T-Pot観測記録：2018/5/4〜5/10
ちょっと遅れてしまいましたが、今週分の観測記録をつけようと思います。
全体の結果
先週まではvnclowpotに対するものが多かったのですが、この週は非常に変動がありました。継続してvnclowpotのイベントは多いのですが、それ以外のCowrie, Honeytrapのイベントが非常に多くなっています。なので、今回はこの３つを中心にイベントをみていきます。
vnclowpotのイベント
vnclowpotに対するものは依然としてある程間隔的にイベントが発生しています。ただ、その時間が少し変わっています。
・先週：毎日15:00近辺でスパイクしていた
・今回の週：6:00, 9:00などでスパイクしていることが多くなっている
攻撃元のIPは前回と変わらずロシアが大半を占めています。また、発信元はロシアのモスクワが圧倒的です。
ロシア（モスクワ）との時差は6時間（モスクワより日本の方が進んでいる）となるため、今回の週の時間をモスクワの時間で考えると
・今回の週（モスクワ時間）：0:00, 3:00
となります。夜中にかけて攻撃を実施しているということなのでしょうか？たしかに、夜中にかけて攻撃した方が、日本の企業の人にとっては気づきにくい+対処しにくいでしょうね。
Honeytrapのイベント
こちらもロシアがほとんどです。すごいですね、ロシア。。
送信先ポートは以下の通り
dest port : 6379, 2222, 2323, 5902, 3307
5902はvncらしいですね。というのも、vncではポート番号が基本的に「5900+ディスプレイ番号」になるとのこと。つまり、5902では2番のディスプレイ番号を使用していることを表します。
また、6379はRedisと呼ばれるインメモリ型のNoSQLデータベース（キー・バリュー型）らしいです。この、「インメモリ型のDB」という話ですが、最近話題になったmemcachedも同じようなものらしいです。分類としてもRedisと同じような分類（インメモリ型NoSQL(キー・バリュー型））らしいです。ここら辺の詳しい話はちょっとわかりませんが。。
Cowrieのイベント
こちらについては、この週において非常に多く発生するようになりました。
・攻撃元：メキシコ、ベトナム、アメリカ、ブラジルの順で多い（中国やロシアは少なかったです。
・ポート：2222(ssh), 2223(telnet)がほとんど。443と80はかなり少ない。
また、メキシコからの攻撃ではtelnetに対するものが多く、ベトナムからはsshという感じです。アメリカに関しては半々という結果でした。
では、Cowrieで使用されたアカウントとパスワードをみていきます。
アカウント名
パスワード
アカウント名は、前回の記事でも出たものがちらほらと見えます。新しいものであれば、以下のものでしょうか。
e8ehome, telecomadmin,
両方とも、Miraiに似たネットワークスキャンで使用されるものっぽいですね。以下参考記事。
blog.trendmicro.co.jp
パスワードについても、上記の記事に書いているものが多いですね。
強いていうなら以下のものがちょっと特徴的でしょうか。
nE7jA%5m
ただ、これも調べてみたら中国製のルータのデフォルトパスワードっぽいですね。
このようにみて見ると、デフォルトパスワードがいかに危険か実感できますね。なので、デフォルトパスワードは使用しないように気をつけなければ。
今はこんな感じで記録をつけていますが、他のハニーポッターの方はどんな風に（使っているツールとか）ログ解析しているのかは非常に気になりますね。
