cyberzone.hu
6 445
محاولة غير مرغوب فيها خلال آخر 24 ساعة، عبر SSH وعلى صفحات مركونة فارغة مثل هذه
- تصل محاولة واحدة كل 13 ثانية في المتوسط.
- أطلق أسرع ماسح 176 طلبًا في ثانية واحدة.
- يتظاهر 61% من ماسحات الويب بأنها متصفح عادي.
- بهذا المعدل يصل العدد إلى نحو 2 352 000 محاولة سنويًا (تقدير بناءً على اليوم).
حصل هذا النطاق على شهادته في 2026-10-18 15:15. ظهر أول ماسح بعد 58 دقيقة. منذ ذلك الحين استهدفت 47 204 محاولة cyberzone.hu بالاسم.
-24hالذروة: 6 636/hالآن
- محاولات تسجيل الدخول عبر SSH
- 0
- فحص الويب
- 5 484
- طرقات على SSH المزيف (المنفذ 22)
- 961
- عناوين IP محظورة الآن
- 7
لو كان CrowdSec يحميه
- الهجمات التي تلقاها هذا الموقع اليوم
- 6 445
- ما كان سيصله خلف CrowdSec مضبوط بشكل صحيح
- 1 099
- حظرها
- 5 346 (83%)
- قائمة الحظر المجتمعية وحدها
- 279 (4%)
- جدار WAF (AppSec) وحده، طلبات ويب
- 652
- عناوين IP مهاجمة كان سيوقفها مرة واحدة على الأقل، من أصل 389 اليوم
- 123
- عناوين IP مدرجة في قائمة الحظر من بين 389 مهاجمًا اليوم
- 38
يراقب CrowdSec ثانٍ، للمراقبة فقط، هذا الموقع بالقواعد نفسها لكنه لا يحظر شيئًا. لا تُحتسب المحاولة محظورة إلا إذا كان عنوان IP الخاص بها سيُحظر في تلك اللحظة: 5 083 عبر اكتشافاته هنا، و0 لأنه كان محظورًا بالفعل على مواقعنا الحقيقية، و162 عبر قائمة الحظر المجتمعية. أما المحاولات التي تطلق الاكتشاف فتمر مع ذلك، كما في الواقع. تأتي 56% من المحاولات من أنشط 10 عناوين IP، لذا تعتمد النسبة المحظورة عليها في الغالب؛ والعدد لكل مهاجم هو الصورة الأعدل.
+ 101 طلبًا من زواحف البحث والذكاء الاصطناعي (Google, Bing, Claude...)، لا تُحتسب هجمات.
من بينها 117 عنوان IP تعود إلى ماسحات بحثية أو ماسحات معروفة لمسح الإنترنت (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): تفحص الجميع وتنشر ما تجده. أما الباقي فغير مرغوب فيه ومجهول المصدر.
فخ المنفذ 22
لا يوجد SSH حقيقي على المنفذ 22، بل فخ لا يُدخل أحدًا أبدًا ويرسل سطرًا بلا معنى كل عشر ثوانٍ ليُبقي البوت منتظرًا. وصل اليوم 961 اتصالًا، وقضت البوتات 34.4 ساعة عالقة في المجموع. انتظر أطولها 18 دقيقة.
ما الذي استخدموه:
لم يُعرّف بنفسه (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
ثغرة حرجة في PHP كُشف عنها في 21 أكتوبر 2026: رفع ملف بشكل خاص يشغّل شيفرة على أي موقع PHP. لا يوجد PHP على هذا الخادم، لكن فخًا يفحص كل عملية رفع ويتعرّف على من يحاول ذلك.
- محاولات PHP2Shell اليوم
- 0
- من عناوين IP مختلفة
- 0
- المجموع منذ نصب الفخ
- 8
- محاولات رفع أخرى اليوم
- 75
كطُعم، تعرض صفحة phpinfo مزيفة إصدار PHP مصابًا بثغرة. فُتحت اليوم 134 مرة من 28 عنوان IP؛ حاول 3 منها بعد ذلك رفع ملف، و0 باستخدام PHP2Shell تحديدًا.
وصلت أول محاولة في 10-22 10:13، بعد 18.7 ساعة من الكشف.
