作ったばかりの無名サーバーに3万回超の不審接続､｢うちは狙われない｣が通用しないサイバー攻撃の実態

ログイン後の操作も、驚くほどパターン化されていました。全接続の約4分の3に当たる2万3938回は、OSやCPUの種類、稼働時間を調べる同じ3つの命令を送るだけで終了しています。接続時間も半数はわずか3秒以内で、人間がじっくり調べるというより、プログラムが次々とサーバーの情報を収集しているようです。中には、AIの計算などに使うGPUの性能を調べようとする操作もありました。相手は、侵入できたコンピューターにどんな性能があり、何に利用できそうかを探っていたと考えられます。

今回の記録からわかるのは、会社の規模や知名度に関係なく、インターネット上に公開されたサーバーが自動的に探索されているという現実です。中小企業の業務サーバーはもちろん、開発途中の試験環境や外部業者が使う保守用の入口も例外ではありません。重要な情報を保存していなくても、侵入を許せばコンピューターそのものを悪用されるおそれがあります。「うちは小さな会社だから狙われない」という考えは通用しないのです。

接続からわずか16秒で起動や削除まで要求され、侵入後の動きは想像以上に速かった

大半の接続は、OSやCPUなどを調べるだけで終わっていました。ところが一部は、動作環境を確かめた後、そのまま不審なファイルの持ち込みや起動まで試みています。たとえば、10月28日午前2時58分34秒に始まった接続では、相手はユーザー名とパスワードの両方に「mysql」を指定し、おとりがログインを受け入れました。

その2秒後、相手は簡単な計算などを指示し、サーバーが命令を処理できるか試しました。続いて「.b0s」という正体不明のファイルを3カ所へ送り込もうとします。さらに、ログイン時のパスワードを管理者権限の操作にも使い、このファイルをプログラムとして動かそうと、方法を変えながら何度も起動を要求しました。

最後には「.b0s」という名前のファイルを削除する命令まで送り、午前2時58分50秒に接続が切れました。ログインからわずか16秒で、プログラムの持ち込みから起動、後片付けまで一気に試していたのです。

しかも、こうした動きは1回限りではありません。同じようにファイルを送り込もうとする要求は、1608回の接続で確認されました。パスワードを試すだけで終わらず、ログイン後にプログラムを持ち込んで動かそうとするところまで、一連の手順が自動化され、繰り返されていたと考えられます。

企業のサーバーでログインを許してしまえば、担当者が異常に気づく前に、不正なプログラムを動かされる可能性があります。警告を受けてから人間が対処しようとしても、間に合わないほどの速さで攻撃が進むのです。

厄介なのは、一度ログインした後も、再び入り込めるようにする動きです。別の接続では、相手が自分の電子的な鍵をサーバーに登録しようとしていました。いわば、勝手に「合鍵」を作る行為です。この鍵が登録されると、管理者が不審なログインに気づいてパスワードを変更しても、相手は再びログインできてしまいます。しかも、同じ鍵を登録しようとする要求が、586種類ものIPアドレスから届いていたのです。