wizSafe Security Signal 2025年1月観測レポート

本レポートでは、2025年1月中に発生した観測情報と事案についてまとめています。

▼サマリ
・DDoS攻撃
今回の対象期間でIIJが検出したDDoS攻撃の総攻撃検出件数は329件であり、1日あたりの平均件数は10.61件でした。期間中に観測された最も規模の大きな攻撃では、最大で約245万ppsのパケットによって21.11Gbpsの通信が発生しました。
この攻撃は主にTCP PSH/ACK Floodによるものでした。また、当月最も長く継続した攻撃は7時間にわたるもので、最大で13.03Gbpsの通信が発生しました。この攻撃はUDP Floodによるものでした。

1月のDDoS攻撃観測情報
- 総検出件数　329件（1日あたり平均10.61件）
- 最大規模　　約245万ppsのパケットによって21.11Gbpsの通信が発生
- 最長攻撃　　およそ7時間にわたって攻撃が継続

ご参考：12月のDDoS攻撃観測情報
- 総検出件数　219件（1日あたり平均7.06件）
- 最大規模　　約332万ppsのパケットによって12.12Gbpsの通信が発生
- 最長攻撃　　およそ2時間3分にわたって攻撃が継続

・IPS（IIJサービスで検出した不正アクセス通信）
対象期間に最も多く検出したのは、Microsoft Windows Internet Connection Sharing
Denial of Serviceで全体の15.33%を占めました。当該シグネチャでは、WindowsのInternet Connection Sharingサービスの不備からDoS攻撃に悪用できる特徴を持った通信を検出しています。当月は前月と同様に、月初の6日前後に当該シグネチャを多く検出しました。

・Webアクセス時におけるマルウェア検出
対象期間に最も多く検出したのは、HEUR:Trojan.Script.Genericであり、全体に占める割合は87.04%でした。当該シグネチャでは、前月に引き続きParrot TDSの特徴を持ったJavaScriptファイルや、Windowsのサポート詐欺に利用されたページを多く検出しています。Windowsのサポート詐欺に利用されたページへのアクセスは、前月と同様にWeb広告からのリダイレクトにより発生しています。

・メール受信時におけるマルウェア検出
対象期間に最も多く検出したのは、HEUR:Trojan.Win32.Genericであり、全体の検出数
の29.49%を占めています。これは、Windows 7などの32ビットアプリケーションの実行をサポートするWindows OSをターゲットとしたトロイの木馬ウイルスの検出を示します。次点に多く検出したのは、HEUR:Hoax.Script.Scaremailであり、全体の検出数の20.15%を占めています。これは支払いを強要するメッセージを含むメールの検知を示します。

DDoS攻撃の観測情報

本項では、IIJサービスやバックボーンなどでIIJが対処したDDoS攻撃のうち、IIJ DDoSプロテクションサービスで検出した当月中の攻撃を取りまとめました。

攻撃の検出件数

対象期間において、DDoS攻撃の検出件数を以下に示します。

今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は329件であり、1日あたりの平均件数は10.61件でした。期間中に観測された最も規模の大きな攻撃では、最大で約245万ppsのパケットによって21.11Gbpsの通信が発生しました。この攻撃は主にTCP PSH/ACK Floodによるものでした。また、当月最も長く継続した攻撃は7時間にわたるもので、最大で13.03Gbpsの通信が発生しました。この攻撃はUDP Floodによるものでした。

不正アクセス通信の観測情報

本項では、IIJサービスで検出した当月中の不正アクセス通信を取りまとめました。

IPS機器における攻撃検出

対象期間における、正規化した攻撃検出件数と攻撃種別トップ10の割合を以下に示します。攻撃検出件数の正規化は、対象期間において最も多く攻撃を検出した日付の件数を1としています。また、当月から集計対象とするシグネチャの一部を変更しており、グラフについても積み上げ棒グラフを面グラフへ変更しています。

今回の対象期間において最も多く検出したのは、Microsoft Windows Internet Connection Sharing Denial of Serviceで全体の15.33%を占めました。当該シグネチャでは、WindowsのInternet Connection Sharingサービスの不備からDoS攻撃に悪用できる特徴を持った通信を検出しています。当月は前月と同様に、月初の6日前後に当該シグネチャを多く検出しました。

2番目に多く検出したのはRealtek Jungle SDK Command Injection Vulnerability (CVE-2021-35394)で、全体の13.06%を占めました。当該シグネチャでは、Realtek Jungle SDKにおいてリモートコード実行につながる脆弱性を悪用する通信を検出しています。観測した通信の多くは、マルウェア配布サーバからスクリプトをダウンロードして実行を試みることでMiraiファミリのマルウェアへの感染を狙ったものでした。