Pinned Tweet
フォロワー募集してみる👀✨
知り合いがやってて面白そうだったのでやってみる😂
初めての試みだ！✨
はじめまして？こんにちは。
azuと言います。
デザイナーを個人でやってます。直請メインです。下請けほとんどしてません(今ひょんなことで知り合った大好きな制作会社さん一件のみです)。
デザイナーはじめて四半世紀が経ちました😶はやいです。
その前は漫画家になりかけて編集さんとあれやこれややってましたが震災でデビューどころじゃなくなり筆を置きました。
京都精華大学のマンガ学科教授アシスタントしたり、漫画家集団のアシスタントしたこともあったりします。
紆余曲折中デザイナーなる手前に無職になった際に声優学校の社長に助けてもらい一時、声優の卵をすると言う無謀体験もあります😂
その後、パソコンが出来る理由からデザイン業界に誘われこの道に。
でも根っからの商人だった私に制作だけで納得しろ、が無理で当時まだ名前もついていないwebへ転身し、ITベンチャー側から色々やります。
この時にサーバ側、解析、アフィリエイト他web媒体商売に必要な知識を吸い取ります😂
のち、大手に拾ってもらい楽しみます。EC shop確立し認められた直後に寿退社になり…嫁ぎ先の静岡に当時web会社もデザイン会社もほとんどなく。3社の社長に背中を押され💧個人をする羽目になり…今に至ります。
現在はサービスデザイナーとしての活動が増えています。レクチャーも基本1on1でやってます。
たまに集会や勉強会座談会開いたり、学校や企業様の前で説明や登壇したりしてます。
結婚後は主婦業6：仕事4で活動することを念頭に育児とデザイン業両立をしています。
結果、ノンストレスなライフスタイルが出来上がってしまいました。
この垢は、そんなデザインしながら育児も楽しむazuというオールラウンダーデザイナーの雑談垢ですが、フォローしてくださる心優しい方(うちのフォロワーさん素敵な人ばっかなのです)
よければよろしくお願いします🙇♀️
…こんな感じか？👀どうですかね？👀💦
AZuʕ•ᴥ•ʔ retweeted
【注意喚起】
2026年10月30日、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するJPCET/CCの注意喚起の件に関連して、オランダの国家サイバーセキュリティセンター（NCSC-NL）が本脆弱性の影響を受ける可能性がある製品一覧や対策情報などをまとめたリポジトリーを公開しています。
AZuʕ•ᴥ•ʔ retweeted
【更新】PHPの複数の脆弱性（PHP2Shell）に関する注意喚起を更新。あるファイアウォール製品で侵害の成功を示唆する痕跡を確認したと報告されています。引き続き、本脆弱性の対処に関しては利用製品への影響を確認し、速やかな対策と侵害調査をお願いします。
jpcert.or.jp/at/2026/at26003…
AZuʕ•ᴥ•ʔ retweeted
‼️ Weaponized Claude Code Extension Gives Hackers Persistent Remote Access to Developer Systems
Details: cybersecuritynews.com/malici…
A weaponized Claude Code extension found on Open VSX can give attackers persistent remote access to developer systems by planting an SSH key, opening a reverse tunnel, and installing startup scripts.
The tampered package identified as anthropic.claude-code version 2.1.313. The analyzed sample targeted macOS on Apple Silicon. However, its injected code also contained Linux and Windows branches.
Crucially, the findings confirm a malicious artifact, not a proven compromise of Anthropic’s official Visual Studio Marketplace release or its wider distribution systems. How the package was altered remains unknown.
