2026年度より、定期観測レポートは3ヵ月毎の公開に変更いたします。次回は4-6月の観測レポートを、2026年7月に公開する予定です。
SOCでは税務調査を装った攻撃メールを2025年12月に複数観測しました。これらの攻撃メールにはPDFファイルを装った悪性ファイルのダウンロードを促す内容が含まれており、受信者がファイルをダウンロードして実行することで最終的にValleyRAT（別名: Winos）に感染します。
7-Zipはオープンソースで開発・公開されているアーカイバソフトウェアです。7-Zipは公式Webサイトの他に、非公式のWebサイトが複数存在しています。その内の1つにおいて、2026年1月より、不審なファイルを展開するインストーラへのリンクが掲載されています。SOCにおいて、複数のお客様にて当該実行ファイルの実行を確認していることから、本稿では速報として、その内容をご説明します。
SOCでは著作権侵害通知を装った攻撃メールを複数観測しています。これらの攻撃メールにはPDFファイルやWordファイルを装った悪性ファイルのダウンロードを促す内容が含まれており、受信者がこのファイルをダウンロード、実行することで最終的にPXA StealerやRhadamanthys Stealerに感染します。本記事ではIIJ広報のお問い合わせメールアドレスで受信した攻撃メールを例にマルウェア感染までの流れとマルウェアの挙動について紹介します。
SOCでは2025年8月中旬からサポート詐欺サイトへのアクセス数が増加したことを観測しています。サポート詐欺サイトの多くは、警告音や偽の警告画面によって訪問者の不安を煽り、偽のサポート窓口へ電話をかけるよう誘導します。もし電話をかけてしまった場合、金銭を騙し取られたり、遠隔操作ソフトのダウンロード及び実行を促されて不正操作されたりする恐れがあります。
SOCではインターネットに対して公開されたホストを狙うスキャン活動を観測しています。2021年以降は特に6379/TCP（Redis）と2375/TCP（Docker API）へのスキャンが大幅に増加していることを確認しており、IIJが発行している技術レポート「Internet Infrastructure Review（IIR）Vol.54」内のSOCレポートで紹介しています。
Emotetは、感染した端末からの情報窃取やメール送信、他マルウェアのダウンロード及び実行、ボットネット通信などの機能を持つマルウェアとして知られています。2021年1月27日にEuropol（欧州刑事警察機構）により、Emotetの攻撃インフラがテイクダウンされ、SOCでは同年1月26日以降、Emotetへの感染及び感染を狙った攻撃は観測していませんでした。しかし、2021年11月14日頃からEmotetの攻撃活動が再開し、2022年2月上旬からEmotetへの感染を観測しています。
2021年10月6日に、CVE-2021-41773の修正を含むApache HTTP Server 2.4.50がリリースされました。 当該CVEはパストラバーサルの脆弱性であり、この脆弱性が悪用されるとDocumentRoot外にあるファイルが、インターネットから閲覧される可能性があります。なおこの脆弱性はApache HTTP Server 2.4.49のみに存在するものであり、それより古いバージョンには影響しません
SOCでは、2021年5月18日よりExploit KitであるBottle Exploit Kitの活動が観測されています。Bottle Exploit Kitは2019年12月頃から観測されている日本を標的としたExploit Kitです。2021年5月に観測されたBottle Exploit Kitは、バンキングマルウェアのCinobiへの感染を狙ったものであり、Internet Explorerの脆弱性を悪用するDrive-by download攻撃でした。本記事では、Bottle Exploit KitとCinobiの解析結果をご紹介します。
IIJでは日々、様々な攻撃を観測しています。wizSafe Security Signal 2020年7月 観測レポートでも触れていますが、2020年7月以降には、過去に2019年9月から2020年2月にも観測していた、マルウェアEmotetに感染させることを目的としたメールを多く観測しています。観測状況やメールの内容については観測レポートに記載していますが、当該マルウェアはVisual Basic for Applications（VBA）マクロを含むMicrosoft Office形式のファイルを開き、そのマクロが実行されることによってマルウェアに感染する挙動となっています。マルウェア対策ソフトウェアなどで検知出来ることが望ましいですが、残念ながら新しい検体などは検知出来ない場合もあることから、そのようなファイルを攻撃者が意図した形で開けないように対策することが必要です。本記事ではその方法についてご紹介します。
SOCでは2019年11月の観測事例以降、2020年2月までSYN/ACKリフレクション攻撃の目立った観測事例はありませんでしたが、2020年3月に入り再び攻撃を観測しはじめました。
SOCでは、毎月のレポートでMirai亜種による感染活動を検出しています。Mirai亜種には様々な種類が存在しており、本レポートではXTCと呼ばれるMirai亜種について取り上げます。XTCはIRCを用いてDDoS攻撃を実行する機能を備えていることが特徴です。また、直近数ヶ月の間に幾つもの脆弱性を用いて感染活動を行っていることが明らかとなっています。
