cyberzone.hu
6 445
tentatives non sollicitées en 24 heures, par SSH et sur des pages parquées vides comme celle-ci
- Il en arrive une toutes les 13 secondes en moyenne.
- Le scanner le plus rapide a envoyé 176 requêtes en une seule seconde.
- 61 % des scanners web se font passer pour un navigateur ordinaire.
- À ce rythme, cela fait environ 2 352 000 tentatives par an (projection à partir d'aujourd'hui).
Ce domaine a reçu son certificat le 2026-10-18 15:15. Le premier scanner est arrivé 58 minutes plus tard. Depuis, 47 204 tentatives ont visé cyberzone.hu par son nom.
-24hpic: 6 636/hmaintenant
- tentatives de connexion SSH
- 0
- scans web
- 5 484
- coups frappés au faux SSH (port 22)
- 961
- IP bannies en ce moment
- 7
SI CROWDSEC LE PROTÉGEAIT
- attaques reçues par ce site aujourd'hui
- 6 445
- ce qu'il aurait reçu derrière un CrowdSec bien configuré
- 1 099
- bloquées par lui
- 5 346 (83%)
- la liste de blocage communautaire à elle seule
- 279 (4%)
- le WAF (AppSec) à lui seul, requêtes web
- 652
- IP attaquantes qu'il aurait arrêtées au moins une fois, sur les 389 d'aujourd'hui
- 123
- IP sur liste de blocage parmi les 389 attaquants d'aujourd'hui
- 38
Un second CrowdSec, en simple observation, surveille ce site avec les mêmes règles mais ne bannit rien. Une tentative compte comme bloquée seulement si son IP aurait déjà été bannie à ce moment-là : 5 083 par ses propres détections ici, 0 parce qu'elle était déjà bannie sur nos vrais sites, 162 par la liste de blocage communautaire. Les tentatives qui déclenchent une détection passent quand même, comme en vrai. 56 % des tentatives viennent des 10 IP les plus actives, donc la part bloquée dépend surtout d'elles ; le décompte par attaquant donne une image plus juste.
+ 101 requêtes de robots de recherche et d'IA (Google, Bing, Claude...), non comptées comme attaques.
Parmi elles, 117 IP appartiennent à des scanners connus de recherche ou de recensement d'Internet (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE) : ils scannent tout le monde et publient ce qu'ils trouvent. Le reste est non sollicité et inconnu.
LE PIÈGE DU PORT 22
Il n'y a pas de vrai SSH sur le port 22, seulement un piège qui ne laisse jamais entrer personne et envoie une ligne absurde toutes les dix secondes pour faire patienter le bot. 961 connexions sont arrivées aujourd'hui, et les bots sont restés coincés 34.4 heures au total. Le plus long a attendu 18 minutes.
avec quoi ils sont venus:
sans nom (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Une faille PHP critique rendue publique le 21 octobre 2026 : un envoi de fichier spécialement construit exécute du code sur n'importe quel site PHP. Il n'y a pas de PHP sur ce serveur, mais un piège examine chaque envoi et reconnaît quand quelqu'un tente le coup.
- tentatives PHP2Shell aujourd'hui
- 0
- depuis des IP distinctes
- 0
- au total depuis la mise en place du piège
- 8
- autres tentatives d'envoi aujourd'hui
- 75
En guise d'appât, une fausse page phpinfo affiche une version vulnérable de PHP. Aujourd'hui, elle a été ouverte 134 fois depuis 28 IP ; 3 d'entre elles ont ensuite tenté un envoi, 0 précisément avec PHP2Shell.
La première tentative est arrivée le 10-22 10:13, 18.7 heures après la publication.
TELNET (BOTNETS IoT, FAÇON MIRAI)
Le faux Telnet du port 23 se comporte comme un routeur ou une caméra mal protégés : il accepte la première connexion proposée, puis ouvre un faux shell pour voir ce qu'ils essaieraient d'y exécuter ou d'y télécharger.
- connexions aujourd'hui
- 834
- paires identifiant/mot de passe essayées
- 66
identifiants les plus essayés:
root (21) admin (11) pi (2) default (2) user (2)
LIENS DE TÉLÉCHARGEMENT DE MALWARE · 7 JOURS
D'où ils ont tenté de faire télécharger à cette machine l'étape suivante (un client de botnet, un script d'installation) via Telnet, des exploits web et d'autres ports. Chacun est vérifié dans URLhaus d'abuse.ch ; 14 y sont connus. Les adresses ne sont volontairement pas cliquables.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · pas encore dans URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · pas encore dans URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · pas encore dans URLhaus
REDIS
Un Redis ouvert est une porte d'entrée prisée des rançongiciels et des cryptomineurs dans le cloud (SLAVEOF, CONFIG SET, MODULE LOAD, puis SET+SAVE pour écrire un fichier sur le disque). Le faux répond OK à tout pour qu'on voie toute la tentative, mais n'exécute et n'enregistre rien.
- connexions aujourd'hui
- 48
- dont une tentative de prise de contrôle du serveur
- 22
ce qu'ils ont tenté:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
FORCE BRUTE SUR D'AUTRES PROTOCOLES
La même flotte de scanners sonde aussi FTP et MySQL, pas seulement le web et SSH.
