NICTER 観測レポート 2021
国立研究開発法人情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティネクサス

ため，表の右端にある「1 IP アドレスあたりの年間総観

1. はじめに測パケット数」をインターネットにおけるサイバー攻撃
関連活動の活発さを表す指標として考えます．

本レポートは NICTER プロジェクト*1 においてダー

この数値に着目すると，2021 年は 1 IP アドレスあた

クネット観測*2 と各種ハニーポット*3 が捉えた 2021 年

りで約 175 万パケットが観測され，2012 年以降続いていのサイバー攻撃の状況についてまとめたものです．
例年同様，様々な事象が NICTER の各種センサで観測た増加傾向が減少（約 6% 減）に転じましたが，2019 年されましたが，本レポートで説明する 2021 年の主な観測と比較すると約 1.4 倍の値であり，依然多くのサイバー

結果をまとめると次のようになります．

攻撃関連パケットが観測されている状況が続いています．
減少に転じた要因としては，2020 年に観測されたような• ダークネット観測統計（2 章）：ダークネット観測に

パケット数のバースト（大規模なバックスキャッタや，特おける 1 IP アドレスあたりの年間総観測パケット数

定の国／ホストによる集中的な大量の調査スキャン）がは 2020 年から減少し 175 万パケットでした．これ

2021 年にはあまり観測されなかったことが挙げられます．

は，大規模なスキャンやバックスキャッタのような2018 年頃から続いている海外組織からの調査目的とみ

パケット数の急増事象が前年に比べて少なかったた

られるスキャン活動は 2021 年も多く観測され，攻撃の傾めです．
*1. プロジェクト公式サイト（https://www.nicter.jp/）• IoT ボットの感染活動と感染機器（3 章）： Mirai 亜*2. インターネット上で到達可能かつ未使用の IP アドレス宛に届くパケットを収集する手法．未使用の IP アドレスであるため本来はパケッ
トが観測されないはずですが，実際にはサイバー攻撃に関連する探索活動（スキャン）や送信元 IP アドレスを詐称した DDoS 攻撃の跳ね返り（バックスキャッタ）等が多く観測されます．このパケットを分析することにより，インターネット上で発生しているサイバー攻撃の兆候や傾向等を把握することができます．

種をはじめとする IoT ボットの活動は依然として世界全体で活発に観測されました．日本国内では，既知の脆弱性を持つ機器の感染が継続的に確認されました．

• DRDoS 攻撃の観測状況（4 章）： DDoS 攻撃*4 の一*3. サイバー攻撃を観測・分析するための囮（おとり）システム．欠陥（脆弱性）を意図的に残したシステムあるいはその脆弱性を模擬するプログラムを使用することにより，攻撃者の活動を把握することができます．

種である DRDoS 攻撃の観測結果からは，絨毯爆撃型の DRDoS 攻撃の増加が確認されました．

*4. 分散型サービス妨害攻撃（Distributed Denial-of-Service Attack）．サーバやネットワーク等のリソースに意図的に過剰な負荷をかけることにより正常なサービスを妨害するサイバー攻撃．

2. ダークネット観測統計*5. 年間総観測パケット数は，これまで攻撃通信と関係のないノイズを一部除去して算出していましたが，全観測期間について集計方法の見直しを行い，全ダークネットセンサ宛に届いた全パケット数に統一しました．そのため本レポートの観測統計値は，過去に公開した NICTER 観
測レポートの公表値と異なります．なお数値はレポート作成時点のデー
タベースの値に基づきますが，集計後にデータベースの再構築等が行われ数値が増減することがあります．総観測パケット数は NICTER で観測しているダークネットの範囲に届いたパケットの個数を示すものであり，日本全体や政府機関に対する攻撃件数ではありません．

2.1. 年間観測パケット数
NICTER プロジェクトのダークネット観測で確認された過去 10 年間の「年間総観測パケット数 *5 」「観測 IP
アドレス数（ダークネット観測の規模）*6 」「1 IP アド
レスあたりの年間総観測パケット数」を表 1 に示します．