TELNET (بوتنتات IoT على طريقة Mirai)
يتصرف Telnet المزيف على المنفذ 23 كجهاز توجيه أو كاميرا ضعيفة: يقبل أول تسجيل دخول يُعرض عليه، ثم يقدّم صدفة أوامر مزيفة لنرى ما الذي سيحاولون تشغيله أو تنزيله عبرها.
- اتصالات اليوم
- 834
- أزواج اسم المستخدم/كلمة المرور المجرّبة
- 66
أكثر أسماء المستخدمين تجربةً:
root (21) admin (11) pi (2) default (2) user (2)
روابط تنزيل البرمجيات الخبيثة · 7 أيام
المواقع التي حاولوا أن يجعلوا هذا الجهاز يجلب منها مرحلته التالية (عميل botnet، سكربت تثبيت) عبر Telnet وثغرات الويب ومنافذ أخرى. يُفحص كل رابط في URLhaus التابع لـabuse.ch؛ 14 منها معروفة هناك. العناوين غير قابلة للنقر عمدًا.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · ليس في URLhaus بعد
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · ليس في URLhaus بعد
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · ليس في URLhaus بعد
REDIS
يُعد Redis المفتوح طريقًا مفضلًا لهجمات برامج الفدية وتعدين العملات المشفرة في السحابة (SLAVEOF, CONFIG SET, MODULE LOAD، ثم SET+SAVE لإسقاط ملف على القرص). يجيب Redis المزيف بـOK على كل شيء لنرى المحاولة كاملة، لكنه لا ينفّذ ولا يخزّن شيئًا.
- اتصالات اليوم
- 48
- منها محاولة للاستيلاء على الخادم
- 22
ما الذي جرّبوه:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
القوة الغاشمة على بروتوكولات أخرى
الأسطول نفسه من الماسحات يفحص أيضًا FTP وMySQL، وليس الويب وSSH فقط.
- محاولات تسجيل الدخول إلى FTP
- 28
- محاولات تسجيل الدخول إلى MySQL
- 165
أكثر أسماء مستخدمي FTP تجربةً:
anonymous (7)
أكثر أسماء مستخدمي MySQL تجربةً:
root (36) webapp (30) admin (6) sa (3)
مُرحِّل SMTP مفتوح
يقول خادم البريد المزيف نعم لكل شيء، كأنه سيمرّر البريد، لكنه لا يرسل أي شيء إلى أي مكان أبدًا: نحن نراقب فقط من يدّعون أنهم هم ومن يحاولون الوصول إليه عبره.
- اتصالات اليوم
- 21
- محاولات تسجيل الدخول (اسم المستخدم+كلمة المرور)
- 1
محلّل DNS مفتوح
يُساء استخدام المحلّل المفتوح الحقيقي بإرسال استعلامات إليه بعنوان مصدر مزوّر، فيُغرق الضحية بالرد (تضخيم DDoS). هذا المحلّل لا يجيب عن أي شيء أبدًا، بل يراقب فقط من كان سيسأل عن ماذا، فنرى الفحص دون أي إمكانية لإساءة استخدامه.
- استعلامات اليوم
- 55
- منها من نوع يصلح للتضخيم (ANY/TXT/DNSKEY)
- 38
كلمات مرور مسروقة
كل من يبحث هنا عن ملفات .env أو .git يحصل على ملف مزيف، فيه كلمة مرور صُنعت له وحده وعنوان صفحة دخول المشرف. إن حاول أحد الدخول بها، نعرف بالضبط ممن سُرقت ومتى.
