cyberzone.hu
6 445
unerwünschte Versuche in den letzten 24 Stunden, über SSH und auf leeren geparkten Seiten wie dieser
- Im Schnitt kommt alle 13 Sekunden einer.
- Der schnellste Scanner schickte 176 Anfragen in einer einzigen Sekunde.
- 61 % der Web-Scanner geben sich als normaler Browser aus.
- Bei diesem Tempo sind das etwa 2 352 000 Versuche im Jahr (hochgerechnet von heute).
Diese Domain hat ihr Zertifikat am 2026-10-18 15:15 bekommen. Der erste Scanner tauchte 58 Minuten später auf. Seitdem zielten 47 204 Versuche direkt auf den Namen cyberzone.hu.
-24hSpitze: 6 636/hjetzt
- SSH-Anmeldeversuche
- 0
- Web-Scans
- 5 484
- Klopfen am falschen SSH (Port 22)
- 961
- derzeit gesperrte IPs
- 7
WENN CROWDSEC ES SCHÜTZEN WÜRDE
- Angriffe auf diese Seite heute
- 6 445
- so viele wären es hinter einem richtig eingerichteten CrowdSec gewesen
- 1 099
- davon blockiert
- 5 346 (83%)
- die Community-Blockliste allein
- 279 (4%)
- die WAF (AppSec) allein, Web-Anfragen
- 652
- angreifende IPs, die es mindestens einmal gestoppt hätte, von heute 389
- 123
- IPs auf der Blockliste unter den 389 Angreifern von heute
- 38
Ein zweites CrowdSec, das nur beobachtet, prüft diese Seite mit denselben Regeln, sperrt aber nichts. Ein Versuch gilt nur dann als blockiert, wenn seine IP in diesem Moment schon gesperrt gewesen wäre: 5 083 durch eigene Erkennungen hier, 0 weil sie auf unseren echten Seiten schon gesperrt war, 162 durch die Community-Blockliste. Die Versuche, die eine Erkennung auslösen, kommen trotzdem durch, wie im Ernstfall auch. 56 % der Versuche kommen von den 10 aktivsten IPs, daher hängt der blockierte Anteil vor allem von ihnen ab; die Zählung pro Angreifer ist das fairere Bild.
+ 101 Anfragen von Such- und KI-Crawlern (Google, Bing, Claude...), nicht als Angriffe gezählt.
Davon gehören 117 IPs zu bekannten Forschungs- oder Internet-Vermessungs-Scannern (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): Sie scannen alle und veröffentlichen, was sie finden. Der Rest ist unerwünscht und unbekannt.
DIE FALLE AUF PORT 22
Auf Port 22 läuft kein echtes SSH, nur eine Falle, die niemanden hineinlässt und alle zehn Sekunden eine sinnlose Zeile schickt, damit der Bot weiter wartet. Heute kamen 961 Verbindungen, und die Bots hingen insgesamt 34.4 Stunden fest. Der längste wartete 18 Minuten.
womit sie kamen:
ohne Namen (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Eine kritische PHP-Lücke, veröffentlicht am 21. Oktober 2026: Ein speziell geformter Datei-Upload führt auf jeder PHP-Seite Code aus. Auf diesem Server gibt es kein PHP, aber eine Falle prüft jeden Upload und erkennt, wenn es jemand damit versucht.
- PHP2Shell-Versuche heute
- 0
- von verschiedenen IPs
- 0
- insgesamt, seit die Falle läuft
- 8
- andere Upload-Versuche heute
- 75
Als Köder zeigt eine falsche phpinfo-Seite eine verwundbare PHP-Version. Heute wurde sie 134-mal von 28 IPs geöffnet; 3 davon versuchten danach einen Upload, 0 gezielt mit PHP2Shell.
Der erste Versuch kam am 10-22 10:13, 18.7 Stunden nach der Veröffentlichung.
TELNET (IoT-BOTNETZE IM MIRAI-STIL)
Das falsche Telnet auf Port 23 tut so, als wäre es ein schlecht gesicherter Router oder eine Kamera: Es akzeptiert die erste Anmeldung und gibt dann eine falsche Shell aus, um zu sehen, was sie darüber ausführen oder herunterladen wollen.
- Verbindungen heute
- 834
- ausprobierte Benutzername/Passwort-Paare
- 66
meistprobierte Benutzernamen:
root (21) admin (11) pi (2) default (2) user (2)
MALWARE-DOWNLOADLINKS · 7 TAGE
Von hier sollte diese Maschine den nächsten Schritt holen (einen Botnetz-Client, ein Installationsskript), über Telnet, Web-Exploits und andere Ports. Jede Adresse wird in URLhaus von abuse.ch geprüft; 14 sind dort bekannt. Die Adressen sind absichtlich nicht anklickbar.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · noch nicht in URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · noch nicht in URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · noch nicht in URLhaus
REDIS
Ein offenes Redis ist ein beliebter Einstieg für Ransomware- und Kryptominer-Angriffe in der Cloud (SLAVEOF, CONFIG SET, MODULE LOAD, dann SET+SAVE, um eine Datei auf die Platte zu schreiben). Das falsche antwortet auf alles mit OK, damit wir den ganzen Versuch sehen, führt aber nichts aus und speichert nichts.
- Verbindungen heute
- 48
- davon Versuche, den Server zu übernehmen
- 22
was sie versuchten:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
BRUTE FORCE AUF ANDEREN PROTOKOLLEN
Dieselbe Scanner-Flotte tastet auch FTP und MySQL ab, nicht nur Web und SSH.
