NICTER 観測レポート 2020
国立研究開発法人情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティ研究室

2. ダークネット観測統計
2.1. 年間観測パケット数
NICTER プロジェクトのダークネット観測で確認された過去 10 年間の「年間総観測パケット数」「観測 IP ア

1. はじめに

ドレス数（ダークネット観測の規模）」「1 IP アドレスあ本レポートは，サイバーセキュリティ研究室が実施したりの年間総観測パケット数」を表 1 に示します*5 ．年ている NICTER プロジェクト*1 において，ダークネット

間総観測パケット数は観測 IP アドレス数に影響されるた

観測*2 と各種ハニーポット*3 が捉えた 2020 年のサイバ

め，表の右端にある「1 IP アドレスあたりの年間総観測

ー攻撃の状況についてまとめたものです．

パケット数」をインターネットにおけるサイバー攻撃関例年同様，様々な事象が NICTER の各種センサで観測

連活動の活発さを表す指標として考えます．

されましたが，本レポートで説明する 2020 年の主な観測

この数値に着目すると，2020 年は 1 IP アドレスあたり

結果をまとめると次のようになります．

で約 182 万パケットが観測されたことがわかります．こ• ダークネット観測統計（2 章）：海外組織による調査

れは，2019 年の約 119 万パケットの約 1.5 倍であり，ダ目的とみられる探索（スキャン）活動がさらに増加

ークネットで観測されるパケット数は増加傾向にあるこした結果，ダークネット観測における 1 IP アドレスとがわかります．

あたりの年間総観測パケット数が 182 万パケットに

パケット数増加の原因の一つは，2018 年から活発化し達しました．これは，2019 年の観測結果の約 1.5 倍ている，海外組織による調査目的とみられる大規模なス

にあたります．また，調査目的とみられるスキャンパ

キャンです．この調査目的のスキャンは，攻撃の傾向を分

ケットを除去した観測結果からは，攻撃者による攻*1. プロジェクト公式サイト（https://www.nicter.jp/）

撃の対象が多様化する様子が確認されました．

*2. インターネット上で到達可能かつ未使用の IP アドレス宛に届くパケットを収集する手法．未使用の IP アドレスであるため本来はパケッ
トが観測されないはずですが，実際にはサイバー攻撃に関連する探索活動（スキャン）や送信元 IP アドレスを詐称した DDoS 攻撃の跳ね返り（バックスキャッタ）等が多く観測されます．このパケットを分析することにより，インターネット上で発生しているサイバー攻撃の兆候や傾向等を把握することができます．

• IoT ボットの活動と感染機器の実態（3 章）： Mirai
亜種をはじめとする IoT ボットの活動が依然として観測され，特に，Mozi と呼ばれるボットの活動が顕著でした．また，Mirai 亜種に感染した機器の実態を*3. サイバー攻撃を観測・分析するための囮（おとり）システム．欠陥（脆弱性）を意図的に残したシステムあるいはその脆弱性を模擬するプログラムを使用することにより，攻撃者の活動を把握することができます．

調査した結果，既知の脆弱性を持つ機器が依然として使用され続けている状況がわかりました．

*4. 分散型サービス妨害攻撃（Distributed Denial-of-Service Attack）．サーバやネットワーク等のリソースに意図的に過剰な負荷をか• DRDoS 攻撃の観測状況（4 章）： DDoS 攻撃*4 の一種である DRDoS 攻撃の観測結果から，DRDoS 攻

けることにより正常なサービスを妨害するサイバー攻撃．

撃の長時間化や攻撃に悪用されるサービスの多様化*5. 2019 年の年間総観測パケット数は，NICTER 観測レポート 2019の発行後に判明した重複カウントを排除して再集計した値を用いています．合わせて NICTER 観測レポート 2019 も修正版を発行しています．

といった事象が確認されました．

1

表1: 年間総観測パケット数の統計（過去 10 年間）
1 IP アドレスあたりの年

年間総観測パケット数

観測 IP アドレス数

年間総観測パケット数

2011

約 45.4 億

約 12 万40,6542012

約 77.8 億

約 19 万53,0852013

約 128.8 億

約 21 万63,6552014

約 256.6 億

約 24 万115,3232015

約 545.1 億

約 28 万213,5232016

約 1,281 億

約 30 万469,1042017

約 1,504 億

約 30 万559,1252018

約 2,121 億

約 30 万789,8762019

約 3,220 億

約 30 万1,187,935

2020

約 5,001 億

約 30 万1,820,722

析する際のノイズとなるため，昨年と同様に，一定の判定

IoT 機器等，橙色は Windows，緑色は仮想通貨サービス

ルール*6 を設けて調査目的のスキャンの判定と除去を行

で主に利用されているポート番号をそれぞれ示していまいました．その結果，2020 年は 3,676 個の IP アドレス

す．これらのポート番号に対応するサービスが，NICTER

からの約 2,685 億パケットが調査目的のスキャンとしてのダークネット観測が捉えた 2020 年の主な攻撃対象であ

判定されました．これは 2020 年に観測された全パケット

るといえます．

の約 54% にあたります．

調査目的のスキャンでは広範囲のポート番号に対してスキャンが実施されるため，図 2 の左側のグラフでは上

2.2. 日ごとの観測パケット数の推移

位のポート番号の割合が小さくなり攻撃傾向を把握しづ

ダークネットにおける日ごとの観測パケット数の推移

らくなっていますが，それらのノイズを除いた右側の図でを，「調査目的のスキャンパケット」と「それ以外（総観は攻撃の傾向がわかりやすくなっています．しかしなが測パケットから調査目的のスキャンパケットを除いたパら，上位 10 種類に含まれない「その他のポート（Other

