「5358番ポート」や「22番ポート」へのパケットが増加 - JPCERT/CCが観測

2017年第1四半期は、「5358番ポート」「22番ポート」に対するパケットの増加が観測された。マルウェアに感染したIoT機器やNAS製品が発信元とみられている。

JPCERTコーディネーションセンターが設置したセンサーで観測したパケットの状況を取りまとめたもの。同センターによれば、2017年第1四半期は前四半期と変わらず、「telnet」で利用する「TCP 23番ポート」に対するパケットが最多だった。

次に多かったのは「5358番ポート」。前四半期では上位圏外だったが同四半期に入り急増した。同ポートに対するアクセスは、警察庁においても1月下旬からアクセスの増加を観測。マルウェアに感染したIoT機器が発信元とみられ、攻撃の踏み台に利用された可能性が指摘されている。

また国内のIPアドレスからSSHで使用する「22番ポート」に対するパケットが3番目に多かった。同センターでは、2016年12月25日ごろより増加を観測しており、その後も同様の傾向が継続している。発信元の約半数は、TelnetやSSHなどのサービスを追加できる海外ベンダー製のNASと見られている。

因果関係は不明だが、実際にこうしたサービスが攻撃を受けてマルウェアに感染、パケットを送信する原因となるケースや、フィッシングサイトなどへ誘導するための踏み台に悪用されるケースが確認されており、同センターでは利用機器において、意図しないサービスが稼働していないか確認するよう注意を呼びかけている。

（Security NEXT - 2017/05/11 ）ツイート