- FTP-Anmeldeversuche
- 28
- MySQL-Anmeldeversuche
- 165
meistprobierte FTP-Benutzernamen:
anonymous (7)
meistprobierte MySQL-Benutzernamen:
root (36) webapp (30) admin (6) sa (3)
OFFENES SMTP-RELAY
Der falsche Mailserver sagt zu allem ja, als würde er die Mail weiterleiten, schickt aber nie etwas irgendwohin: Wir sehen nur, als wer sie auftreten und wen sie darüber erreichen wollen.
- Verbindungen heute
- 21
- Anmeldeversuche (Benutzername+Passwort)
- 1
OFFENER DNS-RESOLVER
Ein echter offener Resolver wird missbraucht, indem man ihn mit gefälschter Absenderadresse abfragt, sodass er das Opfer mit der Antwort flutet (DDoS-Verstärkung). Dieser hier antwortet niemals auf irgendetwas, er schaut nur, wer was fragen würde: So sehen wir die Scans trotzdem, ohne dass er sich missbrauchen lässt.
- Abfragen heute
- 55
- davon ein für Verstärkung typischer Typ (ANY/TXT/DNSKEY)
- 38
GESTOHLENE PASSWÖRTER
Wer hier nach .env- oder .git-Dateien sucht, bekommt eine falsche, mit einem Passwort nur für ihn und der Adresse eines Admin-Logins. Versucht sich jemand damit anzumelden, wissen wir genau, von wem und wann es gestohlen wurde.
- IPs, die heute den Köder schluckten
- 48
- deren gestohlenes Passwort danach benutzt wurde
- 15
- … von einer anderen Maschine
- 13
Der Schnellste versuchte es 0 Minuten nach dem Diebstahl.
| 11-07 16:53 | git clone | +941 Min. | andere Maschine | 45.137.x.x |
| 11-07 16:32 | git clone | +0 Min. | gleiche Maschine | 176.65.x.x |
| 11-07 16:08 | git clone | +795 Min. | andere Maschine | 45.137.x.x |
| 11-07 11:49 | git clone | +0 Min. | andere Maschine | 45.137.x.x |
| 11-07 06:56 | git clone | +243 Min. | andere Maschine | 45.137.x.x |
WONACH SIE SUCHEN
- Jagd nach Geheimnissen (.env, .git, Backups)
- 2 861
- sonstiges Abtasten
- 2 006
- andere PHP-Skripte
- 270
- WordPress-Login und -Plugins
- 210
- bekannte Softwarefehler (Exchange, Jenkins, VPN)
- 114
- Datenbank-Admin (phpMyAdmin, Adminer)
- 17
- Router- und IoT-Exploits
- 6
873 verschiedene Dateinamen bei der Suche nach Passwörtern und Schlüsseln probiert:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
nach diesem Server wurde unter 15 verschiedenen Namen gefragt („(IP)“ ist die bloße IP-Adresse: Wer so kommt, sucht nicht uns, sondern durchkämmt nur das Internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · beim falschen DNS erfragte Namen: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
meistprobierte Passwörter (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0 % direkt aus der Werkspasswort-Liste des Mirai-Botnetzes
Sperrgründe (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
EIN SKRIPT, VIELE MASCHINEN
Bisher haben wir 57 Gruppen gefunden, in denen mindestens drei verschiedene Maschinen Schritt für Schritt genau dasselbe taten: dasselbe Programm, von vielen Orten aus gestartet, auf 485 Maschinen insgesamt. In der größten führten 35 Maschinen (aus 1 Netz) dieselben 29 Schritte aus:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
WOHER · 636 IPs, 71 Länder
- China
- 18 478
- Vereinigtes Königreich
- 12 981
- Kasachstan
- 8 801
- Taiwan, Chinesische Provinz
- 3 268
- Russische Föderation
- 3 140
Netze, aus denen sie kamen: 11 % von Cloud- und Hosting-Anbietern, also gemieteten Servern
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
AN WELCHE TÜREN SIE KLOPFEN · 4 968 TCP-Ports
Auf dieser Maschine läuft außer den aufgeführten kein echter Dienst, trotzdem wird jeder Port probiert. Jedes Quadrat ist ein Portbereich der letzten 24 Stunden; je kräftiger das Orange, desto mehr Versuche.
0-65535, 256 Ports pro Quadrat
0-1023, die bekannten Ports, einer pro Quadrat
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
LIVE
Versuche, wie sie ankommen; das Ende jeder IP ist verdeckt, „neu“: diese IP war noch nie hier, ⛔: sie stand beim Eintreffen auf der Community-Blockliste von CrowdSec
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | falsches SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | falsches SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | falsches SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | WordPress-Login und -Plugins | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | falsches SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | andere PHP-Skripte | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
WENN DU EINEN SERVER BETREIBST
- Lege niemals .env-Dateien, .git-Ordner oder Backups ins Web-Root. 2 861
- Halte WordPress und seine Plugins aktuell und nimm nicht „admin“ als Benutzernamen. 210
- Halte Datenbank-Admin-Tools (phpMyAdmin, Adminer) vom öffentlichen Internet fern. 17
- Spiele Updates ein, sobald sie erscheinen: Die Ausnutzung beginnt innerhalb weniger Tage. 114
- Ändere die Standardpasswörter von Routern und Kameras und stelle ihre Admin-Seiten nicht ins Netz. 6
- SSH nur mit Schlüsseln, ohne Passwörter.
die Zahlen: Versuche, die heute auf diesen Fehler zielten
Deine IP (216.73.217.15) steht nicht auf der Sperrliste, sonst könntest du diese Seite nicht sehen.
aktualisiert 09:30 · CrowdSec · GeoLite2 (MaxMind) · Karte: Al MacDonald, CC BY-SA 3.0 ·
offene Daten