ケット）」に分けて表した積み上げグラフを図 1 に示しまPorts）」の割合は年々高くなってきており，その割合はす．パケット数が急増する箇所に着目すると，この急増の2020 年は 62.9%（前年 48.6%）へと増加しました．これ

多くが調査目的のスキャンパケットによるものだというは，攻撃が多様化し，多くのポート番号を攻撃の対象とすことがわかります．また，それ以外の急増は，大規模なバるボットネット等が継続的に活動したためです（3.2 節）．

ックスキャッタが原因でした．3 月から 4 月にかけての調査目的のパケットを除いた観測結果を示す図 2 の右

この事象は 3.5 節で説明します．これらの増加を除くと，側に着目すると，観測パケット数の最も多い宛先ポート番

2020 年の調査目的のスキャンを除いた観測パケット数は

号は，2019 年までに引き続き Telnet サービスで使用され緩やかな増加傾向で推移しました．

る 23/TCP であることがわかります．23/TCP の全体に対する割合は 16.3% であり，2019 年の 24.4% から減少

2.3. 宛先ポート番号別のパケット数しました．また，Windows 等でファイル共有に使用される Server Message Block（SMB）の 445/TCP が 2 番目

1 年間にダークネット観測で確認された TCP と UDPのパケットについて，パケット数を宛先ポート番号別に*6. ある 1 日における 1 つの IP アドレスからのパケット（TCP のSYN と UDP パケット）について，

集計し，そのパケット数の多い上位 10 種類のポート番号• 宛先ポート番号が 30 種類以上とその他の割合をまとめたグラフを図 2 に示します．図• 総パケット数が 30 万以上の左側が調査目的のパケットを含んだグラフ，図の右側の条件を共に満たす場合，この IP アドレスからの全パケットを調査目的のスキャンと判定します．詳細は [1, 2] を参照して下さい．

が調査目的のパケットを除いたグラフです．また，青色は2

図1: ダークネットにおける日ごとの観測パケット数の推移（青：調査目的のスキャン，赤：それ以外，積み上げグラフ）

図2: 宛先ポート番号別の年間観測パケット数の割合に多く観測されました．3 番目以降も 2019 年と同様の傾の 5 つの事例を説明します．

向であり，IoT 機器の Web インターフェイスが動作する• Mirai 感染ホスト数の推移（3.1節）

80/TCP，8080/TCP，81/TCP，サーバ等の遠隔操作で• 宛先ポートセットの分析により確認された感染拡大使用される SSH（Secure Shell）の 22/TCP，Microsoft

活動（3.2節）

SQL Server で使用される 1433/TCP が上位に観測され• ADB が有効な機器の感染事例（3.3節）

ました．

• 国内のブロードバンドルータ製品を狙った Mirai 亜
種の感染活動（3.4節）

3. 観測事象の分析• 大規模なバックスキャッタ（3.5節）

本章では，2020 年にダークネットおよび各種ハニーポ
ットの観測において確認された事象の分析事例として，次3

600,000

5,000

ユニークホスト数/日

ユニークホスト数/日

400,000

Miraiの感染ホスト数（日本）

Mirai亜種による送信元エジプトの増加

500,000

XiongmaiおよびLILIN社の防犯カメラ用レコーダーによる増加

300,000

200,000

100,000

0
2020/1/1

IPアドレスの変動事象によるホスト数の急増

6,000

Miraiの特徴を持つmoziボットの亜種による増加

Miraiの感染ホスト数（全体）

4,000

3,000
XiongmaiおよびLILIN社の防犯カメラ用レコーダーによる増加

2,000

1,000

2020/3/1

2020/5/1

2020/7/1

2020/9/1

0
2020/1/1

2020/11/1

図3: Mirai の感染ホスト数の推移（全体）2020/3/1

2020/5/1

2020/7/1

2020/9/1

2020/11/1

図4: Mirai の感染ホスト数の推移（日本）の管理画面が確認されたことから，この機種のルータに

3.1. Mirai 感染ホスト数の推移

Mozi ボットが感染したと考えられます．中国における感IoT ボットとして有名な Mirai とその亜種は，スキャ

染機器は特定できていません．

ン時に生成する TCP の SYN パケットに固有の特徴*7 を

3.1.2 Mirai 感染ホスト数の推移（日本国内）

持っています．そのため，ダークネット観測においてこの日本国内における Mirai 感染ホスト数の日ごとの推移特徴を持つパケットの送信元 IP アドレスを集計することを図 4 に示します．年間を通してみると感染ホスト数はにより，Mirai とその亜種に感染したホストの台数を推計

減少傾向にありました．

することができます．

2～5 月におけるホスト数の増加は，世界全体の事象と本節では，この特徴に基づいて，世界全体と日本国内に同じく，Xiongmai 社と LILIN 社の防犯カメラ用レコー

おける Mirai とその亜種の感染ホスト（以降，「Mirai 感

ダへの感染拡大が原因でした．このことから，これらの機

染ホスト」と呼ぶ）を推計し，その推移を分析します．

器の利用者が日本にも存在することがわかります．

3.1.1 Mirai 感染ホスト数の推移（全体）

8 月末には感染ホスト数の急増が観測されましたが，こ世界全体における Mirai 感染ホスト数の日ごとの推移の急増は，ある 10 台程度の感染ホスト群が 1 台あたり数を図 3 に示します．感染ホスト数は全世界で概ね 10 万か百回にわたり IP アドレスを ISP から再取得したことにら 20 万程度で推移しましたが，2 月～5 月頃，8 月中旬

