テスラ社からサイバー攻撃を受けています

概要

nginxログ調査 で、特定IP（54.165.75.96, 35.168.63.24, 52.44.200.251）からの持続的な攻撃トラフィックを確認
- いずれも Amazon Web Services (AMAZON-AES)所属IP
攻撃リクエストには pool-ntp.tesla.com のHost/Refererヘッダーや、Assetnoteユーザーエージェント、AssetnoteコールバックURLへのSSRF試行が含まれる
Assetnote（現Searchlight Cyber） は正規の攻撃面管理ツールで、顧客資産の自動スキャンを実施
Teslaが pool-ntp.tesla.comをpool.ntp.orgへCNAME しており、pool.ntp.orgのラウンドロビンで管理者のサーバー（67.215.249.229）に解決される
Assetnoteの資産インベントリが 誤ってこのサーバーをTesla資産と認識 し、攻撃を開始

管理者は Teslaへ警告メール を送信
- 約8,000件のリクエスト、Assetnote/1.0.0 (ExposureScan)のUA、テンプレート化されたエクスプロイトペイロード
- pool-ntp.tesla.com をターゲットホストとして利用
- Teslaが NTP Poolのボランティアサーバー を誤ってスキャン対象に含めていることを指摘
サーバー側で HTTPステータスコード299 と注意書きを返す対応を実施
- しかし、 攻撃トラフィックは継続

パストラバーサル、Webシェルアップロード、CMS管理エンドポイント探索、SSRF、Log4Shell など多様な攻撃手法
Log4Shell/Text4Shell検出用に assetnote-callback.com へのコールバックを含むリクエストが989件
canary.assetnotessrf.com を利用したSSRF検出が114件
一部リクエストは login.solarcity.com のHostヘッダーやASP.NETのトリックを試行
Refererやクエリストリングには 他社・他ドメイン （例: servicemcdonalds.com, disneyfineart.com等）のホスト名も混入
RFC1918アドレス （例: 192.168.178.222）を含むリファラも観測
サーバー上の 全ポート（SSH, Postfix, Dovecot等）にHTTPリクエスト を送信

他のNTP Pool運用者（例: Matt Nordhoff）も 同様の攻撃トラフィック を確認
- 8月15日以降、複数のAssetnoteスキャナーIPから大量リクエスト
Assetnoteが pool-ntp.tesla.comの解決先すべて をスキャン対象としている可能性
現時点で 他の運用者からの追加報告は少ない が、今後の動向に注意が必要