お久しぶりです。しばらくサボっていました。先週の状況を簡単にまとめます。(サボってたので先々週分とかはないです)

全体

f:id:thinline196:20181217002702p:plain

気になるのは香港のグラフですね。

香港からtelnet(23)

f:id:thinline196:20181217004554p:plain CVE-2015-7755。Juniper ScreenOS の脆弱性でTELNETセッション中に不特定のパスワードを入力することによって管理者アクセス権を取得できるそう。送信元は前者が223.197.136[.]59で18364アクセス、後者が219.76.242[.]60で21313アクセス。

2018/12/11ごろからSMTPポート25への継続アクセス

f:id:thinline196:20181217005205p:plain 見にくいですが、12/11ごろから大陸棚のようにグラフに出てます。国別に見てみますと、　　

f:id:thinline196:20181217005503p:plain ブラジル、中国、アメリカ、台湾、イタリアが筆頭です。送信元IPもバラバラです。何かのキャンペーンでしょうか？プロトコルとしてはSMTPで、Mailoneyでの観測。今これを書いている日曜夜現在も攻撃が続いているので、ちょっと注目するべきですね。 f:id:thinline196:20181217012436p:plain 上位３つが関係していそうです。下で紹介しているブログさんの通り、私の観測でも、HELO mailserver, AUTH LOGINの後にQUITが順番にきています。接続してログイン要求を確認して、接続解除していました。