WOWHoneypot

ハニーポット「WOWHoneypot」で2019/03/13 (水) 00:00~23:59 UTC(運用69日目)に取得したログの簡易分析です。

トップページへのアクセスの中に、User-Agentが「User-Agent: Z」となっているものがありました。しかし、アクセスの意図は分かりませんでした。

概況

集計期間 : 2019/03/13 (水) 00:00~23:59 UTC
総アクセス件数 : 37 件(前日比 -3 件)
- トップページへのアクセス : 34 件
- phpMyAdminの探査 : 1 件
- WebShellの探査 : 1 件
- 不明 : 1 件
ユニークIPアドレス件数 : 36 件 (前日比 +7 件)
アクセス元の国数 : 21 カ国 (前日比 +5 カ国)

国別のアクセス件数は以下の通りです。

順位	国名	件数	前日の順位	前日の件数	件数差	備考
1.	Brazil	10	3.	4	+6	-
2.	United States	4	2.	4	+-0	-
3.	Turkey	3	12.	1	+2	-
4.	India	2	7.	2	+-0	-
5.	Thailand	2	5.	2	+-0	-
6.	Iraq	1	-	0	+1	-
7.	Honduras	1	-	0	+1	-
8.	Russia	1	4.	3	-2	-
9.	Portugal	1	-	0	+1	-
10.	Pakistan	1	-	0	+1	-
11.	Canada	1	-	0	+1	-
12.	South Korea	1	-	0	+1	-
13.	China	1	13.	1	+-0	-
14.	Poland	1	-	0	+1	-
15.	Palestine	1	-	0	+1	-
16.	St Kitts and Nevis	1	-	0	+1	-
17.	Colombia	1	-	0	+1	-
18.	Italy	1	11.	1	+-0	-
19.	Taiwan	1	-	0	+1	-
20.	Romania	1	-	0	+1	-
21.	Argentina	1	-	0	+1	-

探査系は、WebShellの探査とphpMyAdminの探査が1件ずつあるだけでした。
今回初めて観測したものは、User-AgentがUser-Agent: Zとなっているトップページへのアクセスです。
- このUser-Agentについて調べましたが、これといった情報は見つかりませんでした。
- 送信元IPアドレスをAbuseIPDBで調べると、2019/03/12以降、レポートが50件ほど急増していました。
  - 大半のレポートのカテゴリが「ポートスキャン」でした。
  - レポートの中に今回と同様のアクセスと思われるものが1件だけありました。

アクセス先の一覧は以下の通りです。

順位	備考	アクセス先	件数	前日の順位	前日の件数	件数差
1.	トップページへのアクセス	GET / HTTP/1.1	29	1.	29	+-0
2.	トップページへのアクセス	GET / HTTP/1.0	5	3.	2	+3
3.	不明	GET /moo HTTP/1.1	1	-	0	+1
4.	phpMyAdminの探査	GET /mysql/admin/index.php?lang=en HTTP/1.1	1	-	0	+1
5.	WebShellの探査	GET /acadmin.php HTTP/1.1	1	-	0	+1

WOWHoneypotで取得したログの簡易分析は以上です。