Silent PushのTraffic Originは、脅威アクターの真の発信国を特定するのに役立つ洞察を明らかにします。これは、防御側が通常は得られない可視性です。当社は独自のグローバル観測ネットワークを用いてトラフィックシグナルを分析し、プラットフォームがIPアドレスに関連する国 を特定できるようにしています。これにより、プロキシサーバーが置かれている場所ではなく、トラフィックの真の 物理的な起点が明らかになります。
Traffic Originは、企業が世界中の脅威アクターを即座に見抜くために利用できる重要なエンリッチメント機能を提供し、悪意ある行動に光を当てます。たとえば、北朝鮮のIT労働者がレジデンシャルプロキシを使って実際の物理的位置を隠しながら不正な雇用を得ようとするケースなどです。顧客はTraffic Originを用いて従業員ログインを自動評価し、IPアドレスが想定外の場所や懸念国からのトラフィックを隠蔽している場合を特定することもできます。
Traffic Originは、当社独自のレジデンシャルプロキシデータを補完します。このデータは、数千万規模のレジデンシャルプロキシIPとそのサービスプロバイダーを特定します。これら2つのソリューションを組み合わせることで、顧客は無害なレジデンシャルIPと、世界的に犯罪用途でレンタルされているIPとを区別できます。
Silent Pushの先制型サイバー防衛チームは、顧客向けに新たな洞察や調査機会を見つけるため、Traffic Originのデータセットを定期的に分析しています。こうした機会がどのようなものになり得るかを読者により理解していただくため、低品質な中国の仮想プライベートネットワーク（VPN）プロバイダーに関連する一連のIPとドメインを調査した例を以下で共有します。
ロシア、中国、ミャンマー、イラン、ベネズエラのデバイスで使用されている謎の中国製VPN
当社のTraffic Originデータの中で、IPアドレス205.198.91[.]155は、ロシア、中国、ミャンマー、イラン、ベネズエラのデバイスを含むという、起点トラフィックの独特な内訳により際立っています。IPアドレスがこれらの場所でのみ観測されるのは極めて異例です。
同じIPアドレスをさらに調べると、当社のPADNSデータでは、2025年11月以降にそれへマッピングされているドメインはlvcha[.]inのみであり、トラフィックがこのドメインに関連している可能性を示唆しています。
当社のTotal Viewでlvcha[.]inを詳しく見ると、このドメインは2024年3月にNameSiloで登録され、中国語のVPNをホストしているように見えます。
LVCHA VPNのWebサイトにアクセスすると、既定言語が中国語（標準中国語）であり、サイトがAndroid APK（Android Package Kit）のみを直接サイドロードでダウンロード提供していることが分かります。つまり、Google Playストアを完全に回避しています。
以下は、サイトを英語に翻訳したもの（下図）です。目立つ、そして一見不正確な免責事項に注目してください：「このアプリはGoogleのセキュリティ認証に合格しています。安心してインストールしてご利用ください。」
このVPNアプリとドメインが予期しないTraffic Originデータと整合しているため、当社のWeb Searchデータで収集された数十の検索可能なメタデータフィールドを使って、ドメインをさらに調査できます。
同じVPNを宣伝する、より大きな不審ドメイン群へピボットできるフィールドをいくつか迅速に特定しました。
これらのピボットを提供するフィールドの一部は次のとおりです：
- body_analysis.js_ssdeep – 類似スクリプトを検出するためのJavaScriptコンテンツのファジーハッシュ（ssdeep）。
- datasource = [“webscan”] AND body_analysis.js_ssdeep = “24:toiwDsbneK8Ki3vr5y7zrlqCWJTI/Rk m5vY50lCvbHOPQ/:5wDrK8Ksr5y7zrlqCWJTL EWvbuPQ/”
- body_analysis.telegram – ページから取得したTelegramアカウントURL
- datasource = [“webscan”] AND body_analysis.telegram = “https://t.me/lvchavpn”
- favicon_md5 – faviconバイナリのMD5ハッシュ
- datasource = [“webscan”] AND favicon_md5 = “994dfe8573747f2b90e4d32b5ae07fc6”
Silent PushのWeb Search（Community Edition）を使って上記のいずれかのクエリを実行すると、同一のクローン化されたVPNコンテンツを掲載するドメインが約50件返ってきます：
- lcabc[.]icu
- lcapi[.]shop
- lcapp[.]bar
- lcapp[.]bond
- lcapp[.]cfd
- lcapp[.]cyou
- lcapp[.]icu
- lcapp[.]my
- lcapp[.]qpon
- lcapp[.]sbs
- lcapp[.]shop
- lcapp[.]xyz
- lcpro[.]bar
- lcpro[.]bond
- lcpro[.]cc
- lcpro[.]cfd
- lcpro[.]cyou
- lcpro[.]icu
- lcpro[.]qpon
