はじめに

NICTER プロジェクトのダークネット観測網における 2026 年第 2 四半期（4 月～6 月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・4 月中旬頃から，non-mirai{6036 6037 9100 17000 17001}/TCP 宛てのスキャンを行うホスト数急増を観測（最大約 11 万ホスト，JA4T フィンガープリントが「65535_2-4-8-1-3_*」）

・4 月下旬から 5 月中旬にかけて，telnet サービスを狙ったボットの増加を観測（最大約 70 万ホスト，JA4T フィンガープリントが「65535_2-4-8-1-3_*」）

・cPanel & WHM の脆弱性（CVE-2026-41940）公表を受けて, cPanel & WHM を探索する通信の増加を観測

・cPanel & WHM の脆弱性（CVE-2026-41940）が悪用されて Mirai に感染したクラウドホスティングサーバからの telnetサービスを狙った大規模なスキャンパケットを観測し，23/TCP 宛てのパケットが全体の約 37.4% に増加

・83 の組織から調査スキャンを観測（新規 1 組織を含む），調査スキャンは全体の約 55.7 %

以下，詳細についてデータと共に説明します．

概要

フィッシングによる実社会への脅威は深刻化しており、フィッシングサイトを早期に発見・対策するための手法が求められています。

本稿では、NICTのライブネット（職員が業務で利用する機構内ネットワーク）を対象に、同環境に到達したフィッシングURLについて、その背後に存在するインフラストラクチャを分析することで、「フィッシングの予測可能性」について調査しました。

2026年1月13日に RondoDox について報告しましたが ¹、実質的に暗号通貨 Monero のマイニングに特化していたため、当時は DDoS 機能については触れませんでした。他の IoT マルウェア同様に本体には DDoS 機能が実装されていますが、マイニングツールをダウンロードして起動した後は、DDoS 攻撃はほとんど観測されず、C2との接続を維持するために keepalive コマンドを定期的に繰り返すだけでした。しかし、5月になり、NICT サイバー脅威分析室は、RondoDox が DDoS 攻撃を開始したことを確認しました。2025年7月の大規模なエクスプロイトから約10ヶ月も経っていました。

On January 13 2026, we have only reported that the RondoDox is mining Monero ¹ though it has the ability of DDoS attack like the other IoT botnets. The reason we didn’t report about the DDoS attack functionality was that the malware itself was only keeping a connection with the command and control (C2) server by repeating keepalive commands except a few DDoS attack trials while the downloaded mining tool was running separately for a long time. About 10 months after the massive exploitation in July 2025, NICT Cyber Threat analysis Office has identidied that the RondoDox C2 began to send the DDoS attack commands in May 2026.

はじめに

7-Zip のインストーラを騙って感染ホストをプロキシ化するキャンペーンが報告されており^{1 2}，このキャンペーンで使用されたマルウェアのPDB (Program Database)パスの共通性やバイナリの類似度から他の偽インストーラやVPNアプリといった類似のキャンペーンが複数存在することが明らかにされています³．

はじめに

NICTER プロジェクトのダークネット観測網における 2026 年第 1 四半期（1 月～3 月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・今四半期の観測パケット数は前四半期から約 29% 増加（調査スキャンの影響）

・1 月上旬頃から，telnet サービスを狙った IoT ボットの急増を観測（最大約 80 万ホスト/日）

・83 の組織から調査スキャンを観測（新規 9 組織を含む），調査スキャンは全体の約 67.7 %

・AI サービスエンドポイントを探索する通信の増加，探索対象の多様化を観測

以下，詳細についてデータと共に説明します．

今年の3月に検出したマルウェアの中に、AISURU と全く同じ暗号アルゴリズムを使う検体が見つかりました。このマルウェアの感染活動は現在まで継続しており、最新版の Command and Control (C2) サーバの名前解決には、Ethereum Name Service (ENS)と Solana Name Service (SNS)が併用されています。C2 サーバからは800件/日以上のペースで現在も活発な DDoS 攻撃コマンドが送信されています。

はじめに

NICTER プロジェクトのダークネット観測網における 2025 年第 4 四半期（10月～12月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・今四半期の観測パケット数は前四半期からやや減少

・71 の組織から調査スキャンを観測（新規 1 組織を含む），調査スキャンは全体の約 56.4 %

・Web サービスや多様なポート番号宛てのスキャンが増加傾向

・React2Shell を悪用した攻撃を観測

以下，詳細についてデータと共に説明します．

1. 概要

• 既知の脆弱性（CVE-2024-3765）を悪用した攻撃が継続している Xiongmai DVR において、新たに Proxyware への感染事例を観測した。

• 当該事例では、従来の DDoS ボット化とは異なり、レジデンシャルプロキシ用途の Proxyware「PacketSDK」がインストールされ、実行されていた。

  [Read More]

概要

• ASUS 製の Wi-Fi ルーターには、ルーターに接続されたストレージを NAS として利用できる機能「AiCloud」が搭載されています。

• AiCloud には、認証バイパスの脆弱性（CVE-2025-2492）が存在します。本脆弱性は実際に攻撃者によって悪用されており、多数の ASUS 製ルーターがボットに感染していることが確認されています。

  [Read More]