より，これらのホスト群が見かけ上数千ホストとして集頃，9 月中旬に一時増加し，最大 50 万ホストが観測され計されたことが原因でした [8]．

ました．

このほかにも，国内のブロードバンドルータ製品への

2 月の増加は Xiongmai 社の防犯カメラ用レコーダのMirai 亜種の感染拡大が不定期に観測されました．この事

脆弱性 [3, 4] ，3 月と 5 月の増加は LILIN 社の防犯カメ

象は 3.4 節で説明します．

ラ用レコーダの脆弱性 [5] を悪用した感染活動がそれぞれ3.2. 宛先ポートセットの分析により確認された感染拡大原因でした．

活動

8 月中旬の増加は，主にエジプトで広がった Mirai 亜種の感染活動が原因でした．入手した検体を解析した結果，

3.1 節では Mirai が送信するパケットに固有な特徴を防犯カメラ用レコーダやルータ製品の脆弱性を悪用した利用して Mirai 感染ホストの分析を行いました．しかし，攻撃通信を行うことはわかりましたが，実際にエジプト

Mirai 以外のボットや Mirai の中でもその特徴を持たなで感染した機器の特定には至っていません．

い亜種の分析にはこの特徴を利用できません．そこで，本

9 月中旬からの増加は，主にインドと中国で Mozi ボッ

節では IoT ボットをはじめとするマルウェアが感染拡大

ト [6, 7] への感染が広がったことが原因でした（3.2 節で*7. TCP ヘッダのシーケンス番号と宛先 IP アドレスが同じ値になります．ただし，3.2節に示すように，この特徴を持たない Mirai 亜種も観測され始めています．

説明します）．攻撃の送信元で動作している機器を確認した結果，インドの 2 千以上のホストで ZTE 社のルータ

47,000

表2: スキャンポートごとのグループ
スキャン対象のポートセット

ホスト数増加の観測時期

A

23, 80, 81, 1023, 2323

2019 年 9 月～

5,000

ユニークホスト数/日

グループ

5555, 7574, 8080, 8443, 37215,
49152, 52869/TCP
B

3,000

2,000

0
2020/1/1

7002, 8080, 8088, 9200/TCP
C

4,000

1,000

2019 年 3 月～

80, 1433, 6379, 6380, 7001

グループBのポートセットのホスト
グループCのポートセットのホスト

6,000

2020/3/1

2020/5/1

2020/7/1

2020/9/1

2020/11/1

2020 年 9 月～

22, 23, 26, 222, 443
444, 666, 830, 2002, 2022,

図6: グループ B とグループ C のホスト数の推移

2222, 2223, 2323, 2382, 3389
4118, 5554, 5555, 6000, 7777
8022, 8888, 9000, 9090, 9999
22222, 50000/TCP

40,00035,000

ト数は 2020 年前半は一日あたり 2 千前後で推移してお

1:グループAのポートセット＆Miraiの特徴を持たなかったホスト
2:グループAのポートセットのホスト（1のホストを含む）

り，この時期のグループ A のスキャンには 3.1 節の Mirai

ユニークホスト数/日

30,000の特徴は見られませんでした．しかし，9 月中旬にインド

25,000と中国でこのポートセットをスキャンするホスト数が急

20,00015,000増した後に，Telnet で使用されていると推測されるポー

10,000ト群（23/TCP，1023/TCP，2323/TCP）のグループ A

5,000
02020/1/1

2020/3/1

2020/5/1

2020/7/1

2020/9/1のスキャンには，Mirai の特徴が存在することを確認し2020/11/1

ました．この時期に Mozi が Telnet のブルートフォース
で使用する ID・パスワードを追加したという報告 [7] と図5: グループ A のホスト数の推移

合わせると，この時期の更新により Mozi ボットが Miraiのソースコードを流用するようになったと考えられます．
を目的としたスキャンにおいて使用するポート番号の組

3.2.2

グループ B

み合わせ（ポートセット）に着目して分析を行います．

グループ B は，9 種類のポートをスキャンするホスト群

マルウェアのスキャン時におけるポートセットの種類

で，2019 年 3 月末ごろから観測されています．このグルーは多岐にわたりますので，本節では

プは，PHP の Web フレームワーク，Hadoop，WebLogic，

MSSQL，Redis，Elasticsearch 等，主に Linux サーバで• 5 種類以上の宛先ポート番号を含む

動作するミドルウェアの脆弱性を標的とします. このグ• スキャンが 1 ヶ月以上継続

ループのマルウェアに感染すると，ファイアウォールの無効化やサーバのログ削除，仮想通貨の採掘等が行われの二つの条件を満たすポートセットをスキャンするホます．

スト群（グループ）の傾向を分析します．2020 年にこのグループ B のホスト数の推移を図 6 の青線で示します．

条件を満たしたグループは，少なくとも表 2 に示すグループ A～C の 3 種類が存在しました．

3.2.1

年間を通して穏やかな減少傾向にはありますが，一日あグループ Aたり 1 千台程度が観測されました．送信元の IP アドレス

グループ A は，12 種類のポートをスキャンするホストに着目すると，感染ホストには地理的な偏りが見られ，12

群で，2019 年 9 月中旬ごろから活動が継続して観測され月 1 日に確認された 552 ホストのうち，75% 以上が中国ています．このグループは，ハニーポットで収集した検体のホストで，AS 別にみると 52% を占める 290 ホストが等の情報から Mozi ボットであると推測しています．

