最近ハニーポットで観測された、ペイロード展開前に侵害先システムを見極める巧妙な偵察キャンペーンを受け、管理者は SSH設定を強化するよう呼びかけられています。
マルウェアを即座にインストールする典型的なブルートフォース攻撃とは異なり、今回の活動はより計算された手口を示しており、「ペイロードなし」の侵入であっても深刻な脅威として扱うべき理由を浮き彫りにしています。
この活動は2026年6月27日、Raspberry Pi 4上でCowrieを稼働させるDShieldハニーポットにおいて観測されました。IPアドレス91.92.40.13を発信元とする自動化ボットが、弱い認証情報(root / 123123)を使ってSSH経由のログインに成功しています。
マルウェアを展開する代わりに、ボットは短い一連の偵察コマンドを実行し、数秒以内に接続を切断しました。
SSHクライアントは自らを「SSH-2.0-Go」と識別しており、人間の操作ではなく自動化であることを示しています。実行されたコマンドは高度に構造化されており、システムリソースのプロファイリングに焦点を当てたものでした。
収集されたデータには、オペレーティングシステムの詳細、カーネルバージョン、CPUアーキテクチャ、コア数、CPUモデル、システムの稼働時間が含まれていました。
注目すべき点として、このボットはlspciを使ってNVIDIA GPUの有無を具体的に確認し、/proc/meminfoからシステムメモリの情報を解析して、ホストが1GBを超えるRAMを搭載しているかどうかを判定していました。
収集されたデータは、UNAME、ARCH、CPUS、CPU_MODEL、GPUといったラベル付きフィールドに整形されており、この情報が自動処理を目的としていたことがうかがえます。
続けて実行されたコマンドではsudo -Sを用いた権限昇格が試みられ、同じパスワードを再利用してroot権限を完全に取得できるかを確認していました。
こうした一連のチェックの組み合わせは、クリプトマイニングを目的としたトリアージ行動を強く示唆しています。無差別にシステムに感染するDDoSボットネットとは異なり、クリプトマイニングの運用者は高性能なマシンを優先的に狙います。
CPU、GPU、メモリのいずれかが不十分なシステムは無視されるため、この偵察フェーズは攻撃者の効率性にとって極めて重要な意味を持ちます。
今回のセッションではマルウェアは展開されなかったものの、その意味するところは重大です。この偵察優先型のアプローチは、多段階攻撃の初期フェーズに相当します。
対象システムに価値があると判断されれば、攻撃者は後日、カスタマイズしたペイロードを持って再びアクセスしてくるか、あるいは標的の情報を別のツールや実行者に引き渡す可能性があります。
同じハニーポットでは今月の初め、これとは別のSSHキャンペーンも記録されており、こちらはログイン後に ELFバイナリを複数のフォールバック手段(curl、wget、/dev/tcp)でダウンロードし、DDoSボットネットに参加するという、より伝統的なパターンをたどっていました。
インフラをローテーションさせていたにもかかわらず、このキャンペーンは一貫したHASSHフィンガープリントを維持しており、複数のセッションにまたがる相関分析が可能でした。
これに対し、偵察を行ったボットは異なるSSHクライアントとHASSH値(2ec37a7cc8daf20b10e1ad6221061ca5)を使用しており、両者が別々の脅威アクターであることが裏付けられています。
これは、単純なIPアドレスによる帰属特定を超えて、キャンペーンを識別・追跡する上でSSHフィンガープリンティングが重要であることを示しているとSANSは指摘しています。
セキュリティチームは、即座にペイロードの配信につながらないセッションについて、優先度を下げてしまいがちです。
しかし、今回の事案は、偵察のみの活動が早期警戒シグナルとして機能し得ることを示しています。このような挙動を見過ごすと、より深刻な侵入につながる準備段階を見逃すリスクがあります。
SOC調査の死角を減らし、脅威を早期に封じ込めることで、ANY.RUNを使って対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/disable-root-ssh-access/
