にじさん

GMO関連事件の攻撃者特定に資する識別子一覧をここに記す。 @m_kumagai 認可済み調査の公開情報・アーカイブ・メタデータから抽出。各項目に発見経緯と照会時の有用性を併記。 最優先照会対象はNamecheap同一アカウント・***.154.***.***（QAリグ機）・WPS ICVの3点。法執行機関照会で契約者情報やアカウント紐付けが期待できる。 1. レジストラ・ホスティング照会キー 両ドメインのNamecheap同一アカウント管理 WHOISとclientHold適用時刻比較で確認。coronamng.stor（18:35:56.859Z）と designbuilder.stor（18:36:02.859Z）が6秒差で同時clientHold。同一管理口への一括処理と判定。登録日時は2026-08-31 15:26:04Zおよび2026-08-27。 Namecheap照会で契約者情報・決済記録・管理履歴が取得可能。 ホスティングサーバ DNS照会・サーバ応答からserver**-*.web-hosting.com（***.54.***.**）およびserver***-*（***.54.***.***）を特定。cPanelアカウント・サーバログの照会対象。 SPFによるメール経路直結 DNS TXTから+ip4:198.**.114.** +ip4:198.**.114.**を確認。ドメイン発メールのReceivedヘッダとcPanelアカウントを直結可能。 2. ISP照会キー 時刻換算の信頼性 PHP時刻がUTC+7であることはWaybackクローラのタイムスタンプとの秒単位突合（15/15一致）で確定。活動窓の時刻精度を保証。 *06.154.***.***（auひかり / KDDI）— QAリグ機 visits.log解析で10/23 15:55:03–18:50:09 JSTに39バーストの体系的試験を確認。他の14IPは単発poke中心なのに対し、本IPは39バースト・Battery構成・ページ変体カバレッジ・対話的調整痕が揃い、運営者作業環境としての確度は85–90%。KDDI照会で契約者情報取得可能。 *10.168.***.**（KDDI/DION）、*53.207.**.**（OCN・大阪中央エリアの可能性）、*26.217.***.*（SoftBank BBTEC） trackerを直接弄った行動を確認。確度は20–30%。*53.207.**.**はFQDNから大阪中央収容局エリア在住の可能性。補助的照会対象。 訪問者ハッシュ式 sha256(IP|'change-this-salt-please')[:16]で計算。全4,259行で検算一致。将来のハッシュからIPへの逆算を可能にする。 3. 文書・コードの作者指紋 WPS ICV 3点 accounts.xlsx / accounts-2.xlsx / accounts-3.xlsxのdocProps/custom.xmlから抽出。 AA00************_** BAA4************_** 2E61************_** 同一ICVの別文書は同一作成者の決定的な照合キー。 creator "Logitech" およびWPS環境 ビルドは1033-**.*.*.*****（en-US配布国際版）。UI言語は簡体字（「工作表」ラベル）、wps.cn名前空間使用。FATコンテナで直接保存。 "Logitech"はWindowsアカウント名またはWPS昵称の可能性。username再利用の照合キーとして使用可能。WPSアカウント由来ならKingsoft照会でメール・電話・接続IP・保存文書一覧が取得可能な第4の照会先。 track.phpの実装癖 salt文字列のデフォルト放置、bot判定regexの語彙、strict_types / flock / prune / rotate構成、「自分の確認用」コメントを確認。同型トラッカー検出に使用可能。 抽出ツール書式 CLIENT PC DRIVE EXTRACTIONヘッダ、INFO_send/<FDC>/INFO.txt配置、C:\ProgramData\USOShared\RdTmp\Extracted_<PC>出力先、UTF-8 BOM、[FILE]/[DIR]/[Total:]書式。他インシデントの漏洩物との同一ツール照合に使用可能。 QAリグの行動シグネチャ 5分間隔cron、Battery構成（HeadlessChrome/**×* + Wget/*.*.*×* + Chrome/**×*）、/ と /index.phpのページ変体カバレッジ、対話的な調整痕を確認。他作戦での同rig検出に使用可能。 文面指紋および作譜癖 固有句（「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」等）およびCSS/HTMLの作譜癖（Hiragino先頭フォントスタック、二言語セクション区切り、CSS変数不使用の平書き、推敲草稿の残存）を確認。全文一致検索で別名義の過去・未来の犯行を接続可能。 4. 所在・環境シグナル 日本の個人消費者回線からの接続 visits.logのIPをPTR/JPNICで照会。auひかり / DION / OCN大阪中央 / SoftBank BBTECからの物理接続を確認。OCN 1件は大阪中央エリア在住の可能性まで局所化。 時計の三重構造 .well-knownファイルのmtimeと証明書発行時刻の突合、Waybackクローラとの照合でOS時計≒UTC−4（推定・強）、PHP=UTC+7（実測）、表示=JSTを確定。+7の慣習はsamples.zip梱包Linux機とサーバPHP設定の両方で反復。環境文化の証拠。 作成環境 xlsxメタデータから簡体字UIのWPS + $会計形式を確認。「海外環境で日本業務」の作成環境を示唆。 入口および横展開 攻撃者自身の記述（compromise(or purchase)、「VPSを契約すればいいだけ」）およびrdp-02スクリーンショット・net localgroup引用から、正規契約VPSの購入を入口とし、fcwsus経由・dc\ops共有認証による横展開を確認。 5. 集団規模に関する評価 同日に複数の作業環境・デバイスが並行稼働（Windows/"Logitech"機による台帳作成、UTC+7 Linux機によるsamples.zip梱包、auひかりLinux機によるQA、その他Win/Edge・Mac・Androidからのアクセス）。役割分業の痕跡から構成員2〜4名規模と推定。同一人物が複数環境を操作していた可能性も完全には排除できない。 6. 誤認防止リスト テスタ3IP（*10.168.***.** / *53.207.**.** / *26.217.***.*） visits.logの全数解析でtrackerを弄ったIPは14に上ることが判明。当初3IPと過小評価していたが訂正。全国および海外VPNに分散するpoke行動の一部である可能性が高く、確度は15–25%に下方修正。 *20.146.***.***（UA偽装Headless・ASAHI動的回線） 国内の追跡者/有志の可能性が高いと判定。 ChatGPT-User / Claude-User / AguseScan / urlscan等 AIエージェント・スキャナ・群衆による観測であり、攻撃者ではないことを確認。 以上が発見経緯と照会時の有用性を併記した識別子一覧。各項目は公開情報・アーカイブ・メタデータの範囲で確認されており、法執行機関による照会時の根拠として使用可能である。 これが自分の限界でした、既出であったらすみません。 正確・詳細なデータはGMO Cybercrime Bountyにて提供致します。 #gmo不正アクセス