#CybersecurityNews
AZuʕ•ᴥ•ʔ retweeted
エックスサーバー、メールアドレス45万9,679件が情報漏洩-ブラストメールへの不正アクセスで氏名38万件超も流出
rocket-boys.co.jp/security-m…
#セキュリティ対策Lab #security #securitynews #セキュリティ #セキュリティニュース
AZuʕ•ᴥ•ʔ retweeted
いつもご愛顧ありがとうございます。
今日は、『海潮音』などの作品で有名な歌人上田敏の生まれた日です。
さて、かぴばら書店は明日（10/31）も営業いたします。(朝 9:30～11:00)
どうぞよろしくお願いいたします。
@takahashikoichi
AZuʕ•ᴥ•ʔ retweeted
‼️ Hackers Chain PHP2Shell and Linux Kernel Exploits to Gain Root Access on 25 Servers
Details: cybersecuritynews.com/php2sh…
Hackers combined PHP2Shell vulnerabilities with a Linux kernel exploit to gain root access on 25 servers across the United States, Japan, Taiwan, and South Korea, including three systems in a US government-affiliated environment. Dream researchers uncovered the campaign’s files on October 25, revealing a path from exposed firewall management interfaces to internal Active Directory services.
The attack paired PHP2Shell, tracked as CVE-2026-109618 and CVE-2026-109619, with Fragnesia, a Linux kernel privilege escalation flaw tracked as CVE-2026-46300.
Dream described the PHP2Shell code as a custom, nonpublic implementation tailored to the targeted firewall platform, rather than a copy of a known public exploit. The full chain reportedly installed a root webshell in under 15 minutes.
#cybersecuritynews
AZuʕ•ᴥ•ʔ retweeted
‼️ Linux kernel TCP flaw rated 9.8 CVSS.
Anthropic demonstrated an exploit that runs commands as root on servers using MPTCP.
Ubuntu and RHEL still lack fixes, while Debian, Oracle and others have released patches for some versions.
Details: thehackernews.com/2026/10/li…
AZuʕ•ᴥ•ʔ retweeted
【Linuxカーネルに深刻度9.8（最大級）の脆弱性。WSL2とDockerの人はapt upgradeじゃ直りません】
脆弱性の対応、日々お疲れ様です
Chromeに続いて、さらに来ました。今度はLinuxです
ただ今回は「全員今すぐ」の話ではないので、先に落ち着いて読んでください
少し長いですが詳しくまとめたので、自分の環境の見出しだけでも読んでもらえると嬉しいです
何の話か
CVE-2026-98432というLinuxカーネルのバグです（10月15日公開）
先日書いたChromeの大量修正にも関わっている、Anthropicの10月27日の発表（Claudeの未公開モデルが見つけた穴）
その中のLinuxの1本です
2015年から入っていたバグなので、現役のLinuxはほぼ全部該当します
CVEの記録上のスコアは10点満点の9.8です
中身
外から細工した接続要求を送りつけられるだけで、ログインも要らずに起きます
接続要求の処理が別のCPUで同時に走った時に、消したはずのメモリを読みに行くバグで、起きた時に一番ありそうなのはサーバーごと落ちる（クラッシュ）です
IPv4の話で、IPv6は今回のバグの対象外です
条件が揃えば外からrootでコマンドを実行できるところまでAnthropicは実証したと発表しています
ただ報道によるとその条件は「Multipath TCPで待ち受けているサーバー」で、これは複数回線を束ねる拡張で、アプリ側で明示的に使う設定が要るものです
普通の設定のWebサーバーがそのまま当てはまるかは、まだ分かりません
対象は、外に向けて待ち受けているサービスがある機械です
Webだけでなく、SSHの22番を開けているだけで該当するので、開発用のVPSもほぼ全部です