2020年2月24日にApache Software FoundationからApache Tomcatの脆弱性（CVE-2020-1938）情報が公開されました。これは、Apache JServ Protocol（AJP）に関する脆弱性です。
2020年1月2日、Cisco Systems社はCisco Data Center Network Manager（DCNM）に関するセキュリティアドバイザリを公開しました。アドバイザリでは、REST APIに関する脆弱性（CVE-2019-15975）、SOAP APIに関する脆弱性（CVE-2019-15976）、Webベースの管理インタフェースに関する脆弱性（CVE-2019-15977）が紹介されており、緊急度は最大のCriticalとなっています。いずれの脆弱性も悪用された場合、攻撃者は認証をバイパスし、管理者権限を取得することが可能となります。これらの脆弱性のPoC（概念実証コード）は1月14日に脆弱性の報告者によって公開されており、当該アドバイザリに含まれていない脆弱性（CVE-2019-15978など）を組み合わせることで、任意のコード実行を可能にするものでした。SOCではこれらの脆弱性の内、CVE-2019-15977を利用する攻撃を観測しています。
SOCでは2020年1月17日頃からPHPUnitの脆弱性（CVE-2017-9841）の有無を確認するスキャン通信の増加を観測しています。
2019年12月17日、Citrix Systems社はCitrix Application Delivery Controller（ADC）、およびCitrix Gatewayの脆弱性（CVE-2019-19781）を公開しました。これらの製品はNetScaler ADC、NetScaler Gatewayの名称でも知られているものです。本脆弱性により、認証を必要とせずにリモートから任意のコードを実行される恐れがあります。本脆弱性のPoC（概念実証コード）は1月11日頃に公開されており、SOCでも既に脆弱性を利用する攻撃を複数観測しています。
SOCでは引き続きSYN/ACKリフレクション攻撃を検知・観測しています。2019年10月に観測した攻撃のうち、11月に継続して観測している攻撃と新たに観測した攻撃の分析結果を共有します。
SOCでは引き続きSYN/ACKリフレクション攻撃を検知・観測しています。2018年9月の観測レポートで本攻撃の原理を説明している通り、攻撃で使用するSYN/ACKパケットを発生させるために、攻撃者は送信元を攻撃対象に偽装したSYNパケットをリフレクタに送信します。Three-way handshakeにおいて、そのSYNパケットの応答としてリフレクタがSYN/ACKパケットで返答します。SYNパケットの送信元は偽装されていることから、リフレクタが返送したSYN/ACKパケットが被害者となるIPアドレス宛に届くことで攻撃が実現されます。SOCでは2019年7月頃から頻繁に攻撃を観測するようになり、2019年10月は前月までに比べ、Carpet-bombingと呼ばれる攻撃手法の観測事例が増加しています。Carpet-bombingとは、攻撃の対象となる特定のIPアドレスレンジに対する攻撃です。SYN/ACKリフレクション攻撃の場合、攻撃対象となるIPアドレスレンジで表現できる大量のIPアドレスに送信元が偽装されています。
2019年8月18日から8月20日において、ホスティングサービスを提供しているServers.comに対してDDoS攻撃があったことが公表されました。本攻撃ではUDPを用いたDDoS攻撃の他にTCPを利用したSYN/ACK リフレクション攻撃を複合的に利用した攻撃であることが[1]で示されています。
4月26日にOracle社はOracle WebLogic Serverの脆弱性（CVE-2019-2725）を公開しました。この脆弱性により、認証を必要とせずにリモートから任意のコードを実行される恐れがあります。
wizSafe Security Signalでは毎月、IIJのマネージドセキュリティサービスやバックボーンで検出した脅威情報を発信しています。この記事では2018年1月から12月の観測レポートでご紹介した内容を、簡単にまとめてご紹介します。
Fake Stake攻撃とは、特定の仮想通貨ネットワークにおけるP2P（Peer to Peer）で接続されたノードに対してリソース枯渇を引き起こす脆弱性です。本件は2019年1月23日にMedium誌で、当該脆弱性を発見した、米イリノイ大学アーバナ・シャンペーン校 電気・コンピュータ工学科のDecentralized Systems Labによって公開されました。
SOCでは、仮想通貨の一つであるEthereumのクライアントを対象としたスキャン活動の増加を観測しました。攻撃者が狙ったポートは8545/TCPであり、このポートはEthereumのクライアントに対してJSON RPC（JSON Remote Procedure Call）を用いてアクセスするためのインターフェースとして設定されることが知られています。JSON RPCはJSON形式で遠隔からプログラムに処理を依頼するためのプロトコルで、複数の仮想通貨のクライアントで利用されている通信プロトコルとなります。