*6. 観測 IP アドレス数はその年の 12 月 31 日時点に稼働していたセンサの IP アドレス数です．

年間総観測パケット数は観測 IP アドレス数に影響される

1

表1: 年間総観測パケット数の統計（過去 10 年間）
1 IP アドレスあたりの年

年間総観測パケット数

観測 IP アドレス数

年間総観測パケット数

2012

約 78.0 億

190,276

53,2062013

約 128.8 億

209,174

63,6822014

約 241.0 億

212,878

115,3352015

約 631.6 億

270,973245,5402016

約 1,440 億

274,872

527,8882017

約 1,559 億

253,086

578,7502018

約 2,169 億

273,292

806,8772019

約 3,756 億

309,769

1,231,331

2020

約 5,705 億

307,985

1,849,817

2021

約 5,180 億

289,946

1,747,685

向を分析する際のノイズとなるため，昨年までと同様に，の調査を除く攻撃関連パケット数は緩やかな増加傾向で一定の判定ルール *7 を設けて調査目的のスキャンの判定

推移していましたが，2021 年は 2020 年と同程度でした．

と除去を行いました．また，2021 年からは，調査目的で

2.3. 宛先ポート番号別のパケット数あることが確認できた組織の IP アドレスも調査スキャナと判定し *8 ，合わせて除去を行いました．

1 年間にダークネット観測で確認された TCP と UDP

その結果，2021 年は 7,631 の IP アドレスからの約のパケットについて，パケット数を宛先ポート番号別に

2,974 億パケットが調査目的のスキャンとして判定されま

集計し，そのパケット数の多い上位 10 種類のポート番号

した．これは 2021 年に観測された全パケットの約 57.4%とその他の割合をまとめたグラフを図 2 に示します．図

にあたり，2020 年の約 54% から更に割合が増加していの左側が総観測パケット（調査目的のパケットを含む）のます．

グラフ，図の右側が調査を除く攻撃関連パケットのグラ
フです．また，青色は IoT 機器，橙色は Windows で主に2.2. 日ごとの観測パケット数の推移

利用されているポート番号をそれぞれ示しています．こダークネットにおける日ごとの観測パケット数の推移

れらのポート番号に対応するサービスが，NICTER のダを，「調査目的のスキャンパケット」と，総観測パケッ

ークネット観測が捉えた 2021 年の主な攻撃対象であるとトから調査目的のスキャンパケットを除いた「調査を除いえます．

く攻撃関連パケット」に分けて表した積み上げグラフを調査目的のスキャンでは広範囲のポート番号に対して

図 1 に示します．1 月初旬，3 月中旬，5 月初旬頃などにスキャンが実施されるため，図 2 の左側のグラフでは上

パケット数の急増が数回見られますが，それらの全てが位のポート番号の割合が小さくなり攻撃傾向を把握しづ調査目的のスキャンパケットによるものだということがらくなっていますが，それらのノイズを除いた右側の図でわかります．7 月初旬に見られる調査を除く攻撃関連パケ*7. ある 1 日における 1 つの IP アドレスからのパケット（TCP のSYN パケットと UDP パケット）について，

ット数の急増はトルコ財務省関連のネットワークからのSYN-ACK パケットによるもので，送信元ポート番号が• 宛先ポート番号が 30 種類以上

80/TCP であったことから，トルコ財務省関連の Web サ• 総パケット数が 30 万以上の条件を共に満たす場合，この IP アドレスからの全パケットを調査目的のスキャンと判定します．詳細は [1, 2] を参照して下さい．

ーバへの DDoS 攻撃（SYN-Flood 攻撃）があったと推測されます．

*8. 大学や調査機関等，調査や研究を目的としたスキャンを行っていることが Web サイトなどから明らかで，スキャン元の IP アドレスが公開されている，あるいは，送信元 IP アドレスの逆引き等で送信元の組織を確認できる場合に，この IP アドレスを調査スキャナと判定します．

この事象を除くと，2021 年の調査を除く攻撃関連パケ
ット数は大きな増減なく推移しました．また，過去 4 年間

2

図1: ダークネットにおける日ごとの観測パケット数の推移（積み上げグラフ）(1)総観測パケット(2)調査を除く攻撃関連パケット

図2: 宛先ポート番号別の年間観測パケット数の割合

は攻撃の傾向がわかりやすくなっています．しかしなが利用されているポート番号は，2020 年は上位 10 位内にら，上位 10 種類に含まれない「その他のポート（Other

3 ポート観測されましたが，2021 年はファイル共有に使Ports）」の割合は年々高くなってきており，その割合は用される Server Message Block（SMB）の 445/TCP の2021 年は 68.7%（前年 62.9%）へと増加しました．これ

みで，その順位も 2020 年の 2 位から 2021 年は 3 位へ

は，攻撃が多様化しており，多くのポート番号を攻撃の対と後退しました．2021 年は IoT 機器やサーバ等の遠隔象とするボットネット等が継続的に活動したためと考え操作で使用される SSH（Secure Shell）の 22/TCP が 2られます（3.3 節）．

番目に多く観測され，lighttpd や GoAhead Embedded

調査を除く攻撃関連パケットの観測結果を示す図 2 の

Web Server など IoT 機器の Web インターフェイスが動右側に着目すると，観測パケット数の最も多い宛先ポー

作する 80/TCP，81/TCP も引き続き上位に観測されま

ト番号は，2020 年までに引き続き Telnet サービスで使した．また，前年までと比較すると，Linux サーバ等で利用される 23/TCP であることがわかります．しかしなが用されているポート番号宛てのパケットが多く観測され，ら，23/TCP の全体に対する割合は 11.0% であり，2020

Key-Value ストアの Redis で使われる 6379/TCP，時刻

年の 16.3% から更に減少しました．また，Windows で情報を提供する NTP サーバで使われる 123/UDP，コン

3

図3: Mirai の感染ホスト数の推移（全体）

図4: Mirai の感染ホスト数とロジテックと判明したホス
トの推移（日本）

テナ型仮想実行環境を提供する Docker において遠隔管理の機能を提供する DockerAPI の 2375/TCP 宛てのパできるスパイクは，主にエジプトのホスト数増加によるケットが多く観測されました．

