2025 年 2 月 26 日、Nokia Deepfield の緊急対応チーム（ERT）は「一夜にして現れた」超規模 DDoS 攻撃の波を観測した。溯源すると、Eleven11bot と名付けられたボットネットが浮上した——HiSilicon ベースの監視カメラ、DVR、NVR に特化した Mirai の変種だ。2 月 27 日、それは約 6.5 Tbps のピークを記録し、同年 1 月に立てた 5.6 Tbps 記録を上回った。本稿はこの事件と、その背後にある「エッジデバイス戦争」を読み解く。

1. Mirai の亡霊は去っていない

Eleven11bot は新種ではない——Mirai の変種だ。Mirai が 2016 年に公開されて以来、そのコードは無数の運用者に再利用・進化してきた。今回標的となったのは TVT-NVMS9000 映像管理ソフトを動かす HiSilicon デバイスで、デフォルト認証と未修正のファームウェア脆弱性で制御を奪った。洗練された走査アルゴリズムで露出した Telnet（23 番）と SSH（22 番）を探し、特定ベンダー（VStarcam など）向けの認証辞書でブルートフォースする。

2. 6.5 Tbps と「数字の羅生門」

最も興味深いのは、デバイス規模の大きな食い違いだ。

  • Nokia は約 3 万台の感染デバイスと推定（米 24.4%、台湾 17.7%、英 6.5%）。
  • Shadowserver は 8.6 万台超と算出。
  • GreyNoise / Censys は真に感染しているのは 5,000 台未満（その 61% がイラン由来）と主張。

食い違いの根源は、誤読されたネットワーク特徴だ。トラフィックに現れた head[…]1111 署名は当初感染マーカーとされ、後にHiSilicon SDK の正常なプロトコル挙動——ホワイトラベル IoT ハードウェアの遠隔管理の合法コンポーネント——に帰因するとされた。すべての研究者への警鐘：IoT 戦場では「デバイスを見る」ことと「デバイスが感染している」こととは異なる。指標の誤読はリスク評価を真っすぐ歪める。

3.なぜ IoT は今も武器化の温床か

Eleven11bot は孤例ではない。2025 年、関連 CVE が頻発し放置された。

  • CVE-2024-32899：TVT NVMS の未認証 RCE——直ちに修正を。
  • CVE-2024-6047 / CVE-2024-11120：サポート終了（EOL）の GeoVision IoT デバイスのコマンドインジェクション、開示数月もパッチなし。
  • CVE-2025-1316：Edimax IC-7100 カメラのコマンドインジェクション零日——Mirai 変種に野外利用された。

底流の論理は一貫している：デバイスの大量拡散（カメラ、ルーター、スマート TV、冷蔵庫まで）、デフォルト認証と悪いパッチ習慣、展開後の放置。これらは知らず識別なく「静かに参戦」し、巨大な攻撃艦隊を編成する。

4.真のリスク：攻撃強度と付帯損害

Eleven11bot の攻撃強度は 毎秒 10 万〜5 億パケット（pps）の間で、電話・ゲームホスティング・金融を好む。一部の攻撃はサービス低下を数日間続けた。さらに決定的なのは、トラフィックが数千の異なる ASN から来ること——ノードは真にグローバルだ。これらの経路に依存するあらゆる組織が「付帯損害」の犠牲になり得る。

5.防衛：これは共同責任だ

デバイス所有者へ：

  • 遠隔管理を無効化、デフォルト認証を変更、HiSilicon 系デバイスのファームウェア更新。
  • TVT-NVMS9000（CVE-2024-32899）などの重要脆弱性を修正。
  • DNS（UDP/53）、NTP（UDP/123）などのプロトコルにレート制限を有効化。

ネットワーク・防衛側へ：

  • GreyNoise（1,042 の悪意 IP を特定済み）、Shadowserver などの脅威インテルを使い、ネットワーク層で既知の悪意 IP をブロック。
  • SIEM で Telnet/SSH のブルートフォース試行と IoT デバイスの異常アウトバウンドを監視。
  • ゼロトラストを採用——カメラ・録画機を業務ネットワークから分離。

結論

Eleven11bot の教訓：IoT セキュリティは一社の仕事ではなく、製造者・規制当局・セキュリティ従事者・消費者の共同責任だ。大量のデバイスがデフォルト認証と古いファームウェアのまま公網に居座る限り、彼らは武器化され続ける。防衛側にとっての真の壁は、数千 ASN からの異常トラフィックをエッジで識別・迂回し、秒単位で緩和するアーキテクチャである。