逆に、外に向けて何も待ち受けていない機械には刺さる場所がありません
AndroidやNAS、ルーター、ラズパイも中身はLinuxですが、考え方は同じで、外に待ち受けを開けていなければ急ぎではなく、修正はメーカー待ちです
温度感は配布元で割れています
UbuntuはHigh
Red Hatは現実的な被害は落ちるまでという見方でModerate、修正は今後の更新に回しています
悪用された報告は今のところ見当たりません
なので「全員今すぐ」ではなく、自分がどのケースか見て、出た修正を当てる、で十分かなと思います
クラウドやVPSで公開サーバーを動かしている人
配布元の修正が出たら当てて、再起動（カーネルは再起動して初めて効きます）
Debianはもう出ています（12は6.1.190、13は6.12.113）
Ubuntuは10月30日時点でも22.04、24.04とも作業中で、今apt upgradeしても当たるものはまだありません
出た時の番号は24.04が6.8.0-149、22.04が5.15.0-203の予定なので、uname -rがそれ以上になれば修正済みです
20.04以前は通常サポートが終わっているので、修正が来るとしてもUbuntu Pro（個人なら5台まで無料）に入っている人だけです
Amazon Linux 2023は6.12系と6.18系のカーネルは修正済み、標準の6.1系とAmazon Linux 2はまだです
Red Hat系（RHEL、AlmaLinux、Rocky）は配布元の判断で修正が後になるので、下のつなぎで待つ形です
修正が来るまでのつなぎ
公式の回避策は、UbuntuもRed HatもSUSEも出していません
その上で、仕組みから言えることが2つあります
1つ目は露出を減らすこと
SSHや管理画面は接続元を自分のIPに絞る
CloudflareやALBのような前段を挟む場合は、本体側で前段のIP以外を遮断して初めて意味があります（NLBのようにL4で素通しするタイプは別）
2つ目はIPオプションを落とすこと
バグが触るのは接続要求に付いていたIPオプションのメモリなので、IPオプション付きのTCPパケットを手前で落とせば、理屈上はこの経路に入りません（nftablesならip hdrlength > 5を条件にdrop）
TCPだけに絞るのは、他のプロトコルには正規で付くことがあるからです
ufwのような簡易ツールでは書けないので、nftablesかiptablesを直接触れる人向けで、自分の環境で試してからにしてください
有償のライブパッチ（KernelCareなど）はDebian 13向けが先に出ています
Ubuntu ProのLivepatchは確認できていません
WSL2の人
カーネルはUbuntuの中ではなく、Microsoftが配っています
ここがややこしいのですが、Ubuntuの中でapt upgradeしても、カーネルは1ミリも変わりません
更新はPowerShellでwsl --update（かWindows Update）
そのあとwsl --shutdownで一度止めると、次の起動から新しいカーネルになります
Microsoftは修正入りのカーネル（6.18.58.1）をここ数日で公開していますが、wsl --updateで降ってくる版に入ったかはまだ確認できていません
WSLの中でuname -rを打って、6.18.56以上なら修正済み、今配られている6.18.33系や、古いままの6.6系・5.15系なら未修正です
（WSL1はLinuxカーネルを使っていないので関係ありません）
Dockerの人
コンテナはホストのカーネルをそのまま使うので、コンテナの中で更新しても意味がありません
LinuxのサーバーならホストのOSを更新
WindowsのDocker Desktopは標準のWSL2バックエンドならWSL2のカーネルで動いているので、上と同じwsl --update
MacのDocker Desktopは自前のカーネルなので、Docker Desktop本体の更新です（修正入りの版が出たかは未確認）
OrbStackやColima、Rancher Desktopも同じで、VMのカーネルを配っているのが誰かで決まります
Hyper-VやVirtualBox、VMwareの仮想マシンの人
これだけはゲストの中でapt upgradeで合っています（配布元の修正が出てから）
自分のカーネルの番号はuname -rで出ます
修正済みは5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10以上です
ただしこれは、WSL2やArch、Amazon Linuxのように上流の番号をそのまま使っている環境向けの目安です
Ubuntu、Debian、Red Hat系は番号の付け方が違って上の番号とは比べられないので、配布元の案内（Ubuntuは上に書いた予定の番号）で見てください
自宅のWSL2や仮想マシンは、外から直接つながる構成（ブリッジ接続やポート開放）にしていなければ急ぎではありません
ただ「apt upgradeしたから安心」は間違いなので、そこだけ覚えておいてください
AZuʕ•ᴥ•ʔ retweeted
contactform7.com/2026/10/29/…
Contact Form 7 6.2.4
This is a security fix. Update ASAP.