ものでした．その中でも 2 月 14 日は、全体で 112,380 ホ
ストに対し，エジプトのホストが 55,706 ホストと約 50％

3. 観測事象の分析を占めていました．これらのホストからのパケット数を本章では，2021 年にダークネットおよび各種ハニーポ確認したところ，1 IP アドレスあたりの平均パケット数

ットの観測において確認された事例として，次の 5 つをが極端に少ないことが分かりました．これは，NICTER

説明します．

Blog でも紹介した，「1 つの感染ホスト（機器）が IP ア
ドレスを変動させながらパケットを送信した」事象 [3] で• Mirai 感染ホスト数の推移（3.1節）

ある可能性が高いと考えています．

• 国内におけるバッファロー製品の感染事例（3.2節）

オリジナルの Mirai は擬似乱数生成器を使って宛先 IP• Sysrv-hello Botnet の活動（3.3節）

アドレス等のパケットヘッダを生成しますが，その擬似• Xiongmai 製 の ビ デ オ レ コ ー ダ を 狙 っ た 攻 撃 通 信

乱数の Seed 値はプロセス実行時に動的決定されるものの(3.4節)

比較的容易に特定することが可能です．そのため，その• GRE パケットを送信するホスト数の増加（3.5節）

Seed 値を比較することにより，IP アドレスが変動していても同一の機器を推定することができます．2 月 14 日の3.1. Mirai 感染ホスト数の推移

エジプトのデータからこの Seed 値を特定したところ，ユ
ニークな感染台数は多くても約 13,000 台であるというこ

IoT ボットとして有名な Mirai とその亜種は，スキャン時に生成する TCP の SYN パケットに固有の特徴 *9とが分かりました．

を持っています．そのため，ダークネット観測においてこ

3.1.2 Mirai 感染ホスト数の推移（日本国内）の特徴を持つパケットの送信元 IP アドレスを集計するこ

日本国内における Mirai 感染ホスト数の日ごとの推移とにより，Mirai やその亜種に感染したホストの台数を推を図 4 の青線で示します．感染ホスト数は 2020 年と同程計することができます．

度で，1 日あたり数百～2 千ホストが観測されました．ホ

本節では，この手法に基づいて，世界全体と日本国内にスト数が急増する箇所が確認できますが，これは機器がおける Mirai とその亜種の感染ホスト（以降，「Mirai 感

再起動する等により同一機器の IP アドレスが何度も変動

染ホスト」と呼ぶ）を推計し，その推移を分析します．

した結果です [3]．
国内の Mirai 感染ホストの機器の割合は，昨年同様にロ3.1.1 Mirai 感染ホスト数の推移（全体）

ジテック社製の古いブロードバンドルータが一定数を占世界全体における Mirai 感染ホスト数の日ごとの推移
を図 3 に示します．感染ホスト数は 2020 年から半数程度*9. TCP ヘッダのシーケンス番号と宛先 IP アドレスが同じ値で，送信元ポート番号が 1024 以上という特徴に減少し，5 万から 10 万程度で推移しました．複数確認

4{80 7001 8080 8081 8088 8888 8983 9001 9999}{80 7001 8000 8080 8081 8088 8181 8888 8983 9001 9999}{80 7001 8000 8080 8081 8088 8888 8983 9001 9999}{80 7001 8000 8080 8081 8088 8090 8888 8983 9001 9999}{80 6379 7001 8000 8080 8081 8088 8090 8888 8983 9001 9999}{22 80 5432 6379 6380 7001 8000 8080 8081 8088 8090 8888 9001 9999}

ユニークホスト数/日

6,000
5,000
4,000
3,000
2,000
1,000
0
2021/03/01

2021/03/15

2021/03/29

2021/04/12

2021/04/26

2021/05/10

図5: 52869/tcp 宛のパケット数
図6: 7001/TCP を含んだポートセットスキャンのホスト
数の推移（主要なポートセットのみ）
めていました（図 4 の赤点線）．該当機器は 52869/TCPで動作するサービスに脆弱性があり，この脆弱性を狙っ．9 月
た攻撃は 2021 年も継続して観測されました（図 5）以降はその件数は減少傾向にありますが，攻撃自体は継続しており，検体のダウンロードサーバ等の攻撃インフ(1) マルウェアを埋め込まれたWebサイトのHTMLソース（iframeにBrowserUpdate.exeが埋め込まれている）

ラや検体のハッシュ値が数日から数週間で変化する状況を確認しています．

3.2. 国内におけるバッファロー製品の感染事例(2) マルウェアを埋め込まれたWebサイトへのアクセス画面（Webサイトにアクセスするだけで BrowserUpdate.exeのダウンロードが実行される）

8 月以降，日本国内の送信元においてバッファロー社の複数のブロードバンドルータからのパケットが観測され

図7: マルウェアを埋め込まれた Web サイト

ました．送信パケットに Mirai の特徴を持つホストと持たないホストの両方があり，12 月 31 日には 53 ホストが確認されました．また，送信元では管理用の Web サーバ