中国の大手 IT 企業が提供するホスティングサービス上でグループ A のホスト数の推移を図 5 に示します．ホス

動作していました．

5

3.3. ADB が有効な機器の感染事例
Android Debug Bridge（ADB）が使用する 5555/TCPを狙った攻撃は，
2018 年 2 月から観測されはじめ [9]，2020
年も攻撃数は高い水準で推移しました（図 7）．9 月 11 日
から主にインドで，9 月 19 日からは主に中国でホスト数が増加し（この増加は 3.2 節のグループ A によるものです．
），ピーク時には世界全体で 13 万ホストに達しました．

ADB で感染拡大を試みるボットが動作する機器では
図7: 5555/TCP 宛の攻撃件数，攻撃ホスト数の推移（全

ADB が動作していることが予想されます．そこで，我々体）

は Mirai の特徴を持つパケットで ADB をスキャンする
全世界のホストに対して，ADB で接続してその応答を収集し，どのような機器が Mirai 亜種に感染しているのかの実態を調査しました．

• 期間： 2020 年 10 月 5 日から 11 月 4 日（31 日間）
3.2.3• 調 査 対 象： Mirai の 特 徴 を も つ パ ケ ッ ト でグループ C5555/TCP をスキャンするホスト

グループ C は，27 種類のポートをスキャンするホスト• 調査方法： Mirai の特徴を持つ 5555/TCP のスキャ群で，2020 年 9 月から活動が観測されはじめました．こンパケットの送信元に対し，5555/TCP で接続してのグループは，SSH や Telnet が動作していると推測され

adb connect のペイロードを送信し，応答を収集．

るポート群のほかに，サービス不明のゾロ目のポート（例えば 666/TCP や 7777/TCP）をスキャンしています．

取 得 し た 応 答 に は Android の build property と よグループ C のホスト数の推移を図 6 の赤線で示します．

ば れ る 機 器 に 関 す る 情 報 が 含 ま れ ま す．build prop-

2020 年 9 月に初めて確認されてから，その後は減少傾向

erty の ro.product.name には機器のチップセット名が，にあるものの，12 月 2 日に急増し最大 6,433 ホストが確

ro.product.model には機種名が含まれるケースが大半で認されました．感染ホストに地理的な偏りは見られませすが，これらのパラメータにどのような文字列を設定すんでしたが，12 月 2 日の急増時には，送信元の 91% 以上

るかは開発者次第であるため，表記には様々な組み合わがクラウドサービスの EU リージョンの IP アドレスでしせが見られました．

た．このことから，感染ホストの多くは IoT 機器ではな応答を取得できたホストは重複を排除すると 9,161 件，

く，クラウドサービスやレンタルサーバ等の Linux サー

1 日あたり 200～400 件程度でした．ホストの国別の分バであると考えられます．

布（図 8）を見ると韓国が最も多く全体の 17% となる約

また，このグループのホストは，TCP のポート以外に1500 ホストを占め，中国，香港がそれに続きました．日

も，UDP の様々なポートに対してプロトコルに則ってい本は 34 番目に多い 27 ホストでした．ホストのインターないバイト列を送付していることが確認されています．こ

ネット接続回線を種別を見ると，94% がケーブル/DSL，のグループから観測された UDP のポート番号の例とし携帯電話網はわずか 4% でした．

ては，1900，4000，5060，5353，6881，8000，8080，8081，取得した応答に含まれる ro.product.name は 363 種

8082，8083，11211，30301 が挙げられます．攻撃者が何

類/9,067 件でした．件数の多い順に上位 10 件を表 3 に示の目的でこのようなパケットを送付しているのかはわかします．取得した ro.product.name にはチップセットごっていませんが，今後もこのグループの動向を注視するとに特徴的な文字列がみられました．最も多かった製品群必要があると考えています．

は，
HiSilicon 社の SoC を搭載した機器（ro.product.name6

3.4. 国内ブロードバンドルータ製品を狙った Mirai 亜種

KR
Other

の感染活動

17%

22%

2017 年 11 月に日本国内で Mirai 亜種の大規模感染が
MO

2%
CA
3%

発生しました [10, 11]．この感染拡大は，ロジテック社の

CN

2%
UA

14%

ブロードバンドルータ製品の内部で動作している UPnP
サービスに存在した脆弱性（CVE-2014-8361 [12]）が原

BR
5%
5%

因でした [13]．この UPnP サービスは 52869/TCP で動

HK

US

13%

TW
6%

作しており，このポートを狙った攻撃は 2017 年以降継続SE
11%

して観測されています [1, 14, 15]．
そこで，国内で動作している該当製品の実態を把握する

図8: 国別のホスト数（adb）

ため，国内の Mirai 感染ホストに対して 52881/TCP*8 に接続を行い，感染機器の情報を収集しました．
表3: ro.product.name（上位 10 件）
ro.product.name• 期間： 2020 年 8 月 27 日から 12 月 31 日（127 日間）

