前回の記事では、Hajime ボットの活動状況について、その動作の特徴や宛先ポートによる挙動の違いについて解説しました。本記事では Hajime と Mirai およびその亜種について、IIJ のマルウェア活動観測プロジェクト MITF のハニーポットにおいて観測した通信の推移について示します。 Hajime や Mirai など主に IoT 機器に感染するボットの多くは、感染活動を行う前にまずインターネット上に存在する IoT 機器のスキャンを行います。このときの通信は、ボットの種類によってそれぞれ異なる特徴を持っていることが解析結果からわかっています。Mirai およびその亜種の場合、スキャンのパケットにおける TCP の初期シーケンス番号と宛先 IP アドレスが同じになります。一方 Hajime の場合には、TCP の初期シーケンス番号の上 16bit もしくは下 16bit の値が
![Hajime, Miraiによる通信の推移 – IIJ Security Diary](https://cdn-ak-scissors.b.st-hatena.com/image/square/02c1d39478620eb3a4aed068a9b05216cd222b30/height=288;version=1;width=512/https%3A%2F%2Fsect.iij.ad.jp%2Fwp-content%2Fuploads%2F2021%2F03%2FHajime_1704-1708-500x250.png)