3.3. Sysrv-hello Botnet の活動が動作しており，その管理画面から 2020 年に発売された

3 月に 7001/TCP を含んだポートセットでスキャンす

比較的新しいモデルや最新版のファームウェアで動作しるホスト数の増加が観測されました（図 6）．この攻撃ペている機器も確認されました．

イロードに含まれていた ldr.sh（シェルスクリプト）を解観測されたルータと同じ機種を用意して脆弱性を検証

析したところ，仮想通貨 Monero のマイニングソフトウしたところ，AP モードで動作しかつ Arcadyan 製ソフトェアである XMRig [5] をインストールさせるスクリプト

ウェアの脆弱性 [4] が対策されていない場合に，遠隔からであることが分かりました．これは Sysrv-hello Botnetの telnet の有効化と機器へのログインが可能なことを確によるもので，複数のセキュリティ調査機関から解析結認しました．telnet が一度有効にされると，機器を再起動

果が報告されています [6, 7, 8, 9]．

したり自動アップデートによって対策済みのファームウ

Sysrv-hello Botnet は 2020 年 12 月頃から存在していェアにアップデートされていても telnet は無効になりまたことが報告されており，攻撃者はサーバプログラムのせん．そのため，ファームウェアの更新に加えて機器の設多数の既知の脆弱性を狙った攻撃を行ってボットネット

定を変更しなければ攻撃者によって悪用され続ける可能を構築してきています*10 ．国内での感染も確認されてお性があります．実際，脆弱な実機をインターネットに接続

り，NICTER プロジェクトでは 3 月に JPCERT/CC にして観測したところ，機器に設定された管理画面のパス
ワードや Wi-Fi の設定情報を含む，様々な設定情報を取*10. Sysrv-hello Botnet が悪用していたサービス及び脆弱性の詳細は，
NICTER Blog [10] の表 3 を参照してください．

得する攻撃通信が観測されました．

5

パケット数

9,000

ユニークホスト数

ユニークホスト数/日ーバの管理者に注意喚起が行われました．

10,0004 月 20 日以降は，感染サーバの Web コンテンツにマルウェア（BrowserUpdate.exe）を埋め込み，サーバにア

8,000

1,200

パケット数（日本）

1,000

ユニークホスト数（日本）

7,000

800

6,000
600

5,000

クセスするユーザの端末へ感染を広げようとする攻撃もパケット数/日（万）国内の感染ホストの情報を提供し，JPCERT/CC からサ

4,000

追加されました [11, 12] ．これにより，マルウェアを埋め

400

3,000
2,000

込まれた Web サイトにアクセスするするだけで，図 7 の

200

1,000

ようにマルウェアのダウンロードが実行されるようにな

02021/1/1

ります．4 月 26 日に観測された Sysrv-hello Botnet に感

2021/3/1

2021/5/1

2021/7/1

2021/9/1

2021/11/10

図8: 9530/TCP 宛て送信元ホスト数とパケット数の推移

染していると思われる送信元ホストを調査したところ，約50 ホストで実際に Web サイトにマルウェアが埋め込まれていることが確認されました．

NICTER の観測網においてもこの GRE パケットを送信するホスト数とパケット数の急増を数回にわたり観測3.4. Xiongmai 製ビデオレコーダを狙った攻撃通信しました（図 9）．ピーク時の 9 月 11 日には，世界全体

5 月 25 日頃から日本を含む複数の国からの 9530/TCP

で約 22,000 ホスト，5,850 万パケットを観測しました．

をスキャンするホスト数およびパケット数の増加を観測

9 月 11 日の送信元を国別にみると，米国が最も多い

しました（図 8）．この攻撃ペイロードを確認したところ，27% を占め，中国が 17%，韓国が 15%，次に日本と台湾

2020 年に明らかになった Xiongmai 製のビデオレコーダ

がならび 11% を占めました．また，日本のホスト数が最機器のバックドアを有効にする攻撃でした [13, 14] ．送も多く観測されたのは 9 月 10 日で 1,622 ホストでした．

信元ホストを調査したところ，Web カメラやルータなど

ホスト数とパケット数の推移をみると，ホスト数とパが Mirai 亜種に感染し，9530/TCP 宛てのスキャンを行

ケット数が連動してスパイクし，その後数日で約半数にっていたことが分かりました．また，日本国内のホストに落ち込み，緩やかに減少するという傾向が見て取れます．

着目してみると，送信元の大部分がロジテック社のブロー

このような傾向はボットによく見られるため，マルウェ

ドバンドルータで，既知の脆弱性（CVE-2014-8361）を悪ア感染が原因であると推測されます．

用した 52869/TCP 宛ての攻撃（3.1.2 節参照）で Mirai

感染機器等の調査のため 12 月の約 20 日間，送信元の亜種に感染したと考えられます*11 ．

80/TCP と 443/TCP にアクセスしてバナー情報を収集

Xiongmai 製の機器への攻撃を観測するため，Xiongmai

したところ，収集できたバナー情報の約半数を監視カメ

製のビデオレコーダをハニーポットとして動作させ観測

ラ等で用いられる DVR 製品と思われる複数の製品が占したところ，先述の通り，機器のバックドアが有効にされめ，その他にはホームルータ，Wi-Fi ルータ，PBX，ネッ

