ハニーポット観察日記(2019/02/26)

WOWHoneypot

ハニーポット「WOWHoneypot」で2019/02/26 (火) 00:00~23:59 UTC(運用54日目)に取得したログの簡易分析です。

3日ぶりにZmEuによるスキャンを観測しました。

概況

• 集計期間 : 2019/02/26 (火) 00:00~23:59 UTC
• 総アクセス件数 : 42 件(前日比 +16 件)
  • トップページへのアクセス : 27 件
  • ZmEuによるスキャン : 13 件
    • ZmEuによるスキャンの開始の合図 : 1 件
    • ZmEuによるphpMyAdminの探査 : 12 件
  • phpMyAdminの探査(ZmEuによるスキャン以外) : 1 件
  • 不明 : 1 件
• ユニークIPアドレス件数 : 30 件 (前日比 +5 件)
• アクセス元の国数 : 20 カ国 (前日比 +8 カ国)

国別のアクセス件数

国別のアクセス件数は以下の通りです。

順位	国名	件数	前日の順位	前日の件数	件数差	備考
1.	South Korea	13	-	0	+13	-
2.	Brazil	7	1.	6	+1	-
3.	United States	4	2.	5	-1	-
4.	India	2	3.	3	-1	-
5.	Malawi	1	-	0	+1	-
6.	Cambodia	1	-	0	+1	-
7.	Singapore	1	-	0	+1	-
8.	Honduras	1	-	0	+1	-
9.	Russia	1	4.	2	-1	-
10.	Indonesia	1	-	0	+1	-
11.	France	1	5.	2	-1	-
12.	Poland	1	-	0	+1	-
13.	Greece	1	-	0	+1	-
14.	Japan	1	-	0	+1	-
15.	Spain	1	-	0	+1	-
16.	Pakistan	1	-	0	+1	-
17.	Italy	1	-	0	+1	-
18.	Romania	1	7.	1	+-0	-
19.	Taiwan	1	11.	1	+-0	-
20.	Ukraine	1	9.	1	+-0	-

アクセス先

• 2019/02/23以来、3日ぶりにZmEuによるスキャンを観測しました。
  • 件数は13件で、User-AgentはZmEuでした。
• 2日連続でZGrabによるスキャンを観測しました。
  • 件数は2件で、User-AgentはMozilla/5.0 zgrab/0.xでした。
• 3日連続でMASSCANによるスキャンを観測しました。
  • 件数は1件で、User-Agentはmasscan/1.0 (https://github.com/robertdavidgraham/masscan)でした。

意図が不明なアクセス

意図が不明なアクセスが1件ありました。

HTTPリクエストは以下の通りです。

GET /handle_load_config.php HTTP/1.1
Host: xxx.xxx.xxx.xxx
User-Agent: Mozilla/5.0 zgrab/0.x
Accept: */*
Accept-Encoding: gzip

handle_load_config.phpというパスで検索した結果、トレントサイトが出てきました。
トレントと何か関連があるんでしょうか。

アクセス先一覧

アクセス先の一覧は以下の通りです。

順位	備考	アクセス先	件数	前日の順位	前日の件数	件数差
1.	トップページへのアクセス	GET / HTTP/1.1	25	1.	20	+5
2.	トップページへのアクセス	GET / HTTP/1.0	2	2.	4	-2
3.	ZmEuによるスキャンの開始の合図	GET /w00tw00t.at.blackhats.romanian.anti-sec:) HTTP/1.1	1	-	0	+1
4.	phpMyAdminの探査(ZmEuによるスキャン)	GET /phpMyAdmin/scripts/setup.php HTTP/1.1	1	-	0	+1
5.	phpMyAdminの探査(ZmEuによるスキャン)	GET /phpmyadmin/scripts/setup.php HTTP/1.1	1	-	0	+1
6.	phpMyAdminの探査(ZmEuによるスキャン)	GET /pma/scripts/setup.php HTTP/1.1	1	-	0	+1
7.	phpMyAdminの探査(ZmEuによるスキャン)	GET /myadmin/scripts/setup.php HTTP/1.1	1	-	0	+1
8.	phpMyAdminの探査(ZmEuによるスキャン)	GET /MyAdmin/scripts/setup.php HTTP/1.1	1	-	0	+1
9.	phpMyAdminの探査(ZmEuによるスキャン)	GET /mysqladmin/scripts/setup.php HTTP/1.1	1	-	0	+1
10.	phpMyAdminの探査(ZmEuによるスキャン)	GET /dbadmin/scripts/setup.php HTTP/1.1	1	-	0	+1
11.	phpMyAdminの探査(ZmEuによるスキャン)	GET /admin/phpmyadmin/scripts/setup.php HTTP/1.1	1	-	0	+1
12.	phpMyAdminの探査(ZmEuによるスキャン)	GET /db/scripts/setup.php HTTP/1.1	1	-	0	+1
13.	phpMyAdminの探査(ZmEuによるスキャン)	GET /php-my-admin/scripts/setup.php HTTP/1.1	1	-	0	+1
14.	phpMyAdminの探査(ZmEuによるスキャン)	GET /web/phpMyAdmin/scripts/setup.php HTTP/1.1	1	-	0	+1
15.	phpMyAdminの探査(ZmEuによるスキャン)	GET /websql/scripts/setup.php HTTP/1.1	1	-	0	+1
16.	不明	GET /handle_load_config.php HTTP/1.1	1	-	0	+1
17.	phpMyAdminの探査	GET /mysql/admin/index.php?lang=en HTTP/1.1	1	-	0	+1

WOWHoneypotで取得したログの簡易分析は以上です。