Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
本日24時間 (JST 2026-05-20) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 7件のセキュリティイベント (Critical: 1 / High: 3 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 463件 で前日比 -34% と減少していますが、攻撃の 質的変化 が顕著です。
主な観測事項は以下の通りです:
20.151.117.104 623件、20.226.60.108 623件、4.201.75.230 504件、20.104.75.194 431件など、5IPで2,200件以上のクラウドVM協調攻撃。/wp-login.php 総当たり 410件継続。前日からの攻撃継続。/about.php, /inputs.php, /as.php, /adminfuns.php, /sf.php など 20以上の異なるPHPパス を体系的にスキャン。すべての攻撃は WAF にて遮断されており、侵害の事実は確認されていません。攻撃者は クラウドVMをローテーションする戦術的洗練度 を見せており、ASN単位での対策強化を強く推奨します。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | Cloud VM Rotation | Coordinated Azure VM attack infrastructure | 2,200+ req · 5 IPs | Mitigated (ASN rule needed) |
SOC-INC-002 | HIGH | Credential Attack | wp-login.php brute force (sustained campaign day 3) | 410 blocks | Blocked (refine) |
SOC-INC-003 | HIGH | Webshell Hunting | PHP backdoor path diversification | 20+ paths · 200+ probes | Mitigated (rule needed) |
SOC-INC-004 | HIGH | Webshell Hunting | ALFA TeaM & SEO Theme RCE escalation | 19 req · +316% vs 5/19 | Blocked (formalize) |
SOC-INC-005 | MEDIUM | Information Disclosure | .env / .git / wp-config backup scan (diversified) | 13 blocks · 6 variants | Blocked (extend) |
SOC-INC-006 | MEDIUM | Subdomain Exposure | webdisk / cpcontacts / cpcalendars / webmail exposure | 88 req · 4 cPanel-style hosts | Recommendation |
SOC-INC-007 | LOW | Trend | Overall attack volume decrease (-34% WoW) | Information | Continue monitoring |
20.151.117.104 623件 / 20.226.60.108 623件 / 4.201.75.230 504件 / 20.104.75.194 431件 / 20.104.227.76 252件8075 (Azure) · 14618/16509 (AWS) · 396982 (GCP) 16276 (OVH) · 24940 (Hetzner) · 63949 (Linode) · 14061 (DigitalOcean) · 20473 (Vultr)
(ip.src.asnum in {8075 14618 16509 396982 16276 24940 63949 14061 20473}
and (starts_with(http.request.uri.path, "/wp-")
or http.request.uri.path eq "/xmlrpc.php"
or http.request.uri.path matches "\\.php$"))
{
"action": "managed_challenge",
"description": "SOC-RULE-001 Challenge cloud-hosted IPs hitting WP/PHP",
"enabled": true,
"expression": "(ip.src.asnum in {8075 14618 16509 396982 16276 24940 63949 14061 20473} and (starts_with(http.request.uri.path, \"/wp-\") or http.request.uri.path eq \"/xmlrpc.php\" or http.request.uri.path matches \"\\\\.php$\"))"
}(http.request.uri.path eq "/wp-login.php" and http.request.method eq "POST")
characteristics: [ip.src] period: 60s · requests_per_period: 3 · mitigation_timeout: 3600s
/seotheme/db.php 単発から大幅に拡大:/about.php (20) · /inputs.php (20) · /as.php (20) · /adminfuns.php (20) · /index/function.php (20) · /info.php (20) · /ioxi-o.php (18) · /themes.php (16) · /sf.php (16) · /goods.php (16) など。
(lower(http.request.uri.path) matches "^/(about|inputs|as|adminfuns|sf|goods|info|ioxi-o|themes|admin|abc|cache|file|404|classwithtostring|config|style|2|66)\\.php$" or lower(http.request.uri.path) matches "^/index/function\\.php$" or lower(http.request.uri.path) matches "/wp-content/uploads/.*\\.php$")
{
"action": "block",