AZuʕ•ᴥ•ʔ retweeted
🚨 BREAKING: A serious security flaw has been exposed in phpMyAdmin, potentially allowing attackers to BYPASS two-factor authentication and gain access to entire databases.
Security researcher Abraxas Labs has published a proof of concept demonstrating a HIGH-severity vulnerability in phpMyAdmin 5.2.3, rated 8.1/10 by the researcher.
The problem? The affected WebAuthn authentication system checks almost everything EXCEPT the cryptographic signature proving the user actually possesses their security key.
Here’s what’s happening:
→ An attacker obtains a valid MySQL username and password.
→ phpMyAdmin requests a second authentication factor, normally a hardware security key or passkey.
→ The vulnerable code accepts a specially constructed authentication response without verifying its cryptographic signature.
→ The attacker bypasses 2FA and gains database access with the compromised user’s privileges.
→ Sensitive records could be stolen, altered, or deleted.
⚠️ The worst part? This defeats the exact protection two-factor authentication is supposed to provide when passwords are compromised.
The vulnerability affects installations using phpMyAdmin’s fallback WebAuthn implementation, including the configuration identified in the default 5.2.3 distribution.
As of October 27, no CVE or corresponding vendor security advisory was found.
Website owners and administrators should review their phpMyAdmin installations, restrict public access, and ensure WebAuthn signatures are properly verified.
🔒 Not sure whether your infrastructure is vulnerable? We’re offering FREE security reviews at lucidsecurity.si
🔗 Research and proof of concept:
github.com/abraxas/PMA-5.2.3…
AZuʕ•ᴥ•ʔ retweeted
GMO関連事件の攻撃者特定に資する識別子一覧をここに記す。
@m_kumagai
認可済み調査の公開情報・アーカイブ・メタデータから抽出。各項目に発見経緯と照会時の有用性を併記。
最優先照会対象はNamecheap同一アカウント・***.154.***.***（QAリグ機）・WPS ICVの3点。法執行機関照会で契約者情報やアカウント紐付けが期待できる。
1. レジストラ・ホスティング照会キー
両ドメインのNamecheap同一アカウント管理
WHOISとclientHold適用時刻比較で確認。coronamng.stor（18:35:56.859Z）と
designbuilder.stor（18:36:02.859Z）が6秒差で同時clientHold。同一管理口への一括処理と判定。登録日時は2026-08-31 15:26:04Zおよび2026-08-27。
Namecheap照会で契約者情報・決済記録・管理履歴が取得可能。
ホスティングサーバ
DNS照会・サーバ応答からserver**-*.web-hosting.com（***.54.***.**）およびserver***-*（***.54.***.***）を特定。cPanelアカウント・サーバログの照会対象。
SPFによるメール経路直結
DNS TXTから+ip4:198.**.114.** +ip4:198.**.114.**を確認。ドメイン発メールのReceivedヘッダとcPanelアカウントを直結可能。
2. ISP照会キー
時刻換算の信頼性
PHP時刻がUTC+7であることはWaybackクローラのタイムスタンプとの秒単位突合（15/15一致）で確定。活動窓の時刻精度を保証。
*06.154.***.***（auひかり / KDDI）— QAリグ機
visits.log解析で10/23 15:55:03–18:50:09 JSTに39バーストの体系的試験を確認。他の14IPは単発poke中心なのに対し、本IPは39バースト・Battery構成・ページ変体カバレッジ・対話的調整痕が揃い、運営者作業環境としての確度は85–90%。KDDI照会で契約者情報取得可能。