件数• 調査対象： Mirai の特徴をもつパケットの送信元 IP

Hi3798MV100

1,329

dolphin_fvd_p825

rk322x_box

695

p281

617

HTTP プロトコルでアクセスし，UPnP Descrip-

Hi3718CV100

573

tion ファイルを収集

etrel_p1

408

mtk_mt5882

271

A95X_R1_SSV6051P

163

rk3288155

UDN（Unique Device Name）などが記載されています．

rk3328132

この UDN に記載されている UUID（Universally Unique

アドレス（日本のみ）• 調 査 方 法： Mirai 感 染 ホ ス ト の 52881/TCP に取得した UPnP Description ファイルには UPnP 対応デバイスの機器情報として製品型番，シリアル番号，

Identifier）の下 12 桁には MAC アドレス，乱数，またはハッシュ値ベースの値が使用されているため [16]，機器が Hi の文字からはじまる）で全体の 1/4 を占めました．

のグローバル IP アドレスが変わったとしてもこの値からそのほかにも，ロックチップ社の SoC を搭載する機器や同じ機器と特定することができると考えられます．

Allwinner 社の SoC を搭載した Android TV Box 製品が

この UUID を用いて感染ホストを集計した結果，4 ヶ多数見られました．搭載されている SoC の特徴や build

月間で 1,173 件，1 日あたり 10～450 件程度の感染ホス

property 等の情報から，感染した機器の多くは，Android

トを確認しました（図 9）．また，IP アドレスを元に集計

OS を搭載し HDMI 出力を有するメディアプレーヤー

した感染ホスト数は 2,753 件だったため，UUID を用い端末であり，そのほかにもスマートフォンやタブレット，て集計することにより機器の IP アドレスの変更の影響をドライブレコーダー等の機器が存在することがわかりま

受けず，実態に近い値が得られたといえます．

した．

該当のブロードバンドルータ製品は 10 年以上前に発売

ADB が出荷時の状態で有効なのか，それともユーザがされた機器で，すでにサポートを終了しており使用は推設定を変更して有効な状態になっているのかについては，奨されませんが，2020 年においてもこの機器を使用し続観測データからはわかりませんが，ADB を可能な限り無けているユーザが一定数いることがわかります．この機

効化しておくとともに，ADB を有効にする場合でもイン*8. ロジテック社のブロードバンドルータ製品の一部では，UPnP サービスの Description ファイルが 52881/TCP の特定のパスに外部からアクセス可能な状態で公開されていることがあります．

ターネットから接続できないようにする必要があるといえます．

7

図11: ATLAS による大規模バックスキャッタの可視化

NICTER のダークネット観測網で観測された SYNACK パケット数およびその送信元 IP アドレス数の日ご

図9: UPnP Description ファイルの UUID の件数との推移を図 10 に示します．3 月の初旬に日本を含む全世界からの SYN-ACK パケット数は増加し，3 月 11 日と14 日には 1 日に観測された SYN-ACK パケット数は 15
億，送信元 IP アドレス数は 7 千万に達しました．この時期のダークネット観測の状況を，NICTER のダークネッ
ト可視化システム ATLAS で可視化した画像を図 11 に示します．黄色の点が SYN-ACK パケットを表しており，
世界中から SYN-ACK パケットが大量に届いている様子が確認できます．
この大規模バックスキャッタの調査を進めた結果，次図10: SYN-ACK パケット数とその送信元 IP アドレスの事実がわかりました．

数の推移

1. SYN-ACK パケットの宛先 IP アドレスには，ネットワーク的な偏りがあること．
器だけにかかわらず，今一度ご自身の利用する機器はす

2. NICTER で運用している全ポート応答型のハニーポ

でにサポートが終了していないか，最新のファームウェ

ット [17] に，送信元 IP アドレスを NICTER のダー

アを使用しているかの確認をお願いします．

クネットの IP アドレスに詐称した SYN パケットが多数届いていたこと．

3.5. 大規模なバックスキャッタ
ダークネットでは，TCP の SYN パケットに対するこれらの観測結果から，この事象は SYN Flood 攻撃

SYN-ACK パケットが大量に観測されることがありま

ではなく SYN-ACK パケットの再送による通信の輻輳す．この事象の多くは，攻撃者が送信元を不特定多数のを狙った DRDoS 攻撃であり，特定のホストを狙った

IP アドレスに詐称して SYN パケットを送信する SYNDDoS 攻撃ではなくネットワークや AS を狙った絨毯爆

Flood 攻撃と呼ばれる DDoS 攻撃に起因し，このような撃（Carpet Bombing）型の DDoS 攻撃であった可能性

SYN-ACK パケットはバックスキャッタと呼ばれます．

が高いと考えられます．

しかし，2020 年 3 月にダークネットで観測された大規模

4. DRDoS 攻撃の観測状況

なバックスキャッタは，SYN Flood 攻撃の特徴とは異な

DRDoS（Distributed Reflection Denial-of-Service）攻る事象が観測されました．本節ではこの事象について説

撃とは，インターネット上の DNS や NTP 等のサーバを

明します．

8

通信の増幅器として悪用し，攻撃対象に大量のパケット

表4: DRDoS 攻撃に悪用されるサービス（攻撃件数の多を送付する DDoS 攻撃の一種です．我々は横浜国立大学

い上位 10 種類）

吉岡研究室と共同で，DRDoS 攻撃を観測するハニーポッ

ポート番号トである AmpPot[18, 19] の研究開発を進めています．本
章では，NICTER プロジェクトで運用中の AmpPot が2020 年に観測した DRDoS 攻撃の傾向について報告します．
本章で分析に使用するデータの観測期間および観測規
模は次のとおりです．

