cyberzone.hu
6 445
intentos no solicitados en las últimas 24 horas, por SSH y en páginas aparcadas vacías como esta
- Llega uno cada 13 segundos de media.
- El escáner más rápido lanzó 176 peticiones en un solo segundo.
- El 61 % de los escáneres web se hace pasar por un navegador normal.
- A este ritmo son unos 2 352 000 intentos al año (proyección a partir de hoy).
Este dominio obtuvo su certificado el 2026-10-18 15:15. El primer escáner apareció 58 minutos después. Desde entonces, 47 204 intentos se han dirigido a cyberzone.hu por su nombre.
-24hpico: 6 636/hahora
- intentos de inicio de sesión SSH
- 0
- escaneo web
- 5 484
- llamadas al SSH falso (puerto 22)
- 961
- IP bloqueadas ahora mismo
- 7
SI CROWDSEC LO PROTEGIERA
- ataques que recibió hoy este sitio
- 6 445
- lo que habría recibido detrás de un CrowdSec bien configurado
- 1 099
- bloqueados por él
- 5 346 (83%)
- la lista de bloqueo comunitaria por sí sola
- 279 (4%)
- el WAF (AppSec) por sí solo, peticiones web
- 652
- IP atacantes que habría frenado al menos una vez, de las 389 de hoy
- 123
- IP en la lista de bloqueo entre los 389 atacantes de hoy
- 38
Un segundo CrowdSec, solo de observación, vigila este sitio con las mismas reglas pero no bloquea nada. Un intento cuenta como bloqueado solo si su IP ya habría estado bloqueada en ese momento: 5 083 por sus propias detecciones aquí, 0 porque ya estaba bloqueada en nuestros sitios reales, 162 por la lista de bloqueo comunitaria. Los intentos que disparan una detección pasan igualmente, como pasaría de verdad. El 56 % de los intentos viene de las 10 IP más activas, así que la proporción bloqueada depende sobre todo de ellas; el recuento por atacante da una imagen más justa.
+ 101 peticiones de rastreadores de búsqueda e IA (Google, Bing, Claude...), que no cuentan como ataques.
De ellas, 117 IP pertenecen a escáneres conocidos de investigación o de sondeo de Internet (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): escanean a todo el mundo y publican lo que encuentran. El resto son no solicitados y desconocidos.
LA TRAMPA DEL PUERTO 22
En el puerto 22 no hay SSH real, solo una trampa que nunca deja entrar a nadie y envía una línea sin sentido cada diez segundos para que el bot siga esperando. Hoy llegaron 961 conexiones, y los bots pasaron 34.4 horas atascados en total. El que más esperó, 18 minutos.
con qué vinieron:
sin nombre (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Un fallo crítico de PHP hecho público el 21 de octubre de 2026: una subida de archivo especialmente preparada ejecuta código en cualquier sitio PHP. En este servidor no hay PHP, pero una trampa examina cada subida y reconoce cuándo alguien lo intenta.
- intentos de PHP2Shell hoy
- 0
- desde IP distintas
- 0
- en total desde que funciona la trampa
- 8
- otros intentos de subida hoy
- 75
Como cebo, una página phpinfo falsa muestra una versión vulnerable de PHP. Hoy se abrió 134 veces desde 28 IP; 3 de ellas intentaron después una subida, 0 en concreto con PHP2Shell.
El primer intento llegó el 10-22 10:13, 18.7 horas después de la publicación.
TELNET (BOTNETS IoT, ESTILO MIRAI)
El Telnet falso del puerto 23 se comporta como un router o una cámara con contraseña débil: acepta el primer inicio de sesión que le ofrecen y luego da una shell falsa para ver qué intentarían ejecutar o descargar con ella.
- conexiones hoy
- 834
- pares usuario/contraseña probados
- 66
usuarios más probados:
root (21) admin (11) pi (2) default (2) user (2)
ENLACES DE DESCARGA DE MALWARE · 7 DÍAS
Desde dónde intentaron que esta máquina descargara su siguiente fase (un cliente de botnet, un script de instalación) a través de Telnet, exploits web y otros puertos. Cada una se comprueba en URLhaus de abuse.ch; 14 ya se conocen allí. Las direcciones no son clicables a propósito.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · aún no está en URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · aún no está en URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · aún no está en URLhaus
REDIS
Un Redis abierto es una de las vías favoritas de los ataques de ransomware y criptominería en la nube (SLAVEOF, CONFIG SET, MODULE LOAD, y luego SET+SAVE para dejar un archivo en disco). El falso responde OK a todo para que veamos el intento completo, pero no ejecuta ni guarda nada.
- conexiones hoy
- 48
- de ellas, intento de tomar el servidor
- 22
lo que intentaron:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
FUERZA BRUTA EN OTROS PROTOCOLOS
La misma flota de escáneres también sondea FTP y MySQL, no solo web y SSH.