た後に Telnet でログインされ，機器が Mirai 亜種に感染

トワークカメラ，NAS などの製品が見られました．バナする様子が確認されました．なお，この Mirai 亜種はス

ー情報の得られた送信元の管理画面を図 10 に示します．

キャン機能を持たないものの，攻撃者からの指令を受けGRE でカプセル化されたパケットについて調査したと取り DDoS 攻撃を実行することがわかっています．

ころ，すべて UDP パケットで，送信元および宛先の IP
アドレスにはランダムな値が設定されていました．攻撃

3.5. GRE パケットを送信するホスト数の増加

者が何を目的としてこのような GRE パケットを送信しGRE (Generic Routing Encapsulation) [17] は，ネッているのかはまだわかっていません．

トワーク層の任意のプロトコルのパケットを，別の任意のネットワーク層のプロトコルにカプセル化するために策定されたトンネリングプロトコルの 1 つで，主に VPN*11. ロ ジ テ ッ ク ル ー タ の UPnP Description フ ァ イ ル 収 集 に よる Mirai 感 染 活 動 調 査 の 詳 細 に つ い て は NICTER 観 測 レ ポ ー ト2020 [15] の 3.4 節および NICTER Blog [16] を参照してくださを確立する際に用いられています．

い．

6

(3&IPTU(3&QBDLFU 

  
ٗ‫عتٌؠ٭ؼ‬丗仼 





を把握しやすいように，AmpPot ごとに同一の攻撃対象







（IP アドレス）に対する連続したパケット群をまとめて 1

 


 


が観測されます．そこで AmpPot では，攻撃件数や規模

  



れるため，攻撃を観測する AmpPot でも大量のパケット┒‫عشآق‬丗仼 



件の攻撃として集計しています．本章で記述する攻撃件  

数とはこの集計に基づく件数で，特に断らない限り，上記 

の 9 台の AmpPot の観測結果を合計したものです．



4.1. DRDoS 攻撃の観測結果

図9: GRE パケット送信元ホスト数とパケット数の推移

4.1.1

攻撃件数の推移

2021 年 に AmpPot が 観 測 し た DRDoS 攻 撃 件 数 の日ごとの推移を図 11 に示します．2021 年の 1 年間に，

AmpPot は累計で約 6,795 万件（前年約 3,120 万件），1
日平均で 19 万件（前年約 8.5 万件）の攻撃を観測しました．そのうち，日本宛の攻撃は累計で約 50 万件（前年約24 万件），1 日平均で約 1,375 件（前年約 666 件）でした．
累計の攻撃件数は前年と比較して 2 倍程度に増加しま
したが，これは攻撃件数が全体的な傾向として増加した
ためではなく，図 11 のグラフが示すように，攻撃件数の図10: GRE パケット送信元ホストで動作している Web

一時的な急増に起因しています（攻撃件数の多い時期のの管理画面

一部では，値がグラフの値域内に収まっていません）．
この攻撃件数の一時的な急増事象は，単一の IP アドレスではなく AS や ISP 等のネットワークを狙った絨毯爆
撃型（Carpet Bombing）の DRDoS 攻撃が観測された結4. DRDoS 攻撃の観測状況

果です．我々の運用する AmpPot では，本章の冒頭で示

DRDoS（Distributed Reflection Denial-of-Service）攻

したとおり，AmpPot ごとに同一の攻撃対象（IP アドレ

撃とは，インターネット上の DNS や NTP 等のサーバをス）に対する連続したパケット群をまとめて 1 件の攻撃

通信の増幅器として悪用し，攻撃対象に大量のパケットとして集計しています．しかし，単一の IP アドレスではを送付する DDoS 攻撃の一種です．我々は横浜国立大学

なくネットワーク（多数の IP アドレス）を狙った絨毯爆

吉岡研究室と共同で，DRDoS 攻撃を観測するハニーポッ

撃型の DRDoS 攻撃が発生した場合，同時に攻撃されたトである AmpPot[18, 19] の研究開発を進めています．本IP アドレス分だけ攻撃件数として集計され，その結果，

章では，NICTER プロジェクトで運用中の AmpPot が見かけの攻撃件数が急増します．

2021 年に観測した DRDoS 攻撃の傾向について報告しネットワーク観測の立場から絨毯爆撃型の DRDoS 攻ます．

撃を厳密に定義・判定することは現状困難ですので，本本章で分析に使用するデータの観測期間および観測規

レポートではこれまでと同様の集計方法で攻撃を分析し模は次のとおりです．

ます．

• 観測期間：2021 年 1 月 1 日～12 月 31 日

*12. Proxied モードとは，実際のサーバプログラムをハニーポットとして用いる AmpPot のモードです．Agnostic モードとは，受信パケ• 観測規模：AmpPot 9 台（Proxied モード 7 台，Ag-

