警察庁定点観測、Printer Job Language 標的とした探索行為再び増加ほか

警察庁は3月5日、脆弱性が存在する複数のIoT機器を標的としたアクセスの増加等についてレポートを発表した。

本レポートでは、「脆弱性が存在する複数のIoT機器を標的としたアクセスの増加」「PJL（Printer Job Language）に対応した機器を標的としたアクセスの増加」「NoSQL データベース『Redis』を標的としたアクセスの増加」について、それぞれ調査結果と対策についてまとめている。

脆弱性が存在する複数のIoT機器を標的としたアクセスの増加について、警察庁のインターネット定点観測で、2020年11月下旬頃より宛先ポート 37215/TCP、同12月中旬頃より宛先ポート 52869/TCPに対するアクセスの増加を確認、これらのアクセスは宛先IPアドレスとTCPシーケンス番号の初期値が一致するMiraiボットの特徴を有している。

観測した宛先ポート 37215/TCP に対するアクセスの多くは、外部サーバから不正プログラムのダウンロード及び実行を試みるもので、Huawei社製ルータ「HG532シリーズ」に存在する脆弱性（CVE-2017-17215）を標的としたものであった。また、宛先ポート52869/TCPに対するアクセスの多くは、細工されたSOAPリクエストになっており、外部のWebサイトからファイルをダウンロードするコマンド等が挿入されており、Realtek 社提供のSDK を使用して製造された特定のルータに存在する脆弱性を悪用したものと考えられる。

PJL（Printer Job Language）に対応した機器を標的としたアクセスの増加について、2020年1月中旬から観測されているPJL（Printer Job Language）を標的とした探索行為と推測されるアクセスが、2021年1月6日頃から再び増加、観測したアクセスは、プリンタ等の情報を要求するものや設定の変更を試みるものであった。

PJLの使用で、プリンタのジョブ追加、キューの削除、印刷用紙の設定等が行えるが、IPA（情報処理推進機構）の報告書によると、PJLを悪用することで、プリンタの設定や印刷したデータ等の不正取得、プリンタ内に記録されているデータ改ざんが可能であると指摘されている。

NoSQL データベース「Redis」を標的としたアクセスの増加について、2020年10月頃から NoSQL データベース「Redis」で使用される宛先ポート 6379/TCP に対し、バージョン情報等を取得する「info」コマンドを含むアクセスの増加を確認、その他にも宛先ポート 6379/TCP に対するアクセスにて、任意のコマンドの実行を意図したアクセスを観測している。