当月も前月までと同様に、DDoS攻撃やマルウェアを利用した攻撃など、様々な攻撃活動を観測しています。全体の傾向においては前月と目立った違いはありませんでしたが、受信メールにおけるマルウェア添付の検知傾向には変動が見受けられました。
本稿では、IIJの提供するセキュリティ事業において収集・観測した攻撃活動について示します。当月も継続してDDoS攻撃やスキャン行為、マルウェアを利用した攻撃など、様々な攻撃活動を観測しています。
本稿では、IIJの提供するセキュリティ事業において収集・観測した攻撃活動について示します。当月も継続してDDoS攻撃やスキャン行為、マルウェアを利用した攻撃など、様々な攻撃活動を観測しています。
はじめに、IIJの提供するセキュリティ事業において収集・観測した攻撃活動について示します。当月も継続してDDoS攻撃やスキャン行為、マルウェアを利用した攻撃など、様々な攻撃活動を観測しています。
Oracle WebLogic ServerのサブコンポーネントであるWLS Securityには、外部から任意のコード実行が可能となる脆弱性（CVE-2017-10271）があります。IIJでは、本脆弱性を用い、PowerShellの実行を試みる攻撃の増加を3月28日から観測しました。
初めに、IIJの提供するセキュリティ事業において収集・観測した、様々な攻撃活動のサマリーを示します。当月は、大規模なDDoS攻撃やサーバに対する継続的なスキャン行為、マルウェアを利用した攻撃など、様々な攻撃活動を観測しています。
はじめに、IIJの提供するセキュリティ事業において収集・観測した、様々な攻撃活動について示します。当月もサーバやクライアントなどを狙った複数の攻撃活動を観測しています。
2月下旬より、memcachedを用いたUDPのAmplificationによるDDoS攻撃が、インターネット上の複数個所で観測されています。本稿ではその概要を取り上げると共に、IIJにおける観測状況を記載します。
はじめに、IIJの提供するセキュリティ事業において収集・観測した、様々な攻撃活動について示します。当月もサーバやクライアント、IoT機器などを狙った複数の攻撃活動を観測しています。
2017年12月は日本国内で多数のDDoS攻撃が発生しました。IIJでも短時間の攻撃試行を観測しており、攻撃者が大規模な攻撃を行う前にテストを行っていたものと考えられます。ある攻撃者とみられる人物は、TwitterでDDoS攻撃を宣言するツイートを投稿し、いくつかのWebサイトでは実際に攻撃を受けたことが明らかになっています。なお、月末には、国内のWebサイトに対しAnonymousによるものとみられる攻撃事例もありました。
まず、DDoS攻撃について、前月に比べて攻撃回数が42%増加しており、特に短い時間の攻撃が増加しています。多数の攻撃を誘発するような動静情報は見られていないため、単に攻撃の効果の有無を確認するための試行が増加したものと考えられます。
国内でMirai亜種の感染が拡大しています。Mirai亜種が感染に用いる脆弱性は複数ありますが、今回その一つとして国内メーカー製ブロードバンドルータの脆弱性が悪用されていることが判明しました。この脆弱性は最新のファームウェアでは既に修正されています。該当する製品をお使いの場合には、バージョンの確認と速やかなアップデートをお勧めいたします。
2017年10月は、Apache Struts 2の脆弱性有無を目的とした攻撃通信を多数観測しました。この攻撃は60ヵ国もの国を送信元としていましたが、同様の攻撃内容であったことから、ボットネットが利用された可能性があります。
IIJのWebクローラにおけるExploit Kitの検知件数は、2017年初頭から継続して減少傾向にあります。類似の被害を及ぼす詐欺的なコンテンツやサポートセンターを詐称した電話による応対で、利用者に不要なソフトウェアのインストールを促すScamサイトの検知についても同様に減少傾向が見受けられる状況です。一方、Coinhiveを悪用してユーザに無断でCPUパワーを利用するサイトが急増していますが、これらの増減は同一の攻撃主体による攻撃手法の変遷を示すものではないようです。
IIJでは、IIJマネージドセキュリティサービスで得られた情報を基に、情報分析基盤を通して分析活動を行っています。既知の脆弱性ではありますが、Apache Struts 2の「CVE-2017-5638/S2-045」脆弱性を悪用した攻撃が、2017年10月20日から急増していることを観測しました。この攻撃の急増は、大規模な調査活動によるものと考えられます。この記事では、観測した攻撃内容についてご紹介します。
IIJでは定常的にWebサイトを巡回して攻撃コードやマルウェアの有無を監視する活動を続けています。今回、一般の日本企業のWebサイトが改ざんされて仮想通貨をマイニングするスクリプトが埋め込まれるという事例を観測しました。この記事では、観測した事例についてその背景や詳細をご紹介します。
9月18日は満州事変の発端となった柳条湖事件が起こった日であることから、この前後の期間において日中間で攻撃が発生しやすい期間としてよく知られています。過去にはDDoS攻撃等のセキュリティインシデントが発生していましたが、ここ数年はあまり大きな動きはなく、今年も目立った攻撃はありませんでした。