Censys「2025 State of the Internet Report」の公開

                 
  • 更新日：
    •              
  • 掲載日：
           目次
  1. 2025年のレポートから見えたサイバー脅威の最新動向
    1. 2024年に起きた大規模インシデント
    2. 国家レベルのマルウェア活動
    3. C2サーバ生存期間
    4. PolarEdgeボットネットとレジデンシャルプロキシ
    5. オープンディレクトリの寿命とリスク
    6. 結論：可視性こそ最大の防御

インターネット資産の探索・監視プラットフォームを提供するCensysは、2025年7月〜8月にかけて年次レポート「2025 State of the Internet Report」を公開しました。本レポートの完全版（PDF）はこちらからご覧いただけます。また、各調査結果の詳細は、以下のCensys Blog記事からWeb上でもご覧いただけます。

この年次レポートは、世界規模で観測された悪意あるインフラの動向を詳細に分析したもので、ランサムウェア攻撃、C2サーバの生存期間、ボットネットの拡大、オープンディレクトリの持続性など、幅広いテーマをカバーしています。

「攻撃者はどこから、どのように動いているのか？」その答えをデータから読み解くのが今回のレポートです。ここではレポートの要点のみを取り上げてみたいと思います。

2024年に起きた大規模インシデント

Cleoファイル転送ソフトの脆弱性悪用

2024年末、CL0PおよびTermiteといったランサムウェアグループが、Cleoのリモートコード実行脆弱性とファイルアップロード/ダウンロードの不備を悪用しました。

  • CL0Pは378組織を被害者として公表
  • Termiteは12件を主張

パッチ公開から実際の組織適用までの遅れが攻撃成功を許した典型的な事例です。

FortiOS / FortiProxyゼロデイ

同時期に発見されたゼロデイ脆弱性は、DragonForceランサムウェア攻撃に直結しました。
25万以上のIPをテストした形跡があり、最終的に31台のデバイスが侵害されました。オープンディレクトリから得られたアーティファクトが、攻撃の裏付けとなっています。

Operation Morpheus

2024年6月下旬に英国の国家犯罪対策庁（NCA）が主導した、海賊版の Cobalt Strike を止める国際的な作戦です。2023年にMicrosoft、Fortra、Health-ISACが裁判所の命令を得て進めた取り組みに続くものです。

  • 標的：690インスタンス
  • 撃破数：593（成功率85%）

国際的な協力が実際に成果を挙げた好例といえます。

国家レベルのマルウェア活動

Wainscotマルウェア

パキスタン系の攻撃グループStorm-0156が使うマルウェアです。ロシア系のAPT「Secret Blizzard（別名：Turla）」は、Storm-0156のC2基盤を乗っ取っていました。Censysはこの件を調べる中で、空いていたStorm-0156のC2ドメインを取得してシンクホールにし、パキスタンとの国境付近にあるインド国防義勇軍（Territorial Army）の部隊のものとみられる感染端末を見つけました。Censysは、インドのCERT-Inに通報しています。

  • 感染端末で動いていたのは、接続が途切れがちな環境からでもデータを自動で外部に送れるよう、Storm-0156が手を加えたとみられるWainscotの亜種です。

BeaverTail & InvisibleFerret

北朝鮮系グループが偽の求人情報を利用し、ソフトウェア開発者や求職者を標的化。

  • BeaverTail：Python製情報窃取マルウェア
  • InvisibleFerret：キーロギングとリモート操作を行うバックドア

2025年7月時点でも活動が続き、Cloudzy（VPSインフラ）上でホスティングされている点が確認されています。

C2サーバ生存期間

C2サーバの存続期間の長さは、防御側の対応速度を示す重要な指標です。

Cobalt Strike

  • 平均寿命：11.2日
  • 中央値：5日

→ 広く利用され検知が早い。短命だが攻撃数は多い。

Viper

  • 平均寿命：17.4日
  • 中央値：18.5日

→ 稼働が長く、しばしば見過ごされる傾向。

さらに、Cobalt Strikeでは埋め込まれたウォーターマークを用いた追跡により、ネットワーク寿命とコンテンツ寿命に差異があることも判明しました。

PolarEdgeボットネットとレジデンシャルプロキシ

【2026年10月追記】Censysは2025年9月に、この章の調査結果を訂正しました。PolarEdgeと結び付けていた証明書が、Mbed TLS の旧版に含まれる公開のテスト用証明書だと分かったためです。これにより、観測した感染台数（約4万台）や国別の分布をPolarEdgeのものとは言えなくなり、Censysは元の記事を取り下げました。現在のレポート（PDF）にも、これらの数値は載っていません。以下は訂正後の内容に合わせて書き直したものです。

PolarEdgeは、Sekoia社が報告したIoTボットネットです。Ciscoの企業向け機器から、ASUSのルーター、SynologyのNAS、IPカメラまでを乗っ取り、Mbed TLS をもとにした独自のバックドアで通信します。乗っ取った家庭用の機器を中継点（レジデンシャルプロキシ）に使うため、攻撃の通信が一般家庭のIPアドレスから届き、データセンターからの通信より見分けにくくなります。

【参考】レジデンシャルプロキシIPの特定・分析のためのソリューション例

オープンディレクトリの寿命とリスク

公開ファイルシステム「オープンディレクトリ」はしばしばマルウェアの配布源として悪用されます。

  • ネットワーク寿命（可視性ベース）：中央値1日
  • コンテンツ寿命（内容比較ベース）：中央値3日

表面的にはすぐ消えるように見えても、実際のファイルは長く残ることが多く、攻撃者が再利用する可能性が高いことが分かりました。

【参考】Censys Platformの新機能「Suspicious Directory」 にて、悪用の可能性が高いオープンディレクトリを効率的に調査することが可能になりました。

結論：可視性こそ最大の防御

今回のCensysレポートが示す共通テーマは以下のとおりです。

  • 攻撃インフラの寿命や稼働状況は一様ではない
  • レジデンシャルプロキシを用いた攻撃は、従来の検知をすり抜けるリスクがある
  • 国際的な協力による撲滅作戦は一定の効果を発揮している
  • そして何より、正確かつ最新のインターネット全体データが、防御の基盤になる

つまり、防御側が勝つためには、単にセキュリティ製品を導入するだけでは不十分です。
広範囲かつリアルタイムな可視化データを活用し、脅威の進化をいち早く捉えることが求められます。

今回の「The 2025 State of Internet Report」のフルーレポート（英語）はこちらにご覧いただけます。

Censysの導入相談は、下記よりお気軽にお問い合わせください。

TOP