• 観測期間：2020 年 1 月 1 日～12 月 31 日
• 観測規模：AmpPot 9 台（Proxied モード 7 台，Agnostic モード 2 台*9 ）

サービス名

攻撃件数

123/UDPNTP

15,607,719

389/UDP

CLDAP∗

3,751,164

11211/UDP

Memcached

3,475,883

19/UDP

CharGen

1,737,124

53/UDP

DNS

1,359,967

1900/UDP

SSDP

884,793

161/UDP

SNMP

705,861

3702/UDP

WSD∗

666,9711194/UDP

OpenVPN∗

3283/UDP

ARMS∗

477,384
379,123

DRDoS 攻撃では攻撃者から大量のパケットが送信されるため，攻撃を観測する AmpPot でも大量のパケット

アドレス宛の攻撃で，2 番目に多い中国を合わせると全攻が観測されます．そこで AmpPot では，攻撃件数や規模

撃の半数以上，さらに上位 5 カ国で全攻撃件数の約 2/3を把握しやすいように，AmpPot ごとに同一の攻撃対象を占めているという傾向は 2019 年と変わりません．

（IP アドレス）に対する連続したパケット群をまとめて 1

4.1.3

攻撃の継続時間

件の攻撃として集計しています．本章で記述する攻撃件

AmpPot が観測した DRDoS 攻撃の継続時間の分布を数とはこの集計に基づく件数で，特に断らない限り，上記

図 14 に示します．これまでの傾向と同じく全体的に短時の 9 台の AmpPot の観測結果を合計したものです．

間の攻撃が多く，約 27% が 1 分未満（前年約 38%），約82% が 10 分未満（前年約 87%）の攻撃でした．一方で，4.1. DRDoS 攻撃の観測結果
4.1.1

1 時間以上の比較的長時間にわたって観測された攻撃は，全体の約 4.3%（前年 2.6%）でした．このことから，2020

攻撃件数の推移

年は攻撃の継続時間の分布が 2019 年と比較して僅かでは2020 年 に AmpPot が 観 測 し た DRDoS 攻 撃 件 数 のありますが長くなっていることがわかります．

日ごとの推移を図 12 に示します．2020 年の 1 年間に，

4.1.4

AmpPot は累計で約 3,120 万件（前年約 1,917 万件），1

AmpPot が観測した攻撃のうち，攻撃に悪用された件

日平均で 8.5 万件（前年約 5.3 万件）の攻撃を観測しまし

数の多い上位 10 種類のサービスを表 4 に示します*12 ．

た．そのうち，日本宛の攻撃は，累計で約 24 万件（前年

DRDoS 攻撃に悪用される主要なサービスは，昨年から大約 8 万件），1 日平均で約 666 件（前年約 232 件）でした．

きな変化はありませんでした．

このことから，DRDoS 攻撃の発生件数は増加傾向にあることがわかります．ただし，日本宛の攻撃件数の増加*9. Proxied モードとは，実際のサーバプログラムをハニーポットとして用いる AmpPot のモードです．Agnostic モードとは，受信パケッ
トに対して（そのサービスのプロトコルを無視して）大きな応答を返す
AmpPot のモードです．詳細は [18, 20] を参照して下さい．

は，不定期に発生する攻撃件数の急増によるもので，これらの急増の多くは特定のクラウドサービスを狙った絨毯爆撃（Carpet Bombing）攻撃*10 でした．これらの攻撃*10. ネットワークや AS を攻撃対象として，それらに属する多数の IP
アドレスに対して実行される DDoS 攻撃．AmpPot は IP アドレスごを除外すれば，2020 年の日本宛の攻撃件数は 2019 年ととに攻撃件数を集計するため，絨毯爆撃攻撃が発生すると攻撃件数が急増するように見える．

同等です．

4.1.2

攻撃に悪用されるサービス*11. 国情報の推定には MaxMind 社（https://www.maxmind.com/）の GeoIP データベースを使用しました．

国・地域別の被攻撃件数

国・地域別の被攻撃件数の割合を図 13 に示します*11 ．

∗*12. 表中の の付いたサービスは，Agnostic モードの 2 台の AmpPot

全攻撃の 1/3 以上がアメリカに割り当てられている IP

のみで観測しています9

200,000

2,000

160,000

1,600

120,000

1,200

80,000800

40,000400

02020-01-01

2020-03-01

2020-05-01

2020-07-01

2020-09-01

2020-11-010

図12: 日ごとの DRDoS 攻撃件数の推移（左軸：全体，右軸：日本宛）4,000

OpenVPN (1194/udp)
RDP (3389/udp)
ARMS (3283/udp)

3,000

35.0%

35.7%
2,000

3.8%
5.1%5.2% 15.2%

1,000

0

図13: 国・地域別の被攻撃件数

2020-01-01

2020-05-01

2020-09-01

図15: OpenVPN，RDP，ARMS を悪用した攻撃件数の
推移

1
10

1
13.9%

2019 年は 19 種類でしたが，2020 年は 35 種類に増加し

1

4.3%

ました．

26.9%

4.1.5

マルチベクタ型の攻撃

昨年のレポートで報告した [14]，複数種類の手法を組み合わせたマルチベクタ型の DRDoS 攻撃も 2020 年は微54.9%
1増傾向にあります．2 種類以上の手法を組み合わせた攻撃は，2019 年 12 月は全体の約 14% だったのに対し，202010