- tentatives de connexion FTP
- 28
- tentatives de connexion MySQL
- 165
identifiants FTP les plus essayés:
anonymous (7)
identifiants MySQL les plus essayés:
root (36) webapp (30) admin (6) sa (3)
RELAIS SMTP OUVERT
Le faux serveur de mail dit oui à tout, comme s'il allait relayer le message, mais n'envoie jamais rien nulle part : on regarde seulement qui ils prétendent être et qui ils essaient de joindre par lui.
- connexions aujourd'hui
- 21
- tentatives de connexion (identifiant+mot de passe)
- 1
RÉSOLVEUR DNS OUVERT
Un vrai résolveur ouvert est détourné en l'interrogeant avec une adresse source usurpée, pour qu'il inonde la victime de réponses (amplification DDoS). Celui-ci ne répond jamais à rien, il regarde seulement qui demanderait quoi : on voit quand même les scans, sans aucun moyen d'en abuser.
- requêtes aujourd'hui
- 55
- dont un type propice à l'amplification (ANY/TXT/DNSKEY)
- 38
MOTS DE PASSE VOLÉS
Quiconque cherche ici des fichiers .env ou .git en reçoit un faux, avec un mot de passe fait juste pour lui et l'adresse d'une page de connexion admin. Si quelqu'un tente de se connecter avec, on sait exactement à qui et quand il a été volé.
- IP qui ont mordu à l'appât aujourd'hui
- 48
- dont le mot de passe volé a ensuite servi
- 15
- … depuis une autre machine
- 13
Le plus rapide l'a essayé 0 minutes après le vol.
| 11-07 16:53 | git clone | +941 min | autre machine | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | même machine | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | autre machine | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | autre machine | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | autre machine | 45.137.x.x |
CE QU'ILS CHERCHENT
- chasse aux secrets (.env, .git, sauvegardes)
- 2 861
- autres sondages
- 2 006
- autres scripts PHP
- 270
- connexion et extensions WordPress
- 210
- failles logicielles connues (Exchange, Jenkins, VPN)
- 114
- admin de base de données (phpMyAdmin, Adminer)
- 17
- exploits de routeurs et d'IoT
- 6
873 noms de fichiers différents essayés pour trouver des mots de passe et des clés:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
ce serveur a été demandé sous 15 noms différents (« (IP) » est l'adresse IP seule : qui vient ainsi ne nous cherche pas, il balaie simplement Internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · noms demandés au faux DNS: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
mots de passe les plus essayés (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0 % tout droit sortis de la liste de mots de passe d'usine du botnet Mirai
raisons des bannissements (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
UN SCRIPT, BEAUCOUP DE MACHINES
Jusqu'ici, nous avons trouvé 57 groupes où au moins trois machines différentes ont fait exactement la même chose, étape par étape : le même programme lancé depuis de nombreux endroits, 485 machines en tout. Dans le plus grand, 35 machines (depuis 1 réseau) ont exécuté les mêmes 29 étapes :
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
D'OÙ · 636 IP, 71 pays
- Chine
- 18 478
- Royaume-Uni
- 12 981
- Kazakhstan
- 8 801
- Taïwan
- 3 268
- Russie, Fédération de
- 3 140
réseaux d'où ils venaient: 11 % de fournisseurs cloud et d'hébergement, c'est-à-dire de serveurs loués
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
À QUELLES PORTES ILS FRAPPENT · 4 968 ports TCP
Aucun vrai service ne tourne sur cette machine en dehors de ceux listés, et pourtant chaque port est essayé. Chaque carré est une plage de ports sur les dernières 24 heures ; plus l'orange est foncé, plus il y a de tentatives.
0-65535, 256 ports par carré
0-1023, les ports bien connus, un par carré
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
EN DIRECT
les tentatives au fil de leur arrivée ; la fin de chaque IP est masquée, « nouveau » : cette IP n'est jamais venue ici, ⛔ : elle était sur la liste de blocage communautaire de CrowdSec à son arrivée
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | faux SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | faux SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | faux SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | connexion et extensions WordPress | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | faux SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | autres scripts PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
SI VOUS GÉREZ UN SERVEUR
- Ne déployez jamais de fichiers .env, de dossiers .git ni de sauvegardes dans la racine web. 2 861
- Tenez WordPress et ses extensions à jour, et n'utilisez pas « admin » comme identifiant. 210
- Gardez les outils d'administration de base de données (phpMyAdmin, Adminer) hors d'Internet. 17
- Installez les mises à jour dès leur sortie : l'exploitation commence en quelques jours. 114
- Changez les mots de passe par défaut des routeurs et caméras, et n'exposez pas leurs pages d'administration. 6
- SSH uniquement par clés, sans mot de passe.
les chiffres : tentatives visant cette erreur aujourd'hui
Votre IP (216.73.217.15) n'est pas sur la liste de bannissement, sinon vous ne verriez pas cette page.
mis à jour 09:30 · CrowdSec · GeoLite2 (MaxMind) · carte: Al MacDonald, CC BY-SA 3.0 ·
données ouvertes