【ハニーポット簡易分析】Honeytrap簡易分析(245-248日目:4/18-4/21)

Honeytrap簡易分析(245-248日目:4/18-4/21)の簡易分析となります。
※80ポートは除く

vTiger CRMの脆弱性を狙った通信が4/21 5:00 - 7:00 頃にかけて増加していました。複数のポートに対してパスが存在するかの調査行為のみの検知でした。
◾️通信内容：
GET //vtigercrm/vtigerservice.php HTTP/1.1
User-Agent: python-requests/2.6.0 CPython/2.7.5 Linux/3.10.0-957.1.3.el7.x86_64

◾️送信元IP：
46[.]17[.]46[.]3 (https://www.abuseipdb.com/check/46.17.46.3)

abuseipdbでも同様の通信を検知している報告がありました。

◾️Exploit code:
https://www.exploit-db.com/exploits/35577

他にハニーポッタでも同様の通信を検知しているようです。
https://cute-0tter.hatenablog.com/entry/2019/02/25/235730

<新規マルウェア>

ポート	マルウェアダウンロード先	HTTPリクエストパス	VT	備考
6666	hxxp://31[.]13[.]195[.]251/UqHDZbqr9S[.]sh	POST /protocol.csp
8080	hxxp://185[.]244[.]25[.]135/nope/mpsl[.]daddyscum	POST /tmUnblock.cgi		mirai
52869	hxxp://176[.]56[.]237[.]213/Demon[.]mips	POST /picsdesc.xml		Gafgyt
52869	hxxp://23[.]254[.]224[.]39/mips	POST /picsdesc.xml

IoT系を狙った攻撃が多く、日々新しいダウンロード先を検知しています。まだまだ、ノラのIoT製品が多く、攻撃者側も常にツールか何かで攻撃しているように思えました。


以上となります。