中国系JDYボットネットが1,500台超に拡大、米軍ネットワークへの偵察を強化

「うちのルーターやネットワークカメラが、知らないうちに偵察に使われてないか心配でしゅ……」
「攻撃でも止められてもいないのに、静かに狙われてるって、どう気づけばいいんでしゅか？」

チップス

古いネットワーク機器、社内にまだ残ってるでしゅ……これって踏み台にされちゃうんでしゅか？

ボス

ふふふ、いい着眼点だな。今回の事案は「攻撃の前段階」で動く偵察ボットネットだ。手口を知れば、自社の盲点が見えてくるぞ。

本記事では、中国系のJDYボットネットが1,500台超に拡大した経緯と、その偵察手口、企業が押さえておくべき備えを整理します。

読み終える頃には、見落としがちな古い機器こそが侵入の起点になる理由と、その潰し方が手に入ります。

JDYボットネット拡大の中身

まずはBleepingComputerが報じた事実関係を整理します。

650台から1,500台超へ、SOHO・IoT機器を束ねる隠密ネットワーク

JDYは中国系の国家支援アクターに結びつく隠密ボットネットで、Black Lotus Labsの調査では米軍および関連組織が最も顕著な標的とされています。
規模は2024年1月時点で約650台でしたが、現在は1,500台を超えるSOHO・IoT機器まで拡大しました。
構成されているのはCisco、Araknis、Mimosa Networks、Ubiquiti、DrayTek、Hikvision、Linksysといった機器で、MIPS/MIPS64/MIPSEL系のアーキテクチャを狙っています。
標的地域は米国が最多で、Volt Typhoonなど他の中国系アクターとの関連も指摘されており、単発の悪戯では片づけられない動きです。

事案の主要な数値とポイントは以下のとおりです。

チップス

機器を乗っ取って攻撃じゃなくて、まず「下調べ」をしてるってことでしゅか？

ボス

そこが今回の肝だな。派手な破壊はしない。だからこそ気づかれにくい。静かに地図を描かれていると思え。

攻撃者の偵察手口と備え

JDYの本質は、侵入そのものではなく「侵入の前段階」を産業化している点にあります。

公開直後の脆弱な基盤を洗い出す「産業化された偵察」

JDYはエクスプロイトやDDoSのフレームワークではなく、サービス探索・バナーグラビング・脆弱性に着目したスキャンを大量にこなす偵察ネットワークです。
公開直後でまだパッチが当たっていない脆弱な基盤を素早く洗い出す動きで、攻撃の下準備を効率化しています。
Dragosの調査では、エネルギー・石油・ガス・防衛セクターの公開IP範囲やVPN機器のスキャンに使われ、将来の侵入の事前準備(pre-staging)とみられるとされます。
日本を含むインド太平洋地域も関心対象とされており、海外の話と切り離せない状況です。

自社で押さえておきたい備えをまとめると次のとおりです。

偵察は「攻撃される前」に静かに進むため、機器の棚卸しと露出の点検を平時から回しておくことが効きます。

チップス

古い機器、便利だからって置きっぱなしにしてたでしゅ……これから棚卸ししましゅ！

ボス

その姿勢でいい。今回の事案を社内説明の材料にすれば、放置されてきた機器の更新も通しやすくなるぞ。

まとめ：偵察される前提で機器の露出を絞る

JDYボットネットは、攻撃でもDDoSでもなく「偵察」に特化することで気づかれにくく、約2年で2倍以上に規模を伸ばしました。
狙われるのはサポート切れのSOHO・IoT機器で、エネルギーや防衛など重要セクターの公開基盤が下調べの対象になっています。
機器の棚卸し、ファーム更新、公開サービスの露出点検、外部スキャンの監視を組み合わせ、偵察される前提で守りを固めることが現実的な一手です。
こうした基盤防御やインシデント対応の現場で力をつけたい方は、ぜひセキュリティフリーランス案件で多様な環境を経験してみてください。

参考: BleepingComputer「China-linked JDY botnet expands targeting of U.S. military networks」