*10.168.***.**（KDDI/DION）、*53.207.**.**（OCN・大阪中央エリアの可能性）、*26.217.***.*（SoftBank BBTEC）
trackerを直接弄った行動を確認。確度は20–30%。*53.207.**.**はFQDNから大阪中央収容局エリア在住の可能性。補助的照会対象。
訪問者ハッシュ式
sha256(IP|'change-this-salt-please')[:16]で計算。全4,259行で検算一致。将来のハッシュからIPへの逆算を可能にする。
3. 文書・コードの作者指紋
WPS ICV 3点
accounts.xlsx / accounts-2.xlsx / accounts-3.xlsxのdocProps/custom.xmlから抽出。
AA00************_**
BAA4************_**
2E61************_**
同一ICVの別文書は同一作成者の決定的な照合キー。
creator "Logitech" およびWPS環境
ビルドは1033-**.*.*.*****（en-US配布国際版）。UI言語は簡体字（「工作表」ラベル）、wps.cn名前空間使用。FATコンテナで直接保存。
"Logitech"はWindowsアカウント名またはWPS昵称の可能性。username再利用の照合キーとして使用可能。WPSアカウント由来ならKingsoft照会でメール・電話・接続IP・保存文書一覧が取得可能な第4の照会先。
track.phpの実装癖
salt文字列のデフォルト放置、bot判定regexの語彙、strict_types / flock / prune / rotate構成、「自分の確認用」コメントを確認。同型トラッカー検出に使用可能。
抽出ツール書式
CLIENT PC DRIVE EXTRACTIONヘッダ、INFO_send/<FDC>/INFO.txt配置、C:\ProgramData\USOShared\RdTmp\Extracted_<PC>出力先、UTF-8 BOM、[FILE]/[DIR]/[Total:]書式。他インシデントの漏洩物との同一ツール照合に使用可能。
QAリグの行動シグネチャ
5分間隔cron、Battery構成（HeadlessChrome/**×* + Wget/*.*.*×* + Chrome/**×*）、/ と /index.phpのページ変体カバレッジ、対話的な調整痕を確認。他作戦での同rig検出に使用可能。
文面指紋および作譜癖
固有句（「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」等）およびCSS/HTMLの作譜癖（Hiragino先頭フォントスタック、二言語セクション区切り、CSS変数不使用の平書き、推敲草稿の残存）を確認。全文一致検索で別名義の過去・未来の犯行を接続可能。
4. 所在・環境シグナル
日本の個人消費者回線からの接続
visits.logのIPをPTR/JPNICで照会。auひかり / DION / OCN大阪中央 / SoftBank BBTECからの物理接続を確認。OCN 1件は大阪中央エリア在住の可能性まで局所化。
時計の三重構造
.well-knownファイルのmtimeと証明書発行時刻の突合、Waybackクローラとの照合でOS時計≒UTC−4（推定・強）、PHP=UTC+7（実測）、表示=JSTを確定。+7の慣習はsamples.zip梱包Linux機とサーバPHP設定の両方で反復。環境文化の証拠。
作成環境
xlsxメタデータから簡体字UIのWPS + $会計形式を確認。「海外環境で日本業務」の作成環境を示唆。
入口および横展開
攻撃者自身の記述（compromise(or purchase)、「VPSを契約すればいいだけ」）およびrdp-02スクリーンショット・net localgroup引用から、正規契約VPSの購入を入口とし、fcwsus経由・dc\ops共有認証による横展開を確認。
5. 集団規模に関する評価
同日に複数の作業環境・デバイスが並行稼働（Windows/"Logitech"機による台帳作成、UTC+7 Linux機によるsamples.zip梱包、auひかりLinux機によるQA、その他Win/Edge・Mac・Androidからのアクセス）。役割分業の痕跡から構成員2〜4名規模と推定。同一人物が複数環境を操作していた可能性も完全には排除できない。
6. 誤認防止リスト
テスタ3IP（*10.168.***.** / *53.207.**.** / *26.217.***.*）
visits.logの全数解析でtrackerを弄ったIPは14に上ることが判明。当初3IPと過小評価していたが訂正。全国および海外VPNに分散するpoke行動の一部である可能性が高く、確度は15–25%に下方修正。
*20.146.***.***（UA偽装Headless・ASAHI動的回線）
国内の追跡者/有志の可能性が高いと判定。
ChatGPT-User / Claude-User / AguseScan / urlscan等
AIエージェント・スキャナ・群衆による観測であり、攻撃者ではないことを確認。
以上が発見経緯と照会時の有用性を併記した識別子一覧。各項目は公開情報・アーカイブ・メタデータの範囲で確認されており、法執行機関による照会時の根拠として使用可能である。
これが自分の限界でした、既出であったらすみません。
正確・詳細なデータはGMO Cybercrime Bountyにて提供致します。
#gmo不正アクセス
AZuʕ•ᴥ•ʔ retweeted
🚨 Palo Alto Networks confirms active attacks exploiting PHP2Shell flaws in internet-exposed PAN-OS management interfaces.