年 12 月は全体の約 23% に増加しました．
図14: 攻撃継続時間

4.2. その他の観測事象
4.2.1

一方で，2020 年に DRDoS 攻撃に悪用されたサービス

リモートワークに関連するサービスを悪用した

DRDoS 攻撃の種類は 2019 年と比較して更に多様化したことを確認

2020 年はコロナ禍の中でリモートワークが普及しまししました．1 万件以上の攻撃が観測されたサービス数は，た．リモートワークに使用される機器がサイバー攻撃の10

企業を狙った攻撃事例では，2020 年 10 月 13 日に 1 時間

表5: ランサム DDoS の観測事例ずつ次々と攻撃対象を変えながら，攻撃が実行されたこ(a) 製造・IT 系とがわかります．

攻撃対象

時刻

悪用されたサービス

国内外の一連の攻撃事例を分析した結果，攻撃事例の多A社

2020/10/07 08:16 - 09:18

CharGen, WSD

くは日本時間の午前中に実行され，攻撃の継続時間は 60～

B社

2020/10/08 08:20 - 09:26
2020/10/09 08:25 - 09:38

CharGen, NTP,
WSD

90 分，悪用されたサービスは CharGen，NTP，ARMS，C社

WSD の 4 種類が中心でした．また，観測された国内の事
例では，攻撃対象として企業の Web サーバでなく，DNS(b) 通信系
攻撃対象

時刻

E社

2020/10/13 09:08 - 10:27

F社

2020/10/13 10:27 - 11:31

G社

2020/10/13 11:34 - 12:42

サーバやそのほかのサーバが狙われる傾向にありました．

悪用されたサービス

CharGen, NTP,
ARMS, WSD

5. おわりに2020 年は 2019 年に引き続き，海外組織による大規模調査スキャンが総観測パケットの約半数を占めるという標的となった事例が報告されています [21] が，それ以外

傾向が継続しました．大規模スキャナに判定された IP アにも，リモートワークで使用されるサービスが DRDoS

ドレスは 2019 年の 1.5 倍以上に増え，多数のスキャナに攻撃の踏み台として悪用される事例が観測されています

よるスキャンパケット数も増大していることから，この[22, 23, 24]．

傾向は今後も続くと考えられます．大規模スキャナの中OpenVPN（1194/UDP），RDP（Remote Desktop Pro-にはその運営組織のわからないものも含まれており，こtocol; 3389/UDP），
ARMS（Apple Remote Management

れらの組織がスキャンによって得たデータを何の目的でService; 3283/UDP）のサービスを悪用した DRDoS 攻

どのように利用しているのかはわかりませんが，今後も撃の件数の推移を図 15 に示します．これらのサービスは

調査スキャンの特徴やスキャンの送信元の分析を通して，

いずれも遠隔から機器やネットワークを利用するために大規模調査スキャンの実態を分析する予定です．

IoT ボットの活動については依然として Mirai 亜種の使用されますが，これらのサービスを悪用した DRDoS

活動が活発に観測されるとともに，2020 年は Mozi と呼攻撃が 2020 年に増加したことがわかります．
攻撃者がコロナ禍におけるリモートワークに着目してばれる IoT ボットの活動が特徴的でした．ボットが送信

これらのサービスを悪用しているのかは不明ですが，こするスキャンパケットの特徴に基づく従来の分析に加え，れらのサービスは DRDoS 攻撃にも悪用される恐れがあ

スキャンの宛先ポートセットに基づいた分析を日々行う

りますので，不要なサービスをインターネット上に公開

ことで，新たなボットの活動も把握できるようになってしない，アクセス制御を適切に行う等の対策をお願いしきました．観測・分析と研究開発のサイクルを回しながます．

ら，今後も新たな脅威に追従できるよう，観測データの分

4.2.2 DDoS 脅迫の観測事例

析手法の高度化を進めていく予定です．

2020 年 8 月ごろから DDoS 攻撃を示唆して金銭を要

AmpPot の観測結果からは，2019 年を大きく上回る数求する脅迫行為が国内外で報告されています [25, 26]．我の DRDoS 攻撃が日々発生している状況が明らかになり，々の AmpPot でもこの事象に関連すると推測される攻撃

ランサム DDoS により日本の企業が攻撃を受けている事（ランサム DDoS）が観測されています．

象も確認されました．また，DRDoS 攻撃に悪用されたサ

国内の企業を狙った攻撃事例の一部を表 5a と表 5b にービスもより多様化し，複数種類の手法を組み合わせる示します．表 5a は国内の製造・IT 系の企業を狙った攻攻撃も増加しています．コロナ禍によりリモートワーク

撃の事例です．2020 年 10 月 7 日から 9 日にかけて，毎が増加し，オンラインサービスへの社会的な依存度が高日ほぼ同じ時刻に，同様のサービスを悪用して攻撃が実まる今日，DoS 攻撃はますます大きな社会的脅威になっ行されたことがわかります．また，表 5b に示す通信系のています．引き続き，観測データの分析による DRDoS の11

手法の変化と攻撃活動の全容把握を進めていく予定です．

[19] 横浜国立大学情報・物理セキュリティ研究拠点. AmpPot: Honeypot for Monitoring Amplification DDoS Attack. http://ipsr.ynu.ac.jp/dos/.

参考文献[1] サイバーセキュリティ研究室. NICTER 観測レポート 2018.
Technical report, 国立研究開発法人情報通信研究機構, 2019.

