ハニーポット観察日記(2019/02/24)

WOWHoneypot

ハニーポット「WOWHoneypot」で2019/02/24 (日) 00:00~23:59 UTC(運用52日目)に取得したログの簡易分析です。

FreePBXの探査とvtiger CRMの探査を初めて観測しました。

概況

• 集計期間 : 2019/02/24 (日) 00:00~23:59 UTC
• 総アクセス件数 : 35 件(前日比 +11 件)
  • トップページへのアクセス : 24 件
  • WebShellの探査 : 5 件
  • phpMyAdminの探査 : 3 件
  • FreePBXの探査(初観測) : 2 件
  • vtiger CRMの探査(初観測) : 1 件
• ユニークIPアドレス件数 : 25 件 (前日比 +6 件)
• アクセス元の国数 : 18 カ国 (前日比 +1 カ国)

国別のアクセス件数

国別のアクセス件数は以下の通りです。

順位	国名	件数	前日の順位	前日の件数	件数差	備考
1.	China	8	-	0	+8	-
2.	Russia	5	6.	1	+4	-
3.	United States	3	5.	1	+2	-
4.	Brazil	3	3.	2	+1	-
5.	India	2	13.	1	+1	-
6.	France	2	15.	1	+1	-
7.	Albania	1	-	0	+1	-
8.	Cambodia	1	4.	1	+-0	-
9.	Turkey	1	7.	1	+-0	-
10.	Vietnam	1	2.	2	-1	-
11.	Ukraine	1	-	0	+1	-
12.	Libya	1	-	0	+1	-
13.	South Africa	1	-	0	+1	-
14.	Indonesia	1	10.	1	+-0	-
15.	Sweden	1	-	0	+1	-
16.	Spain	1	12.	1	+-0	-
17.	Romania	1	-	0	+1	-
18.	Slovenia	1	-	0	+1	-

アクセス先

• FreePBXの探査を初めて観測しました。
  • 観測したパスは以下の通りです。
    • /a2billing/customer/templates/default/footer.tpl
    • /recordings/
  • 件数は2件で、User-Agentはpython-requests/2.6.0 CPython/2.7.5 Linux/3.10.0-957.1.3.el7.x86_64でした。
  • FreePBXの探査が行われる約45分前に、FreePBXの探査を行ったIPアドレスからトップページへのアクセスが1件ありました。
• vtiger CRMの探査を初めて観測しました。
  • 観測したパスは以下の通りです。
    • /vtigercrm/vtigerservice.php
  • 件数は1件で、User-Agentはpython-requests/2.6.0 CPython/2.7.5 Linux/3.10.0-957.1.3.el7.x86_64でした。
  • 送信元IPアドレスがFreePBXの探査を行ったIPアドレスと同一だったため、同一のアクターによる探査行為と思われます。
  • 送信元IPアドレスはASBAXET(AS51659)に登録されたものでした。
• 小規模なまとまったWebShellやphpMyAdminの探査を観測しました。
  • WebShellの探査が5件、phpMyAdminの探査が3件でした。
  • これらの探査はHangzhou Alibaba Advertising Co.,Ltd.(AS37963)に登録された1つのIPアドレスから行われました。
• 2日連続でMASSCANによるスキャンを観測しました。
  • 件数は1件で、User-Agentはmasscan/1.0 (https://github.com/robertdavidgraham/masscan)でした。

アクセス先一覧

アクセス先の一覧は以下の通りです。

順位	備考	アクセス先	件数	前日の順位	前日の件数	件数差
1.	トップページへのアクセス	GET / HTTP/1.1	20	1.	13	+7
2.	トップページへのアクセス	GET / HTTP/1.0	3	2.	5	-2
3.	WebShellの探査	GET /help-e.php HTTP/1.1	1	-	0	+1
4.	WebShellの探査	GET /license.php HTTP/1.1	1	-	0	+1
5.	WebShellの探査	GET /log.php HTTP/1.1	1	-	0	+1
6.	WebShellの探査	GET /shell.php HTTP/1.1	1	-	0	+1
7.	WebShellの探査	GET /cmv.php HTTP/1.1	1	-	0	+1
8.	phpMyAdminの探査	GET /db/index.php HTTP/1.1	1	-	0	+1
9.	phpMyAdminの探査	GET /www/phpMyAdmin/index.php HTTP/1.1	1	-	0	+1
10.	phpMyAdminの探査	GET /phpMyAdmin__/index.php HTTP/1.1	1	-	0	+1
11.	トップページへのアクセス	POST / HTTP/1.1	1	-	0	+1
12.	FreePBXの探査(参考)	GET /a2billing/customer/templates/default/footer.tpl HTTP/1.1	1	-	0	+1
13.	FreePBXの探査(参考)	GET /recordings/ HTTP/1.1	1	-	0	+1
14.	vtiger CRMの探査(参考)	GET /vtigercrm/vtigerservice.php HTTP/1.1	1	-	0	+1

WOWHoneypotで取得したログの簡易分析は以上です。