The flaws allow unauthenticated remote code execution. Multiple PAN-OS versions are affected, with some fixes still pending.
Read ↓ thehackernews.com/2026/10/at…
AZuʕ•ᴥ•ʔ retweeted
【ニュースブログ更新】WordPress 7.1.4
このリリースではセキュリティを含む複数の問題が修正されています。サイトをできるだけ早く更新してください。 自動バックグラウンド更新を有効にしている場合は、更新プロセスが自動的に始まります。
ja.wordpress.org/2026/10/29/…
#wordpressjp #WordPress
AZuʕ•ᴥ•ʔ retweeted
膨大な開発コストをかけつつもぜんぜん売れてない VK Booking Manager Pro ですがめげずに怒涛のアップデートを続けています！
いや、うん、相当幅広い料金・予約形体に対応できるようになってますよ。
近年心配される個人情報も一定期間で自動削除する機能もつけました🙂
VK Booking Manager Pro 3.6.0 の変更点について
✅ 外部予約サイトの iCal を取り込み、予約済み期間を自動でブロック（Pro 版のみ）
✅ 宿泊施設での ◯人以上はお一人◯◯◯◯円 に対応
✅ 終了した予約の個人情報を一括・自動で匿名化
✅ 親が子供の予約をとったりする場合用にサブユーザー機能を追加
ほか全26件
vektor-inc.co.jp/product-upd…
AZuʕ•ᴥ•ʔ retweeted
🚨 BREAKING: WordPress just patched 22 security vulnerabilities, including a flaw that could allow REMOTE CODE EXECUTION.
WordPress 7.1.4 was released TODAY, and administrators are being urged to update immediately.
Here’s what was discovered:
→ Remote Code Execution (RCE): A race condition during WordPress updates could allow attackers to execute code during the upgrade window.
→ Multiple Stored XSS Vulnerabilities: Flaws affecting WordPress blocks, the Interactivity API, and administrative features.
→ Unauthenticated Information Disclosure: Attackers could access unpublished Customizer changes without logging in.
→ Denial of Service: A vulnerability in the Interactivity API could disrupt site availability.
→ AI-Discovered Vulnerabilities: Anthropic researchers contributed findings, including security issues involving personal data removal requests and user accounts.
⚠️ ACTION REQUIRED: Update to WordPress 7.1.4 or the appropriate patched version for your branch. Verify that automatic updates actually completed.
Running WordPress? Lucid Security is offering free website security assessments to help identify potential exposure.
🌐 lucidsecurity.si
Source: wordpress.org/news/2026/10/w…
🤖 Made with AI
撮り過ぎだわ。カメラ用のカバーつけるだな、こりゃな、なんて場合か、か。いやはや。
BREAKING: Claude Code found 14,219 photos of my face on my Android that I never took. Phone was secretly taking them almost every time I picked it up. Even when I was just lying in bed. Even at home.
Not screenshots. Real frames from the front camera. On the train. In the car. At home. When I just grabbed it to check the time.
They were just sitting in a system cache. Timestamps and GPS on them. Nothing in Gallery. Nothing in Recently Deleted.
