全体のaccessではPhilippines、Thailandが上位になっておりますが、miraiの特徴を持つパケットや、攻撃(exploit)と思われるパケットではChina、United Statesからのパケットが目立ちます。
2022年5月12日木曜日
access #6
Miraiの注意喚起
NICT様の情報
https://twitter.com/nicter_jp/status/1524640416938659840
NICT様の記事と相関がありそうななさそうな... 国内IPと判定されたグラフです。
2022年5月9日月曜日
Miraiのパケット
Miraiのスキャンパケットの特徴(通信先=シーケンス)をもつパケットの時計結果について
日毎にアクセスがあった場所に点をプロットしています、これを見ると定常的にアクセスがあるportとパラパラとアクセスがあるポートがある事がわかります。
同じプロット手法でアクセス数を点の大きさで表現すると定常的にアクセスがあるように見えます。(多分パラパラとアクセスがある点はボリュームが小さいためにつぶれてるのだと思います。)日本からのアクセス
FREEのgeoipでIPアドレスから国情報を取得し日本と判定されたIPのアクセスの統計情報
(データが0になっているのはシステムを調整した日でデータが正しく取れてない可能性があります)
各データはユニークIPではないので次回はユニークIPにするとどのようなグラフになるかやってみます。
ハニーポットにアクセスしてきた回数です
2022年5月7日土曜日
2022年5月3日火曜日
2022年4月25日月曜日
2022年4月23日土曜日
2022年4月18日月曜日
Malwareのスキャンパケット
マルウエアのスキャンパケットってソースポートがある程度限定的なのかもです。
下の絵の青のグラフがマルウエアからのスキャンと思われるパケットのソースポート番号です。
赤は通信先のポートでこの検体の場合はほぼ同じポートで、青のグラフのパケット数を足し算しても赤にならないのは赤のグラフにはスキャン以外の通信した時のパケットも入っているので、足し算しても同じにはならないのですが、波形の上下は似ているかと思います。
2022年4月15日金曜日
2022年4月13日水曜日
2022年4月12日火曜日
動的解析ネットワークデータ
動的解析でマルウエアが通信したIPアドレスをGoeIPで緯度経度情報を取得して
プロットして見た絵、ある程度固まって色がついてます。なぜ?
2022年4月10日日曜日
Ivanti Connect Secure/Ivanti Policy Secure
Ivanti Connect Secure/Ivanti Policy Secureをcensysで検索してみた。 https://www.jpcert.or.jp/at/2024/at240002.html?fbclid=IwAR18ioJ4JciNYj8aD1odGseAnW...
-
Ivanti Connect Secure/Ivanti Policy Secureをcensysで検索してみた。 https://www.jpcert.or.jp/at/2024/at240002.html?fbclid=IwAR18ioJ4JciNYj8aD1odGseAnW...
-
運用しているハニーポットに侵入してきたり、マルウエダウンロドサイトだったり、Miraiの特徴があるIPアドレスをcensys searchでopen portを収集して、クローラでsnapshotを取得したらこんな画面が沢山収集できました。webで公開する準備してま〜す。 #os...
-
IDS(Suricata)で検知したDNS通信の内容 https://api.krns.jp/sandbox/domain_malware ドメインとは思えない通信をしているマルウエアもいるのですが、これってBUG? https://www.krns.jp/ https://w...