- lcpro[.]sbs
- lcpro[.]shop
- lcpro[.]top
- lcpro[.]vip
- lcvpn[.]bond
- lcvpn[.]cc
- lcvpn[.]cfd
- lcvpn[.]cyou
- lcvpn[.]qpon
- lcvpn[.]sbs
- lcvpn[.]shop
- lcvpn[.]top
- lcvpn[.]xyz
- loopvpn[.]org
- lvcha[.]in
- lvcha[.]org
- lvcha[.]qpon
- lvcha[.]sbs
- lvcha[.]store
- lvchaapp[.]bond
- lvchaapp[.]cc
- lvchaapp[.]cyou
- lvchaapp[.]icu
- lvchaapp[.]pw
- lvchaapp[.]site
- lvchaapp[.]store
- lvchaapp[.]vip
- lvchavpn[.]bond
- lvchavpn[.]cfd
- lvchavpn[.]one
不審なダウンロードや製品をこれほど多くのドメインで宣伝するキャンペーンを目にする場合、運用者が配布促進を狙う地域の国レベルのファイアウォールを回避するために、ドメインをローテーションしている可能性を示します。このプロセスは、権威主義的な技術的ドメイン／IPブロッキングシステムである中国のグレート・ファイアウォールを回避しようとするキャンペーンで一般的に観測されます。この仕組みはロシア、イラン、ミャンマー、ベネズエラでも複製されており、いずれもこの特定のVPNプロバイダーへのTraffic Origin接続で確認された国々です。
元のWebサイトからLVCHA VPNのHTMLタイトル、favicon、またはTelegram URLを再利用していたWeb Search結果を調査する中で、コンテンツが205.198.91[.]136でもホストされていることが判明しました。これは前述のASNに属するIPアドレスです。
当社のレジデンシャルプロキシデータベースでこのIPアドレスを詳しく分析すると、レジデンシャルプロキシプロバイダー「Asocks proxies」（asocks[.]com）によって使用されていることが分かります。Traffic Originデータは先のIPアドレスで見た内容と整合しており、わずかな違いとしてウクライナでのヒットもあります。
IPアドレス205.198.91[.]136のTraffic Originデータは、以下に示すとおり、ロシア占領下のウクライナ東部で使用されていることを確認しています。
このVPNに関連するIPアドレスで最後に強調しておきたいのが194.147.16[.]244です。これはAS48266に属し、catixs[.]comが所有する英国のネットワークです。本稿執筆時点（2026年1月）で、このIPアドレスはLVCHA VPNと同じコンテンツをホストしており、当社のTotal View概要で以下のとおり確認できます。
このIPアドレスは、以前に見られたのと同じ国々（ロシア、中国、イラン、ミャンマー）の多くからTraffic Originデータに出現しています。トラフィックには日本での単発ヒット、バングラデシュでの複数ヒット、カザフスタン—キルギス国境沿いの大きなクラスター、ジョージアでの追加ヒット、そしてロシア西部のウクライナ国境付近に新たなクラスターも含まれます。
この地図をズームすると、ロシアのモスクワでこのIPアドレスが大量に使用されていることが強調されます。
不審な接続が組織に影響する前に阻止する
国内の身元情報やクリーンなレジデンシャルIPを数ドルで借りられる時代において、信頼は負債になり得ます。正確なコンプライアンスには、単にパスポートを確認する以上のことが必要です。接続が物理面と技術面の両方でどのように振る舞うかを検証する必要があります。上流の起点を特定する能力がなければ、防御態勢は受け身のままで不完全です。既存の防御をすり抜ける前に、プロの詐欺師や「見えない内部者」を遮断するための重要な時間的猶予を失うリスクがあります。
Traffic Originは、KYC（Know Your Customer）、AML（Anti-Money Laundering）、および不正対策のワークフローが、デジタル上の欺瞞ではなく技術的な真実に基づくことを保証するために必要な可視性を提供し、組織を保護できます。
国家支援アクターが盗まれた身元情報や偽装された位置情報を使用する場合、身元調査だけでは組織を守るのに不十分です。リモート従業員が申告どおりの場所に物理的に所在していることを検証することが不可欠です。
Silent Push Traffic Originは、工作員が真の所在地を隠すために用いる欺瞞的なネットワーク経路を暴きます。国家支援グループが従来のジオフェンシングを回避するために利用するレジデンシャルプロキシや不審な接続パターンを見つけ出し、攻撃が発生する前に高リスクのインフラや個人をフラグ付けできるよう支援します。
Traffic Originについてさらに詳しく知りたいですか？
先制型サイバー防衛の専門家チームにご連絡いただき、Traffic OriginおよびSilent Push Enterprise Editionプラットフォームの概要をご確認ください。
特定のユースケースに合わせたウォークスルーに加え、連携やAPI機能に関する洞察も提供し、侵害される前に無力化する方法をご案内します。
翻訳元: https://www.silentpush.com/blog/traffic-origin-chinese-vpn/
