Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
env-checker という専用ツール (342件) の新規投入 を検知。
Host: tek-safari.com:443 ヘッダ異常も観測。緊急対応推奨。
本日24時間 (JST 2026-05-24, 日曜日) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 8件のセキュリティイベント (Critical: 2 / High: 3 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 1,212件 で前日比 +377%、本観測期間中の最大値 を記録。日曜日にも関わらず大規模攻撃が発生しています。
主な観測事項は以下の通りです:
185.93.89.167 (NL, AS211074) から 1,014件の集中攻撃。 これは6日間で最大の単一IP攻撃。 .env スキャンが主目的。Mozilla/5.0 env-checker という専用ツール が新規検出 (342件、Luxembourg)。 .env ファイル窃取に特化した カスタム開発ツール。:443 異常 — 342件の tek-safari.com:443 アクセス。HTTP Request Smuggling 試行の可能性。whm, portal, web, secure, login, accounts, shop, staging, backend, dashboard, auth, sso 等16以上のサブドメイン (各24件均一)。すべての攻撃は WAF にて遮断され、侵害の事実は確認されていません。ただし 5/22-23 で予測した「月曜の攻撃再開」が前倒し で日曜に発生しており、攻撃者の活動パターンが変化しています。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | Concentrated Attack | NL single-IP mass .env scanning (1,014 req from 185.93.89.167) | 1,014 req · 1 IP | Mitigated (IP block urgent) |
SOC-INC-002 | CRITICAL | Custom Tooling | env-checker — dedicated .env hunting tool (new TTP) | 342 req · LU origin | Mitigated (UA block needed) |
SOC-INC-003 | HIGH | Information Disclosure | Mass .env variant scanning (+8400% DoD) | 595 blocks · 20+ paths | Blocked (Managed) |
SOC-INC-004 | HIGH | Protocol Anomaly | Host header :443 anomaly — HTTP smuggling attempt | 342 req | Mitigated (rule needed) |
SOC-INC-005 | HIGH | Subdomain Enum | Mass subdomain enumeration (16+ hosts including whm/portal/sso) | 16+ subdomains | Mitigated (rule needed) |
SOC-INC-006 | MEDIUM | Credential Attack | wp-login.php brute force (Day 6, plateau at 478) | 478 blocks | Blocked (refine) |
SOC-INC-007 | MEDIUM | Go Scanner | Go-http-client mass scanning continues | 1,005 req · 2 versions | Mitigated (challenge applied) |
SOC-INC-008 | LOW | Trend | Sunday attack surge — weekday-like activity returns | Information | Continue monitoring |
185.93.89.167 (NL, AS211074) から 1,014件。 主目的は .env ファイル群の網羅的スキャン。20種類以上の派生パスを順次試行。/.env, /api/.env, /backend/.env, /laravel/.env, /admin/.env, /app/.env, /demo/.env, /portal/.env, /dev/.env, /server/.env, /core/.env, /staging/.env, /API/.env など
(ip.src eq 185.93.89.167) or (ip.src.asnum eq 211074)
{
"action": "block",
"description": "SOC-RULE-001 Block NL VPS .env scanner + Datacamp ASN",
"enabled": true,
"expression": "(ip.src eq 185.93.89.167) or (ip.src.asnum eq 211074)"
}Mozilla/5.0 env-checker という 専用に開発されたカスタムツール が新規検出 (342件)。 LU (Luxembourg) からのアクセスで、Host ヘッダの異常 (tek-safari.com:443) も併発。(http.user_agent contains "env-checker" or lower(http.user_agent) matches "(env-?check|env-?hunt|env-?scan|envscanner)")