ットに対して（そのサービスのプロトコルを無視して）大きな応答を返す AmpPot のモードです．Proxied モードの AmpPot は現在 7 種類のサービスで観測を行っており，Agnostic モードの AmpPot は UDPの全ポートで観測を行っています．詳細は [18, 20] を参照して下さい．

nostic モード 2 台*12 ）DRDoS 攻撃では攻撃者から大量のパケットが送信さ
7

800,000

4,000

600,000

3,000

400,000

2,000

200,000

1,000

02021-01-01

2021-03-01

2021-05-01

2021-07-01

2021-09-01

0

2021-11-01

図11: 日ごとの DRDoS 攻撃件数の推移（左軸：全体，右軸：日本宛）

1
2.9% 16.1%

19.5%
2.9%
3.1%
5.1%

52.3%

10

17.1%

図12: 国・地域別の被攻撃件数


注意：以降の「国・地域別の被攻撃件数」
「攻撃の継

24.4%

1

10

 4.1.3 攻撃の継続時間
AmpPot が観測した DRDoS 攻撃の継続時間の分布を
図 13 に示します．前年までは 10 分未満の攻撃で全体の8 割を占めていましたが，2021 年は「10 分～1 時間未満」

タ型の攻撃」の統計情報は，2021 年に発生した絨毯の攻撃の割合が増加しています．この結果も前述の絨毯爆撃型の DRDoS 攻撃の傾向に強く影響を受けてい爆撃型の DRDoS 攻撃の影響が強く反映されており，そ

ます．



1

56.7%

図13: 攻撃継続時間

続時間」「攻撃に悪用されるサービス」「マルチベク

4.1.2

1

 れらを除いた攻撃については，例年同様に 10 分未満の攻撃が多くを占めています．また，2021 年に観測された最国・地域別の被攻撃件数

国・地域別の被攻撃件数の割合を図 12 に示します*13 ．

長の攻撃は，香港のクラウドサービスを狙った攻撃で，約前年と異なり，被攻撃件数が一番多かった国はブラジル

34 日間にわたって攻撃が行われていました．

で全体の 52.3%（前年 5.2%）を占めました．また，バン4.1.4

攻撃に悪用されるサービス

グラデシュ宛の攻撃が全体の 2.9% を占め被攻撃件数で

UDP で提供されるサービスのうち，要求に対して応答

第 5 位になりました．これらの国では，前節で述べた絨毯の通信量が大きくなるサービスは DRDoS 攻撃に悪用さ爆撃型の DRDoS 攻撃が大規模に観測されており，そのれる可能性があります．これらの条件に該当する主なサ影響がこの結果に強く反映されていますが，一部の国にービスとしては，DNS や NTP，SSDP などが挙げられ

被攻撃件数が偏っているという傾向はこれまでと変わり*13. 国情報の推定には MaxMind 社（https://www.maxmind.com/）の GeoIP データベースを使用しました．

はありません．

8

600,000

表2: DRDoS 攻撃に悪用されたサービス

450,000(a) Proxied モード（7 台）
ポート番号

サービス名

攻撃件数

123/UDPNTP

13,789,845

53/UDP

DNS

6,432,448

161/UDPSNMP

1,518,654

11211/UDP

Memcached

1,050,424

19/UDP

CharGen

2,49,754

1900/UDP

SSDP

171,248

17/UDP

QoTD

29,410300,000
150,000
02021-01-01

2021-05-01

2021-09-01

図14: ブラジル宛の DRDoS 攻撃件数の推移(b) Agnostic モード（2 台，上位 10 種類）

手法を組み合わせた攻撃は，2019 年 12 月は攻撃対象全体

ポート番号

サービス名

攻撃件数

389/UDP

CLDAP

38,714,290

123/UDPNTP

3,254,477

443/UDPDTLS

1,000,187

37810/UDP

Dahua Discovery

739,253

53/UDP

DNS

644,3993702/UDP

WSD

589,3204.1.1節でも述べたように，2021 年の DRDoS 攻撃件数の約 14% だったのに対し，2020 年 12 月は約 23%，2021
年 12 月は 17% でした．

4.2. その他の観測事象
4.2.1

絨毯爆撃型の DRDoS 攻撃事例

161/UDP

SNMP

345,178の増加の要因は絨毯爆撃型の DRDoS 攻撃の増加にあり

3283/UDP

ARMS

323,300

ます．絨毯爆撃型の DRDoS 攻撃の増加は，本レポートの1434/UDP

MSSQL

284,190

統計値にも大きな影響を与えており，例えば， 4.1.2 節の1194/UDP

OpenVPN

200,555

国別の被攻撃件数のグラフ（図 12 ）では，ブラジル宛が占める割合の急増したほか，これまでに上位に入っていますが，これらの他にも様々なサービスが攻撃に悪用さなかったバングラデシュが第 5 位になりました．本節でれ始めています．

はブラジル宛の絨毯爆撃型 DRDoS 攻撃を取り上げます．

AmpPot が観測した攻撃について，DRDoS 攻撃に悪ブラジル宛の日ごとの攻撃件数の推移を図 14 に示し用されたサービスの一覧を表 2 に示します．DRDoS 攻

ます．ブラジル宛の日ごとの攻撃件数は通常は千件程度

撃に悪用される主要なサービスは，昨年から大きな変化

なのに対し，複数の期間で 1 日数十万件の攻撃が観測さはありませんでしたが，2021 年は 2020 年に引き続き，多れていたことがわかります．例えば，2021 年 7 月 21 日