Plugged the phone into my laptop, made a full backup, told Claude Code to look for any front-camera files that weren’t in my photos. It pulled /data/system/users/0/faceunlock/cache and another folder inside Google Play Services. Over 14 thousand files. Normal ones and infrared from Face Unlock. Every single one had time and location.
Started scrolling. Almost everything from the last 15 months. Then I saw a file created 2 seconds ago. I was still looking at the folder. Phone kept taking photos while I was reading this.
Google and the phone makers say Face Unlock turns everything into a mathematical model and deletes the image right away. On this phone the raw frames were just sitting there. Some of the processes writing to that folder were from system diagnostics. Couple of old apps that still had camera permission could also get in.
Turned off diagnostics, revoked camera access from everything that doesn’t need it, cleared the cache. But how many of these frames already went somewhere else, I don’t know.
If you want to check yours, plug it in, make a full backup or use ADB, and ask Claude to look for front-camera files outside your Gallery. Path above is where mine were.
AZuʕ•ᴥ•ʔ retweeted
GMOのクラッカーが大阪在住説。
金より承認欲求を優先して手掛かりを増やしてるから、大阪の若者でGMOのサービス契約者とだんだん絞られて来てる模様。
GMO関連事件の攻撃者特定に資する識別子一覧をここに記す。
@m_kumagai
認可済み調査の公開情報・アーカイブ・メタデータから抽出。各項目に発見経緯と照会時の有用性を併記。
最優先照会対象はNamecheap同一アカウント・***.154.***.***（QAリグ機）・WPS ICVの3点。法執行機関照会で契約者情報やアカウント紐付けが期待できる。
1. レジストラ・ホスティング照会キー
両ドメインのNamecheap同一アカウント管理
WHOISとclientHold適用時刻比較で確認。coronamng.stor（18:35:56.859Z）と
designbuilder.stor（18:36:02.859Z）が6秒差で同時clientHold。同一管理口への一括処理と判定。登録日時は2026-08-31 15:26:04Zおよび2026-08-27。
Namecheap照会で契約者情報・決済記録・管理履歴が取得可能。
ホスティングサーバ
DNS照会・サーバ応答からserver**-*.web-hosting.com（***.54.***.**）およびserver***-*（***.54.***.***）を特定。cPanelアカウント・サーバログの照会対象。
SPFによるメール経路直結
DNS TXTから+ip4:198.**.114.** +ip4:198.**.114.**を確認。ドメイン発メールのReceivedヘッダとcPanelアカウントを直結可能。
2. ISP照会キー
時刻換算の信頼性
PHP時刻がUTC+7であることはWaybackクローラのタイムスタンプとの秒単位突合（15/15一致）で確定。活動窓の時刻精度を保証。
*06.154.***.***（auひかり / KDDI）— QAリグ機
visits.log解析で10/23 15:55:03–18:50:09 JSTに39バーストの体系的試験を確認。他の14IPは単発poke中心なのに対し、本IPは39バースト・Battery構成・ページ変体カバレッジ・対話的調整痕が揃い、運営者作業環境としての確度は85–90%。KDDI照会で契約者情報取得可能。
*10.168.***.**（KDDI/DION）、*53.207.**.**（OCN・大阪中央エリアの可能性）、*26.217.***.*（SoftBank BBTEC）
