レポートでは、本四半期に国内に設置されたセンサーで観測されたパケットを中心に分析した結果について述べます。宛先ポート番号別パケット観測数のトップ5を[表1]に示します。サービス名はIANAの情報をもとに記載していますが、必ずしも各サービスプロトコルに則ったパケットが受信されているとは限りません。図1は、期間中のトップ5の宛先ポート番号ごとのパケット観測数の推移を示しています。図2に期間中のトップ5のパケット送信元地域からのパケット観測数の推移を示します。[図2:2017年10~12月の送信元地域別トップ5ごとのパケット観測数の推移]クリックすると拡大されます本四半期は、前四半期同様WindowsのSQLServerとSMBサービスのリクエスト受付用ポート向けのパケットが多数観測されました。前四半期もトップ5に入っていた、SSH(22/TCP)やTelnet(23/TCP)のリクエスト受付用ポート向けのパケットも継続して観測しており、脆弱なWebカメラ、ルータ、NAS等の機器の探索が継続して行われているものと推測されます。送信元地域別の5番目に日本が入り、その理由として、日本国内で多くの使用者がいると思われる無線LAN機器が脆弱性を悪用した攻撃を受け、Mirai亜種に感染したことが考えられます。その他に関しては、特筆すべき状況の変化は見られませんでした。52869/TCP宛のパケットの観測状況について10月30日頃、及び11月15日頃から、52869/TCP宛のパケットを観測しています(図3)。[図3:Port52869/TCP宛のパケットの観測数の推移]クリックすると拡大されますTSUBAMEのセンサーは日本を含む21経済地域に設置していますが、この種のパケットを観測したセンサーのほぼすべてが日本国内に設置されたものでした。本傾向は11月までみられ、12月以降は海外のセンサーでも観測しています。サービスの脆弱性をもつホストの探索だと推測されます。本脆弱性はすでに攻撃コードがインターネット上に公開されているため、容易に攻撃を行うことが可能です。JPCERT/CCでは、日本国内で普及しているルータの一部で古いファームウエアを使用している場合に本脆弱性の影響を受けることを確認(*3)したことから、早期の対策を呼びかけるために、2017年12月19日に注意喚起を発行(*4)しました。他の組織からも本件に関する注意(*5)が呼びかけられています。23/TCP,2323/TCP宛のパケット数の観測状況について図4は23/TCPまたは2323/TCP宛の観測パケット数の推移を、主な送信元地域ごとに示したものです。10月末頃から、それ以前にはなかった数のパケットが観測されるようになりました。Port23/TCPまたはPort2323/TCP宛の観測パケット数の主な送信元地域ごとの内訳の推移]クリックすると拡大されますこれらのパケットは、Miraiに感染した端末からのパケットと共通した特徴を有しており、Miraiの亜種に感染した端末によるものと推測されます。日本国内から送信された23/TCP宛のパケットの送信元となっている感染した端末の機種を特定するため、一部の送信元にアクセスして確認してみましたが、52869/TCPポートが開いていること以外には機種を特定できる情報は得られませんでした。パケットを一時的に観測した時期とほぼ一致しています。23/TCPのパケットはその後11月14日にかけて減少しましたが、これも2.1で述べた52869/TCPのパケットを観測しなかった時期と一致しています。11月15日以降は、52869/TCPのパケットが再び観測されるとともに、日本国内からの23/TCPのパケットも増加に転じ、その後はほぼ一定のパケット数が続いています。した観測パケット数の推移から、52869/TCPのパケットによって脆弱な端末が探索されて、Miraiの亜種に感染し、23/TCP宛のパケットを送信するようになったシナリオを一つの可能性として描くことができます。11月15日からは、23/TCP宛ばかりでなく2323/TCP宛のパケットも観測されるようになりました。送信元の地域も、日本ばかりでなく、11月23日頃にはアルゼンチン、11月29日頃にはコロンビア、パナマ、エジプト、チュニジアなどに拡大(*6)しています。いずれの地域のケースも脆弱性をもつインターネット接続機器(*7)が攻撃を受けMiraiの亜種に感染したと推測されます。して実施したものです。広報(pr@jpcert.or.jp)まで確認のご連絡をお願いします。最新情報についてはJPCERT/CCのWebサイトをご参照ください。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。