様なサービスを悪用した DRDoS 攻撃が観測されました．

から 8 月 23 日まで継続して観測された攻撃事例では，ブ

1 万件以上の攻撃が観測されたサービス数は，2019 年はラジルの 12 個以上の AS に属する数千の IP アドレスに

19 種類でしたが，2020 年は 35 種類に増加し，2021 年に対して 33 日にわたって CLDAP（389/UDP）を悪用しは 38 種類になりました．また，1 千件以上の攻撃が観測た DRDoS 攻撃が実行されていました．現状の集計方法

されたサービス数は 2021 年は 55 種類でした．

では，この期間だけで約 1,170 万件 (全体の約 17%) が攻

表 2b で CLDAP の攻撃件数が突出して多い理由は，こ撃として計上されています．
絨毯爆撃攻撃はこれまでにも確認されており [21, 22] ，れも CLDAP を悪用した絨毯爆撃型の DRDoS 攻撃が多発していたことに起因します．

新しい攻撃というわけではありませんが，2021 年は規模

マルチベクタ型の攻撃が大きくその発生頻度も例年より多い年でした．絨毯爆

4.1.5

複数種類の手法を組み合わせたマルチベクタ型の撃型の DRDoS 攻撃はその性質上，ネットワーク観測のDRDoS 攻撃は 2021 年も継続しています．2 種類以上の立場から厳密に定義・判別することは困難ですが，この種

9表3: ベルギーの ISP 宛の攻撃攻撃対象悪用されたサービス

攻撃時刻（JST）

5. おわりに

2021-05-04 18:50～19:21

IP-1

CLDAP

2021-05-04 19:48～19:49

2021 年は 2020 年に引き続き，海外からの組織的な大

IP-2

CLDAP

2021-05-04 19:23～19:47

規模調査スキャンが総観測パケットの半数以上を占める

CLDAP

2021-05-04 19:45～19:47

NTP

2021-05-04 19:45～19:47

NTP

2021-05-04 19:51～19:53

ト全体にばら撒かれており，NICTER のような大規模2021-05-04 19:54～20:12

観測を行うプロジェクトはもちろんのこと，ハニーポッ

2021-05-04 20:47～20:53

ト運用者や比較的大きなアドレス範囲を持つ組織のネッ

IP-3
IP-4
IP-5

NTP

傾向が継続しました．スキャンパケットはインターネッ

2021-05-04 21:25～21:54
IP-6

NTP

IP-7

NTP

トワーク監視などにも影響を与えています．実際，ある2021-05-04 20:47～20:53
2021-05-04 21:25～21:54

NICTER プロジェクトの協力組織において，組織が保有

2021-05-04 21:52～21:54

する広範囲のアドレスに集中的なポートスキャンが行わ
れ，インターネット接続が瞬断するという障害が発生しました．身元が明らかではない調査スキャン元に対してはスキャンのオプトアウトを依頼することも難しく，ユーザが望まないスキャンを止める術がないという悩ましい問題です．

類の攻撃が AmpPot の観測統計を本来の傾向から歪ませ

IoT ボットの活動については，2021 年にも複数のマルてしまうことは我々も認識しており，絨毯爆撃型を考慮

ウェアファミリーが継続的に更新され，感染活動に悪用した攻撃傾向の分析手法について現在検討を進めていまされる状況を観測しました．Mirai 亜種については，オリ

す [23] ．

ジナルの Mirai のソースコードを流用していると見られ

4.2.2

海外の ISP 宛への DDoS 攻撃

る一方で，SYN パケットに Mirai の特徴がない検体も確

2021 年 5 月にベルギーの ISP を狙った大規模な DDoS

認されており，Mirai 亜種というラベルが今後いつまで有攻撃が発生し，公的機関のサイトが広範囲で接続できな効であるのか，また，安易にラベル付けすることで変化をくなりました [24] ．我々の AmpPot でも本事象に関連す

見逃さぬよう注意する必要があります．

AmpPot の観測結果からは，絨毯爆撃型の DRDoS 攻ると推測される攻撃が観測されました．
表 3 に AmpPot で観測された本事象の攻撃事例を示撃が増加し，その結果，攻撃件数が大幅に増加したことします．表の攻撃時刻から，18:50（JST）に攻撃が始まが確認されました．DRDoS 攻撃においても他のサイバ

り，攻撃対象の IP アドレスが時刻とともに推移しているー攻撃同様に攻撃手法やその傾向が日々変化しており，ことがわかります．また，攻撃に悪用されたサービスもAmpPot の分析を通して，DRDoS 攻撃の実態把握や対最初は CLDAP（389/UDP）でしたが，途中から NTP

策技術の研究開発を進める必要があると考えています．
このような攻撃傾向は 2022 年以降どのように変化する（123/UDP）へ変更されていました．
この事例が示すように，単純に一つの IP アドレスを狙でしょうか．攻撃者による攻撃ツールの地道な更新作業

うのではなく，攻撃対象のネットワークを入念に調査しが続き，脆弱なインターネット上のホストも，この先根本た上で，複数の手法を使って実行される DRDoS 攻撃が的な対策が行われない限りは依然として安定的に，攻撃近年目立つようになってきました．我々は，AmpPot が者によって踏み台として悪用される可能性が高く，2021

観測した DRDoS 攻撃を分析するとともに，リアルタイ

年の観測傾向はしばらく続くと予想されます．NICTER

ムに攻撃情報共有するアラートシステムを研究開発してプロジェクトにおいても，観測・分析ツールの地道な整備

おり，この活動を通して DRDoS 攻撃の実態把握や被害と調整を行い，状況の微小な変化を見逃さずに捉え，サイ軽減に貢献していきたいと考えています．

バー攻撃の実態把握に努めていきたいと考えています．

10

[20] 西添友美，牧田大佑，吉岡克成，松本勉. プロトコル非準拠ハニー
ポットを用いた新種の DRDoS 攻撃の早期検知. In 情報通信シス
テムセキュリティ研究会（ICSS）. 電子情報通信学会, 2017.