[20] 西添友美，牧田大佑，吉岡克成，松本勉. プロトコル非準拠ハニー
ポットを用いた新種の DRDoS 攻撃の早期検知. In 情報通信シス
テムセキュリティ研究会（ICSS）. 電子情報通信学会, 2017.

[2] 遠藤由紀子，森好樹，島村隼平，久保正樹. ダークネット観測における大規模スキャナの判定指標の提案. In 情報通信システムセキ
ュリティ研究会（ICSS）. 電子情報通信学会, 2020.

[21] JPCERT/CC. JPCERT/CC 活動四半期レポート［2020 年 10
月 1 日～2020 年 12 月 31 日］. https://www.jpcert.or.jp/pr/
2021/PR_Report20210121.pdf.

[3] Vladislav Yarmak. Full disclosure: 0day vulnerability (backdoor) in firmware for Xiaongmai-based DVRs, NVRs and IP
cameras. https://habr.com/en/post/486856/.

[22] NSFOCUS. What You Should Know about OpenVPN
Reflection Attacks. https://nsfocusglobal.com/what-youshould-know-about-openvpn-reflection-attacks/.

[4] NICTER 解析チーム. ビデオレコーダを狙った 9530/tcp 宛通信の増加について. https://blog.nicter.jp/2020/04/nvr-9530/.

[23] NETSCOUT.
Microsoft Remote Desktop Protocol(RDP)
Reflection/Amplification
DDoS
Attack Mitigation Recommendations - January 2021.
https://www.netscout.com/blog/asert/microsoft-remotedesktop-protocol-rdp-reflectionamplification.

[5] Yanlong Ma，Lingming Tu，Genshen Ye and Hongda
Liu. Multiple botnets are spreading using LILIN DVR
0-day. https://blog.netlab.360.com/multiple-botnets-arespreading-using-lilin-dvr-0-day-en/.

[24] NETSCOUT. A Call to ARMS: Apple Remote Management Service UDP Reflection/Amplification DDoS Attacks.
https://www.netscout.com/blog/asert/call-armsapple-remote-management-service-udp.

[6] ALEX.TURING, HUI WANG. Mozi, Another Botnet Using
DHT. https://blog.netlab.360.com/mozi-another-botnetusing-dht/.
[7] Andreas Klopsch , Prof. Dr. Christian Dietrich , Raphael
Springer. A detailed look into the Mozi P2P IoT botnet. https://chrisdietri.ch/talk/mozi_iot_botnet_slides_
botconf_202012.pdf.

[25] Akamai SIRT.
RANSOM DEMANDS RETURN:
NEW DDOS EXTORTION THREATS FROM OLD
ACTORS TARGETING FINANCE AND RETAIL.
https://blogs.akamai.com/sitr/2020/08/ransom-demandsreturn-new-ddos-extortion-threats-from-old-actorstargeting-finance-and-retail.html.

[8] NICTER 解析チーム. 日本国内の Mirai の特徴を持つパケットの送信元 IP アドレス数急増について. https://blog.nicter.jp/
2020/10/jp_mirai_spike/.

[26] JPCERT/CC. DDoS 攻撃を示唆して仮想通貨による送金を要求する脅迫行為 (DDoS 脅迫) について. https://www.jpcert.
or.jp/newsflash/2020090701.html.

[9] IIJ-SECT. 国内 Mirai 亜種感染機器からのスキャン通信が再び増加 (2018 年 2-3 月の観測状況). https://sect.iij.ad.jp/d/
2018/04/057113.html.
[10] サイバーセキュリティ研究室. NICTER 観測レポート: ルータ
製品の脆弱性を悪用して感染を広げる Mirai の亜種に関する活動(2017-12-19). Technical report, 国立研究開発法人情報通信研
究機構, 2017.
[11] JPCERT/CC. Mirai 亜種の感染活動に関する注意喚起. https://www.jpcert.or.jp/at/2017/at170049.html.
[12] IPA JVN iPedia. Realtek SDK の miniigd SOAP サービスにおける任意のコードを実行される脆弱性. https://jvndb.jvn.jp/
ja/contents/2014/JVNDB-2014-008039.html.
[13] Logitec. ロジテック製 300Mbps 無線 LAN ブロードバンドルー
タおよびセットモデル（全 11 モデル）に関する重要なお知らせとお願い. https://www.logitec.co.jp/info/2017/1219.html.
[14] サ イ バ ー セ キ ュ リ テ ィ 研 究 所 サ イ バ ー セ キ ュ リ テ ィ 研 究 室.
NICTER 観測レポート 2019. Technical report, 国立研究開
発法人情報通信研究機構, 2020.
[15] 警察庁 @police. 複数の IoT 機器等の脆弱性を標的としたアクセスの増加等について. https://www.npa.go.jp/cyberpolice/
detect/pdf/20200130.pdf.
[16] IETF. A Universally Unique IDentifier (UUID) URN
Namespace. https://tools.ietf.org/html/rfc4122.
[17] 牧田大佑，島村隼平，久保正樹，井上大介. 全ポート待受型の簡易
ハニーポットによるサイバー攻撃観測. In 暗号と情報セキュリティシンポジウム (SCIS2019). 電子情報通信学会, 2019.
[18] Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi
Nishizoe, Takashi Koide, Katsunari Yoshioka, and Christian
Rossow. Amppot: Monitoring and defending against amplification ddos attacks. In International Workshop on Recent
Advances in Intrusion Detection, pages 615–636. Springer,
2015.

12