2026年1月13日に RondoDox について報告しましたが ¹、実質的に暗号通貨 Monero のマイニングに特化していたため、当時は DDoS 機能については触れませんでした。他の IoT マルウェア同様に本体には DDoS 機能が実装されていますが、マイニングツールをダウンロードして起動した後は、DDoS 攻撃はほとんど観測されず、C2との接続を維持するために keepalive コマンドを定期的に繰り返すだけでした。しかし、5月になり、NICT サイバー脅威分析室は、RondoDox が DDoS 攻撃を開始したことを確認しました。2025年7月の大規模なエクスプロイトから約10ヶ月も経っていました。

On January 13 2026, we have only reported that the RondoDox is mining Monero ¹ though it has the ability of DDoS attack like the other IoT botnets. The reason we didn’t report about the DDoS attack functionality was that the malware itself was only keeping a connection with the command and control (C2) server by repeating keepalive commands except a few DDoS attack trials while the downloaded mining tool was running separately for a long time. About 10 months after the massive exploitation in July 2025, NICT Cyber Threat analysis Office has identidied that the RondoDox C2 began to send the DDoS attack commands in May 2026.

はじめに

7-Zip のインストーラを騙って感染ホストをプロキシ化するキャンペーンが報告されており^{1 2}，このキャンペーンで使用されたマルウェアのPDB (Program Database)パスの共通性やバイナリの類似度から他の偽インストーラやVPNアプリといった類似のキャンペーンが複数存在することが明らかにされています³．

はじめに

NICTER プロジェクトのダークネット観測網における 2026 年第 1 四半期（1 月～3 月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・今四半期の観測パケット数は前四半期から約 29% 増加（調査スキャンの影響）

・1 月上旬頃から，telnet サービスを狙った IoT ボットの急増を観測（最大約 80 万ホスト/日）

・83 の組織から調査スキャンを観測（新規 9 組織を含む），調査スキャンは全体の約 67.7 %

・AI サービスエンドポイントを探索する通信の増加，探索対象の多様化を観測

以下，詳細についてデータと共に説明します．

今年の3月に検出したマルウェアの中に、AISURU と全く同じ暗号アルゴリズムを使う検体が見つかりました。このマルウェアの感染活動は現在まで継続しており、最新版の Command and Control (C2) サーバの名前解決には、Ethereum Name Service (ENS)と Solana Name Service (SNS)が併用されています。C2 サーバからは800件/日以上のペースで現在も活発な DDoS 攻撃コマンドが送信されています。

はじめに

NICTER プロジェクトのダークネット観測網における 2025 年第 4 四半期（10月～12月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・今四半期の観測パケット数は前四半期からやや減少

・71 の組織から調査スキャンを観測（新規 1 組織を含む），調査スキャンは全体の約 56.4 %

・Web サービスや多様なポート番号宛てのスキャンが増加傾向

・React2Shell を悪用した攻撃を観測

以下，詳細についてデータと共に説明します．

1. 概要

• 既知の脆弱性（CVE-2024-3765）を悪用した攻撃が継続している Xiongmai DVR において、新たに Proxyware への感染事例を観測した。

• 当該事例では、従来の DDoS ボット化とは異なり、レジデンシャルプロキシ用途の Proxyware「PacketSDK」がインストールされ、実行されていた。

  [Read More]

概要

• ASUS 製の Wi-Fi ルーターには、ルーターに接続されたストレージを NAS として利用できる機能「AiCloud」が搭載されています。

• AiCloud には、認証バイパスの脆弱性（CVE-2025-2492）が存在します。本脆弱性は実際に攻撃者によって悪用されており、多数の ASUS 製ルーターがボットに感染していることが確認されています。

  [Read More]

2025年第3四半期にNICTERで観測されたRondoDoxの最新の動向を報告します。

マルウェアの更新

RondoDoxのC2通信仕様では、C2サーバから送ったシェルコマンドをマルウェアに実行させることが可能で、このコマンドによりマルウェアの更新が行われます。

はじめに

NICTER プロジェクトのダークネット観測網における 2025 年第 3 四半期（7月～9月）の観測結果を公開します．

今四半期の主な観測結果は以下の通りです．

・今四半期の観測パケット数は前四半期から増加

・MountBot の感染活動を観測　

・国内で DIGIEVER 社製の NVR の感染を観測

・78 の組織から調査スキャンを観測（新規 4 組織を含む），調査スキャンは全体の約 59.5 %

・23/TCP（telnet）以外にも多様なポート番号宛てのスキャンがおこなわれている傾向を確認

・多数の既知の脆弱性を悪用する RondoDox の感染活動を観測    

以下，詳細についてデータと共に説明します．