ボットの状況についてご紹介します。3種類が支配的である状況は昨年から変わっていません。それぞれ2016年と2015年にソースコードが公開されており、それ以降は元のコードを改変した多様な亜種が次々と出現する状況が継続しています。これらのボットの種類別に2019年の活動状況を以下に示します。2018年の観測状況についてはこちらの記事を参照してください。特徴に合致するものを示しています[1]。期間は2019年1月から12月までの観測データを集計したものです。通信の特徴に合致するすべてのボットが含まれていることに注意してください。グラフからわかるように、7月以降の宛先ポートに変化が見られ、またスキャン通信も増加しています。いずれも2018年には宛先ポートのトップ10に入っていなかったポートです。亜種の活動が活発になった影響によるものです。対するスキャンの送信元アドレスは中国に大きく偏っていました。ファミリーの大規模感染によるものです。よるバックドアを探索する通信と考えられます。これらのボットは2019年2月以降断続的に活発な活動が観測されています。関連性が指摘されています[4]。亜種感染急増の原因となったボットのひとつです[5]。ファミリーに共通する特徴を以下に示します[6]。亜種とは異なる感染経路を利用するため、競合があまりないことから、感染規模が数万台を超える場合があります。攻撃に利用されると高い攻撃力を持つと考えられます。サービスで被害が発生しました。この攻撃活動の詳細についてはこちらの記事をご参照ください。亜種によるスキャン通信の、ユニークな送信元アドレス数の全体の推移および国別トップ10の推移を示したものです。ハニーポットによってスキャン通信が観測されるものは全体の一部ではありますが、感染規模を推定する指標にはなります。全体としては2019年前半までは減少を続けていたのが7月以降増加に転じ、11月頃にピークを迎えて再び減少傾向となっています。国別では年間を通じて中国が感染数の最も多い国となっています。台湾、ブラジル、エジプトなど、特定の亜種の活動が活発になると一時的に感染数が増加している国が見られます。これは2018年から継続して見られる特徴です。特徴に合致するものを示しています。期間は2019年1月から12月までの観測データを集計したものです。コードのリークや公開は確認されていないため、亜種というものは存在しません。年間を通じて安定した活動状況が観測されていますが、緩やかな減少傾向にあることがわかります。よるスキャン通信のユニークな送信元アドレス数の全体の推移および国別トップ10の推移を示したものです。感染数の約4分の1はブラジルです。ブラジルの感染数はこの1年間で半数以下に減少しており、全体の感染数減少の主な要因となっています。攻撃対象としているポートと脆弱性、および活動している検体は2018年5月以降変わっていません。これらの詳細については2018年の記事を参照してください。様々な別名があり、2015年にソースコードがリークされて以来、多数の亜種が存在します。その通信の特徴だけでは判別できず、またスキャン機能をもたない検体も多いことから、全体の感染規模ははっきりしません。並んで最も多いボットのひとつです。亜種が年間を通じて活発に活動しています。亜種の国内感染数は非常に低い水準で推移しました。悪用されたことがわかっています。注意喚起などもあり、当該脆弱性を持つ機器数は減少していると考えられますが、それでもまだ相当数が国内に存在していると推定されます。そのため、この脆弱性を悪用する感染活動には注意が必要です。スキャン送信元アドレス数の推移をマルウェアの種類別に示したものです。この脆弱性を悪用して、どの種類のマルウェア感染が試みられたかを表しています。亜種の感染試行が大半を占めていることがわかります。亜種はスキャン機能をもたないものがほとんどで、ハニーポットによる観測では感染規模の推定が困難です。亜種の感染が拡大している可能性もあり、引き続き警戒が必要と考えます。機器の調査と注意喚起を行う取り組み「NOTICE」が話題となりました[9]。機器を調査する目的で複数の広域スキャン活動が国内において実施されています。ハニーポットでは以下の3つのスキャン活動について観測しています。「NOTICE」2018年11月より予備的な事前調査を開始、2019年2月より本調査を開始しており、実施状況は四半期毎に公開されています[10]。それぞれ利用しているようです。総務省と連携して2018年9月より実施しているもので、1週間に1回程度のペースで約250のポートを継続してスキャンしています。利用しているようです。NTTアドバンステクノロジによる取り組み[12]平成30年度における総務省の研究開発の提案公募に採択されたもので、2019年7月までスキャン活動が観測されていました。対象ポートはかなり広範囲で1万以上のポートに対してスキャンしていました。利用していたようです。機器に関する最近の話題をひとつご紹介します。公開されました[13]。国内ではあまり報道されていませんが、海外ではセキュリティ系のメディアを中心にこの記事が広く参照されています。このリストを入手し独自に調査しました。リストが含まれています。アドレスは10万件弱でした。知られたデフォルトのものが多数を占めており、上位10個の組み合わせが全体の半数を占めていました。ポートが閉じていたりする可能性も考えられます。ボットの感染活動にこのリストをそのまま利用することを想定した場合、その有用性は著しく低いと考えられます。コードを流用したほうがおそらくもっと効率的でしょう。いった記事の内容から影響を評価することは難しいため、不必要に踊らされることなく、脆弱性のある機器を減らすための取り組みを粛々と続けていくことが大事です。アドレスが同じになるという特徴がある。コードを一部流用している場合に同じスキャン通信のパターンを示すことがある。利用されている識別番号。感染活動で最初に確認された。詳細は以下のブログ記事を参照。派生したものと考えられる。亜種も多数存在しており、同時期に複数のタイプを使い分けていると考えられる。