- عناوين IP ابتلعت الطُعم اليوم
- 48
- من استُخدمت كلمة مرورهم المسروقة لاحقًا
- 15
- … من جهاز مختلف
- 13
جرّبها الأسرع بعد 0 دقيقة من السرقة.
| 11-07 16:53 | git clone | +941 دقيقة | جهاز آخر | 45.137.x.x |
| 11-07 16:32 | git clone | +0 دقيقة | الجهاز نفسه | 176.65.x.x |
| 11-07 16:08 | git clone | +795 دقيقة | جهاز آخر | 45.137.x.x |
| 11-07 11:49 | git clone | +0 دقيقة | جهاز آخر | 45.137.x.x |
| 11-07 06:56 | git clone | +243 دقيقة | جهاز آخر | 45.137.x.x |
ما الذي يبحثون عنه
- البحث عن الأسرار (.env, .git, النسخ الاحتياطية)
- 2 861
- فحوص أخرى
- 2 006
- سكربتات PHP أخرى
- 270
- تسجيل الدخول إلى WordPress وإضافاته
- 210
- ثغرات برمجية معروفة (Exchange, Jenkins, VPN)
- 114
- إدارة قواعد البيانات (phpMyAdmin, Adminer)
- 17
- استغلال أجهزة التوجيه وأجهزة IoT
- 6
873 اسم ملف مختلف جُرّبت بحثًا عن كلمات المرور والمفاتيح:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
طُلب هذا الخادم بـ15 اسمًا مختلفًا ("(IP)" هو عنوان IP المجرد: من يأتي بهذه الطريقة لا يبحث عنا، بل يمسح الإنترنت فحسب):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · الأسماء المطلوبة من DNS المزيف: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
أكثر كلمات المرور تجربةً (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% مأخوذة مباشرة من قائمة كلمات المرور الافتراضية لشبكة Mirai
أسباب الحظر (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
سكربت واحد، أجهزة كثيرة
وجدنا حتى الآن 57 مجموعة قامت فيها ثلاثة أجهزة مختلفة على الأقل بالشيء نفسه تمامًا، خطوة بخطوة: البرنامج نفسه يعمل من أماكن كثيرة، على 485 جهازًا في المجموع. في أكبرها، نفّذ 35 جهازًا (من 1 شبكة) الخطوات نفسها وعددها 29:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
من أين · 636 IP، 71 دولة
- الصّين
- 18 478
- المملكة المتّحدة
- 12 981
- كازاخستان
- 8 801
- تايوان
- 3 268
- الاتّحاد الرّوسي
- 3 140
الشبكات التي جاءت منها: 11% من مزوّدي السحابة والاستضافة، أي خوادم مستأجرة
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
على أي الأبواب يطرقون · 4 968 منفذ TCP
لا تعمل على هذا الجهاز أي خدمة حقيقية غير المذكورة، ومع ذلك يُجرَّب كل منفذ. كل مربع هو نطاق من المنافذ خلال آخر 24 ساعة؛ كلما كان البرتقالي أغمق، زادت المحاولات.
0-65535، 256 منفذًا لكل مربع
0-1023، المنافذ المعروفة، منفذ لكل مربع
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
مباشر
المحاولات لحظة وصولها؛ نهاية كل IP مخفية، "جديد": لم يأتِ هذا الـIP إلى هنا من قبل، ⛔: كان على قائمة الحظر المجتمعية لـCrowdSec عند وصوله
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | SSH مزيف (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | SSH مزيف (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | SSH مزيف (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | تسجيل الدخول إلى WordPress وإضافاته | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | SSH مزيف (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | سكربتات PHP أخرى | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
إن كنت تدير خادمًا
- لا تنشر أبدًا ملفات .env أو مجلدات .git أو النسخ الاحتياطية في جذر الويب. 2 861
- حدّث WordPress وإضافاته، ولا تستخدم "admin" اسمًا للمستخدم. 210
- أبقِ أدوات إدارة قواعد البيانات (phpMyAdmin, Adminer) بعيدة عن الإنترنت العام. 17
- ثبّت التحديثات فور صدورها: يبدأ الاستغلال خلال أيام. 114
- غيّر كلمات المرور الافتراضية على أجهزة التوجيه والكاميرات، ولا تكشف صفحات إدارتها. 6
- SSH بالمفاتيح فقط، بلا كلمات مرور.
الأرقام: المحاولات التي استهدفت ذلك الخطأ اليوم
عنوان IP الخاص بك (216.73.217.15) ليس على قائمة الحظر، وإلا لما رأيت هذه الصفحة.
حُدّث 09:30 · CrowdSec · GeoLite2 (MaxMind) · خريطة: Al MacDonald, CC BY-SA 3.0 ·
بيانات مفتوحة