参考文献[1] サイバーセキュリティ研究室. NICTER 観測レポート 2018.
Technical report, 国立研究開発法人情報通信研究機構, 2019.

[21] 牧田大佑，
吉岡克成，
松本勉. DNS ハニーポットによる DNS アンプ
攻撃の観測. 情報処理学会論文誌, Vol.55(No.9):pp.2021–2033,
2014.

[2] 遠藤由紀子，森好樹，島村隼平，久保正樹. ダークネット観測における大規模スキャナの判定指標の提案. In 情報通信システムセキ
ュリティ研究会（ICSS）. 電子情報通信学会, 2020.

[22] サ イ バ ー セ キ ュ リ テ ィ 研 究 所 サ イ バ ー セ キ ュ リ テ ィ 研 究 室.
NICTER 観測レポート 2019. Technical report, 国立研究開
発法人情報通信研究機構, 2020.

[3] 日本国内の Mirai の特徴を持つパケットの送信元 IP アドレス
数急増について. https://blog.nicter.jp/2020/10/jp_mirai_
spike/.

[23] 毛清昕，牧田大佑，吉岡克成，松本勉. ハニーポットで観測される
絨毯爆撃型 DRDoS 攻撃の分析. In 2022 年暗号と情報セキュリ
ティシンポジウム（SCIS2022）. 電子情報通信学会, 2022.

[4] Multiple Vulnerabilities in Buffalo and Arcadyan manufactured routers.
https://www.tenable.com/security/
research/tra-2021-13.

[24] ZDNet Japan. ベルギーの ISP に大規模な DDoS 攻撃–公的機関のサイトが広範囲でダウン. https://japan.zdnet.com/article/
35170318/.

[5] https://github.com/xmrig/xmrig.
[6] Alibaba Cloud. 新 型 挖 矿 病 毒 Sysrv-hello 处 理 最 佳 实 践.
https://help.aliyun.com/document_detail/196163.html.
[7] QI-ANXIN. Sysrv-hello 挖矿样本分析. https://www.freebuf.
com/articles/system/266996.html.
[8] Paul Kimayong. Sysrv Botnet Expands and Gains Persistence. https://blogs.juniper.net/en-us/threat-research/sysrv-botnet-expands-and-gains-persistence.
[9] Lacework Labs.
Sysrv-Hello Expands Infrastructure.
https://www.lacework.com/blog/sysrv-hello-expandsinfrastructure/.
[10] Yukiko Endo. NICTER 観測統計 - 2021 年 1 月～3 月. https://blog.nicter.jp/2021/05/nicter_statistics_2021_1q/.
[11] NICTER 解析チーム. Sysrv-hello Botnet の攻撃の変化. https://twitter.com/nicter_jp/status/1385135064288092164.
[12] JINYE LIU YA, YANG XU.
Threat Alert: New
update from Sysrv-hello,
now infecting victims‘webpages to push malicious exe to end users.
https://blog.netlab.360.com/threat-alert-new-updatefrom-sysrv-hello-now-infecting-victims-webpages-to-pushmalicious-exe-to-end-users/.
[13] Vladislav Yarmak. Full disclosure: 0day vulnerability (backdoor) in firmware for Xiaongmai-based DVRs, NVRs and IP
cameras. https://habr.com/en/post/486856/.
[14] NICTER 解析チーム. ビデオレコーダを狙った 9530/tcp 宛通信の増加について. https://blog.nicter.jp/2020/04/nvr-9530/.
[15] サ イ バ ー セ キ ュ リ テ ィ 研 究 所 サ イ バ ー セ キ ュ リ テ ィ 研 究 室.
NICTER 観測レポート 2020. Technical report, 国立研究開
発法人情報通信研究機構, 2021.
[16] Yoshiki Mori, Masaki Kubo. 日本国内の Mirai に感染する機器の観測状況. https://blog.nicter.jp/2021/05/jp_mirai_and_
infected_logitec_routers/.
[17] Tony Li, Dino Farinacci, Stanley P. Hanks, David Meyer,
and Paul S. Traina. Generic Routing Encapsulation (GRE).
RFC 2784, March 2000.
[18] Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi
Nishizoe, Takashi Koide, Katsunari Yoshioka, and Christian
Rossow. Amppot: Monitoring and defending against amplification ddos attacks. In International Workshop on Recent
Advances in Intrusion Detection, pages 615–636. Springer,
2015.
[19] 横浜国立大学情報・物理セキュリティ研究拠点. AmpPot: Honeypot for Monitoring Amplification DDoS Attack. https://sec.ynu.codes/dos/.

11