- intentos de inicio de sesión en FTP
- 28
- intentos de inicio de sesión en MySQL
- 165
usuarios de FTP más probados:
anonymous (7)
usuarios de MySQL más probados:
root (36) webapp (30) admin (6) sa (3)
RELÉ SMTP ABIERTO
El servidor de correo falso dice que sí a todo, como si fuera a reenviar el correo, pero nunca envía nada a ninguna parte: solo miramos quién dicen ser y a quién intentarían llegar a través de él.
- conexiones hoy
- 21
- intentos de inicio de sesión (usuario+contraseña)
- 1
RESOLVEDOR DNS ABIERTO
Un resolvedor abierto real se usa de forma abusiva consultándolo con una dirección de origen falsificada, para que inunde a la víctima con la respuesta (amplificación DDoS). Este nunca responde a nada, solo mira quién preguntaría qué: así seguimos viendo los escaneos sin que se pueda abusar de él.
- consultas hoy
- 55
- de ellas, de un tipo apto para amplificación (ANY/TXT/DNSKEY)
- 38
CONTRASEÑAS ROBADAS
Quien busque aquí archivos .env o .git recibe uno falso, con una contraseña hecha solo para él y la dirección de un acceso de administración. Si alguien intenta entrar con ella, sabemos exactamente a quién y cuándo se robó.
- IP que mordieron el cebo hoy
- 48
- cuya contraseña robada se usó después
- 15
- … desde otra máquina
- 13
El más rápido lo probó 0 minutos después del robo.
| 11-07 16:53 | git clone | +941 min | otra máquina | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | misma máquina | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | otra máquina | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | otra máquina | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | otra máquina | 45.137.x.x |
QUÉ BUSCAN
- búsqueda de secretos (.env, .git, copias de seguridad)
- 2 861
- otros sondeos
- 2 006
- otros scripts PHP
- 270
- acceso y plugins de WordPress
- 210
- fallos de software conocidos (Exchange, Jenkins, VPN)
- 114
- administración de bases de datos (phpMyAdmin, Adminer)
- 17
- exploits de routers e IoT
- 6
873 nombres de archivo distintos probados para encontrar contraseñas y claves:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
se buscó este servidor con 15 nombres distintos («(IP)» es la dirección IP sin más: quien llega así no nos busca a nosotros, solo barre Internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · nombres preguntados al DNS falso: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
contraseñas más probadas (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · el 0 %, sacadas tal cual de la lista de contraseñas de fábrica de la botnet Mirai
motivos de bloqueo (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
UN SCRIPT, MUCHAS MÁQUINAS
Hasta ahora hemos encontrado 57 grupos en los que al menos tres máquinas distintas hicieron exactamente lo mismo, paso a paso: el mismo programa ejecutándose desde muchos sitios, 485 máquinas en total. En el mayor, 35 máquinas (desde 1 red) ejecutaron los mismos 29 pasos:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
DE DÓNDE · 636 IP, 71 países
- China
- 18 478
- Reino Unido
- 12 981
- Kazajistán
- 8 801
- Taiwán
- 3 268
- Federación Rusa
- 3 140
redes de las que vinieron: 11 % de proveedores de nube y alojamiento, es decir, servidores alquilados
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
A QUÉ PUERTAS LLAMAN · 4 968 puertos TCP
En esta máquina no funciona ningún servicio real aparte de los listados, y aun así se prueban todos los puertos. Cada cuadrado es un rango de puertos en las últimas 24 horas; cuanto más intenso el naranja, más intentos.
0-65535, 256 puertos por cuadrado
0-1023, los puertos conocidos, uno por cuadrado
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
EN DIRECTO
intentos según llegan; el final de cada IP está oculto, «nuevo»: esta IP nunca había estado aquí, ⛔: estaba en la lista de bloqueo comunitaria de CrowdSec cuando llegó
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | SSH falso (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | SSH falso (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | SSH falso (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | acceso y plugins de WordPress | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | SSH falso (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | otros scripts PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
SI TIENES UN SERVIDOR
- No despliegues nunca archivos .env, carpetas .git ni copias de seguridad en la raíz web. 2 861
- Mantén WordPress y sus plugins actualizados, y no uses «admin» como usuario. 210
- Mantén las herramientas de administración de bases de datos (phpMyAdmin, Adminer) fuera de Internet. 17
- Instala las actualizaciones en cuanto salgan: la explotación empieza en pocos días. 114
- Cambia las contraseñas de fábrica de routers y cámaras, y no expongas sus páginas de administración. 6
- SSH solo con claves, sin contraseñas.
los números: intentos dirigidos hoy a ese error
Tu IP (216.73.217.15) no está en la lista de bloqueo, o no podrías ver esta página.
actualizado 09:30 · CrowdSec · GeoLite2 (MaxMind) · mapa: Al MacDonald, CC BY-SA 3.0 ·
datos abiertos