trackerを直接弄った行動を確認。確度は20–30%。*53.207.**.**はFQDNから大阪中央収容局エリア在住の可能性。補助的照会対象。
訪問者ハッシュ式
sha256(IP|'change-this-salt-please')[:16]で計算。全4,259行で検算一致。将来のハッシュからIPへの逆算を可能にする。
3. 文書・コードの作者指紋
WPS ICV 3点
accounts.xlsx / accounts-2.xlsx / accounts-3.xlsxのdocProps/custom.xmlから抽出。
AA00************_**
BAA4************_**
2E61************_**
同一ICVの別文書は同一作成者の決定的な照合キー。
creator "Logitech" およびWPS環境
ビルドは1033-**.*.*.*****（en-US配布国際版）。UI言語は簡体字（「工作表」ラベル）、wps.cn名前空間使用。FATコンテナで直接保存。
"Logitech"はWindowsアカウント名またはWPS昵称の可能性。username再利用の照合キーとして使用可能。WPSアカウント由来ならKingsoft照会でメール・電話・接続IP・保存文書一覧が取得可能な第4の照会先。
track.phpの実装癖
salt文字列のデフォルト放置、bot判定regexの語彙、strict_types / flock / prune / rotate構成、「自分の確認用」コメントを確認。同型トラッカー検出に使用可能。
抽出ツール書式
CLIENT PC DRIVE EXTRACTIONヘッダ、INFO_send/<FDC>/INFO.txt配置、C:\ProgramData\USOShared\RdTmp\Extracted_<PC>出力先、UTF-8 BOM、[FILE]/[DIR]/[Total:]書式。他インシデントの漏洩物との同一ツール照合に使用可能。
QAリグの行動シグネチャ
5分間隔cron、Battery構成（HeadlessChrome/**×* + Wget/*.*.*×* + Chrome/**×*）、/ と /index.phpのページ変体カバレッジ、対話的な調整痕を確認。他作戦での同rig検出に使用可能。
文面指紋および作譜癖
固有句（「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」等）およびCSS/HTMLの作譜癖（Hiragino先頭フォントスタック、二言語セクション区切り、CSS変数不使用の平書き、推敲草稿の残存）を確認。全文一致検索で別名義の過去・未来の犯行を接続可能。
4. 所在・環境シグナル
日本の個人消費者回線からの接続
visits.logのIPをPTR/JPNICで照会。auひかり / DION / OCN大阪中央 / SoftBank BBTECからの物理接続を確認。OCN 1件は大阪中央エリア在住の可能性まで局所化。
時計の三重構造
.well-knownファイルのmtimeと証明書発行時刻の突合、Waybackクローラとの照合でOS時計≒UTC−4（推定・強）、PHP=UTC+7（実測）、表示=JSTを確定。+7の慣習はsamples.zip梱包Linux機とサーバPHP設定の両方で反復。環境文化の証拠。
作成環境
xlsxメタデータから簡体字UIのWPS + $会計形式を確認。「海外環境で日本業務」の作成環境を示唆。
入口および横展開
攻撃者自身の記述（compromise(or purchase)、「VPSを契約すればいいだけ」）およびrdp-02スクリーンショット・net localgroup引用から、正規契約VPSの購入を入口とし、fcwsus経由・dc\ops共有認証による横展開を確認。
5. 集団規模に関する評価
同日に複数の作業環境・デバイスが並行稼働（Windows/"Logitech"機による台帳作成、UTC+7 Linux機によるsamples.zip梱包、auひかりLinux機によるQA、その他Win/Edge・Mac・Androidからのアクセス）。役割分業の痕跡から構成員2〜4名規模と推定。同一人物が複数環境を操作していた可能性も完全には排除できない。
6. 誤認防止リスト
テスタ3IP（*10.168.***.** / *53.207.**.** / *26.217.***.*）
visits.logの全数解析でtrackerを弄ったIPは14に上ることが判明。当初3IPと過小評価していたが訂正。全国および海外VPNに分散するpoke行動の一部である可能性が高く、確度は15–25%に下方修正。
*20.146.***.***（UA偽装Headless・ASAHI動的回線）
国内の追跡者/有志の可能性が高いと判定。
ChatGPT-User / Claude-User / AguseScan / urlscan等
AIエージェント・スキャナ・群衆による観測であり、攻撃者ではないことを確認。
以上が発見経緯と照会時の有用性を併記した識別子一覧。各項目は公開情報・アーカイブ・メタデータの範囲で確認されており、法執行機関による照会時の根拠として使用可能である。
これが自分の限界でした、既出であったらすみません。
正確・詳細なデータはGMO Cybercrime Bountyにて提供致します。
#gmo不正アクセス