Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

12月上旬から特定ポート宛てのパケットが増加 - Windowsが発信元、共通の特徴見られず

2018年12月上旬より、「TCP 445番ポート」「TCP 1433番ポート」宛てのパケットが増加した。何らかのマルウェアに感染した「Windows」環境が発信元と見られている。

JPCERTコーディネーションセンターが、2018年第4四半期に同センターが配置したセンサーで観測したパケットの状況を取りまとめたもの。

同四半期は前四半期から引き続き、「telnet」で利用する「TCP 23番ポート」に対するパケットが最多。同様に「Windows」のファイル共有プロトコル「SMB」で使われる「TCP 445番ポート」が次いで多かった。さらに「TCP 1433番ポート」「TCP 80番ポート」「TCP 22番ポート」と続く。

同四半期において目立った動きとしては、12月3日ごろより「TCP 445番ポート」宛てのパケットが増加。さらに同月10日前後から、3番目に多かった「TCP 1433番ポート」宛てのパケットについても増加が観測されたという。

20190117_jp_001.jpg
上位5ポートのパケット観測数(グラフ:JPCERT/CC)

これらパケットの増加は、いずれも国内外のIPアドレスが発信元で、多くは「Windows」が稼働していると見られている。

稼働していたのは、とすでにサポートが終了している「Windows Server 2003」だけでなく、「同2008」や「同2012」なども含まれていた。

SMBのポートを見ても、開放されているケースや閉じられているケースが混在。共通した特徴は見られなかったという。発信元のホストが感染しているマルウェアは、特定されておらず、同センターでは調査を進めている。

また同月9日ごろからは、国内を送信元とした「TCP 37215番ポート」宛てのパケットが増加した。

同センターが調べたところ、Realtek製のSDKの脆弱性「CVE-2014-8361」の影響を受けた国内製のブロードバンドルータが送信元であることが判明。「Mirai」亜種の感染が疑われるとしている。

(Security NEXT - 2019/01/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

2018年に2121億の攻撃パケット観測 - 23番ポート宛が半減
2018年11月のDDoS攻撃、約1割減 - 前月上回る規模の攻撃も
9月のDDoS攻撃、前月からやや減少 - DNSリフレクション攻撃など確認
8月半ばからTCP 445番ポート宛てのパケットが増加 - 8割の送信元がWS 2003
2018年2Q、TCP 80番ポート宛てのパケットが増加 - 「Mirai」影響で
8月のDDoS攻撃が4割減 - 「GRE」利用のフラッド攻撃など発生
7月中旬より「memcached」利用したDDoS攻撃を多数検知 - 夜間から早朝にかけて発生
車載ネットワークのハッキングコンテストで優勝 - イエラエ佐藤勝彦氏
総務省、「Shodan」同等の調査システムを構築 - 国内IPアドレス6%が応答
「Mirai」亜種に狙われる脆弱IoT端末、50万台以上稼働か