"description": "SOC-RULE-003a Block scanner PHP backdoor probes",
"enabled": true,
"expression": "(lower(http.request.uri.path) matches \"^/(about|inputs|as|adminfuns|sf|goods|info|ioxi-o|themes|admin|abc|cache|file|404|classwithtostring|config|style|2|66)\\\\.php$\" or lower(http.request.uri.path) matches \"^/index/function\\\\.php$\" or lower(http.request.uri.path) matches \"/wp-content/uploads/.*\\\\.php$\")"
}/ALFA_DATA/alfacgiapi/perl.alfa が 11件 (5/19比+275%) と急増。さらに /wp-content/themes/seotheme/db.php も8件と継続観測。Managed Rule "Malware, Web Shell" が 8件発火。/ALFA_DATA/alfacgiapi/perl.alfa · /alfacgiapi/perl.alfa · /wp-content/themes/seotheme/db.php · /images/images/cache.php · //C2dbB.php · //wp-plain.php
(lower(http.request.uri.path) matches "(alfa_data|alfacgiapi|\\.alfa|/r57|/c99|/wso|/b374k|/wp_filemanager|c2dbb|wp-plain)" or lower(http.request.uri.path) matches "/wp-content/(themes|plugins)/(seotheme|hellopress|easy-wp-smtp|wp-file-manager)/" or lower(http.request.uri.path) matches "/images/.*/cache\\.php$")
/.env (4) · /wp-config.php · /wp-config.php~ · /wp-config.php.old · /.env.local.swp · /.env.production.bak · /.git/logs/HEAD。スキャナが 編集中バックアップ拡張子も網羅 する戦術。
(lower(http.request.uri.path) matches "(^|/)\\.(env|git|svn|hg|aws|ssh|vscode|idea|ds_store)(/|$|\\.)" or lower(http.request.uri.path) matches "\\.(bak|backup|old|orig|swp|swo|save|tmp)$" or ends_with(lower(http.request.uri.path), "~") or lower(http.request.uri.path) matches "/wp-config\\.php(~|\\.(bak|old|orig|swp|save))?$" or lower(http.request.uri.path) matches "/\\.env(\\.|$)")
cpcontacts.tek-safari.com (25) · webdisk.tek-safari.com (22) · admin.tek-safari.com (22) · cpcalendars.tek-safari.com (22) · webmail.tek-safari.com (22)(http.host in {"cpcontacts.tek-safari.com"
"webdisk.tek-safari.com"
"admin.tek-safari.com"
"cpcalendars.tek-safari.com"
"webmail.tek-safari.com"
"autodiscover.tek-safari.com"})
"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。WAFブロック数は前日比 -34% と減少しましたが、これは 攻撃者が量から質へとシフトした兆候 です。本日観測された変化は以下の3点で、いずれも「より洗練された攻撃」を示します:
① インフラ多様化: 単一IP集中(5/18) → 単一VPS長時間(5/19) → 複数Azure VMローテーション(5/20) へ進化
② 攻撃パス多様化: seotheme/db.php 1種(5/19) → 20種以上のPHPパス(5/20) へ拡大
③ 偵察拡張: cPanel系サブドメイン(webdisk, cpcontacts, admin, cpcalendars, webmail) への系統的探索開始
これは攻撃者が 本資産への投資を継続している 強い証拠です。
本観測ウィンドウ (5/18-20) の3日間を総括すると、攻撃者は 明確な学習曲線 を描いています:
Day 1 (5/18): 単一IP集中攻撃 → 即IP Block されることを学習
Day 2 (5/19): 単一VPS長時間 + UA偽装多様化 → スクレイピングと併用学習
Day 3 (5/20): 複数 Azure VM ローテーション + パス多様化 → 持続的攻撃インフラの構築
これは 同一の攻撃者または攻撃グループが学習・適応している 強い証拠です。今後 (5/21以降) は セッション維持型 / Cookie 操作型 / API 攻撃 へとさらに進化する可能性が高いと予測されます。
SOC-RULE-001 で AS8075 等のクラウドASN からの WordPress/PHP アクセスに Managed Challenge を強制。VMローテーションを無効化。
SOC-RULE-003a (PHP ルートパス) と SOC-RULE-004 (既知Webshell) を即時投入。攻撃者のスキャン辞書を機能不全に。
SOC-RULE-006 で未使用サブドメインをBlock。さらに /wp-admin を Cloudflare Access で完全私有化。
パッチ未適用の既知脆弱性悪用は観測されていません。5xx エラー率は 0.3% と低く、オリジンサーバは健全。攻撃量も前日比 -34% と減少しています。
ただし「攻撃量減少」が 「脅威減少」ではなく「手法の高度化」 を意味することは前述の通り。次の48時間は警戒継続を強く推奨します。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-20 (JST) at 09:00 — automated dispatch via AI SOC pipeline.