/.env (63) · /api/.env (53) · /backend/.env (53) · /laravel/.env (52) · /admin/.env (52) · /app/.env (27) · /demo/.env (26) · /portal/.env (26) · /dev/.env (26) · /server/.env (26) · /core/.env (26) · /staging/.env (26) · /API/.env (26) · /.env.production (30) · /.env.save (29) など。
(lower(http.request.uri.path) matches "(^|/)\\.env(\\.(production|save|backup|local|dev|test|staging|prod))?$" or lower(http.request.uri.path) matches "/(api|backend|laravel|admin|app|demo|portal|dev|server|core|staging|src|config)/?\\.env")
Host: tek-safari.com:443 のように 明示的にポート番号を含む Host ヘッダ が 342件観測。 通常の HTTP/HTTPS リクエストでは Host: tek-safari.com のみで十分なため、これは HTTP Request Smuggling 試行 または カスタムツールの不適切な実装 の可能性。(http.host matches ":[0-9]+$")
login, auth, sso, accounts, securewhm, cpanel, portal, dashboard, admin, backendwww, web, m, shopdemo, staging, mail1. DNS監査: 上記サブドメインで本当に使われているものを特定 2. 未使用サブドメイン: DNS削除 3. 管理系サブドメイン (whm, cpanel, portal, dashboard, admin, backend, login, auth, sso, accounts, secure): Cloudflare Access (Zero Trust) で社内のみ公開
Go-http-client/2.0: 504件 · Go-http-client/1.1: 501件"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。本日 (日曜日) は 過去7日間で最大の攻撃量 (1,212件) を記録。 5/23 で予測した「日曜も同様に減少」は外れ、逆に劇的な急増 (+377%) が発生:
① 新たな攻撃者の登場: NL VPS (185.93.89.167) は5/22以前は無し。LU の env-checker UA は今日初観測。 これらは 過去の攻撃者とは別グループ 。
② キャンペーンの新フェーズ: 5/22-23 が「偵察」フェーズなら、本日は 「.env シークレット収集」フェーズ に移行。 595件の .env スキャン (+8400%) が証拠。
③ 自動化ツールの洗練: Go-http-client (5/22登場) に加え、env-checker という 専用のカスタムツール が登場。 攻撃者は このターゲットに対する投資を加速。
これは 「攻撃者は人間オペレーター駆動 (5/23仮説) ではなく、自動化+人間複合運用」 である可能性が高い。 週末でも自動スキャナーは継続稼働する。
185.93.89.167 (AS211074 Datacamp Limited) から 1日 1,014件の集中攻撃。.env スキャン特化型。低コストVPN/VPSサービス利用で、使い捨てインフラ 戦略。Mozilla/5.0 env-checker という 自作ツール を Luxembourg から運用 (342件)。 名称から目的が明確 = OpSec が低いか、検出を気にしていない。 Host header :443 異常も併発。7日間 (5/18-24) の攻撃進化パターン:
5/18 (月): 922件 ← 第1波: SG単一IP集中BF
5/19 (火): 700件 ← 第2波: 多段攻撃
5/20 (水): 463件 ← Azure VMローテーション開始
5/21 (木): 1,077件 ← 第3波: 過去攻撃者の再来
5/22 (金): 474件 ← 攻撃面拡大 + Dev/Beta 発見
5/23 (土): 254件 ← 週末効果 + API偵察開始
5/24 (日): 1,212件 ← 過去最高: .env mass scan + env-checker
本日の最大の発見は 5/23 仮説の修正:
▸ 5/23 仮説: 「攻撃者は人間オペレーター駆動 → 週末は活動緩和」
▸ 5/24 観測: 「日曜にも関わらず過去最高の攻撃 → 自動化が主体」
▸ 修正仮説: 「自動化スキャナー (env-checker, Go-http-client) は週末も動作。 過去攻撃者 (SG /16, Firefox 47) のみ人間オペレーター駆動」
予測 (5/25-27): 月曜以降、Azure VM ローテーションが復活 + 過去攻撃者の再来 + 本日始まった .env スキャンキャンペーンの継続 = 3-4種類の攻撃の並行発生。Cloudflare Access for Dev/Beta/API/管理系サブドメインの即時投入が最重要。
SOC-RULE-001 + SOC-RULE-002 を即時投入。 1,000件超の集中攻撃を即停止。
SOC-RULE-003 + SOC-RULE-004 で smuggling 試行と .env スキャンを根絶。
SOC-RULE-005 の DNS 監査結果に基づき、Cloudflare Access for 認証/管理系を投入。
パッチ未適用の既知脆弱性悪用は観測されていません。5xx エラー率は 0.5% とやや高め (27件の504 timeout) ですが、これは原系の応答遅延であり侵害の兆候ではありません。WAFは全1,212件を正常に遮断しており、200 OK 応答も 567件 (10.0%) 維持。
過去最大の攻撃量にも関わらず侵害は確認されていないため、WAFの基本防御は機能している。 今後の課題は .env スキャンと サブドメイン enumeration の根絶 。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-25 (JST) at 09:00 — automated dispatch via AI SOC pipeline.