cyberzone.hu

6 445

पिछले 24 घंटों में बिना बुलाए प्रयास, SSH पर और इस जैसे खाली पार्क किए गए पेजों पर

औसतन हर 13 सेकंड में एक आता है।
सबसे तेज़ स्कैनर ने एक ही सेकंड में 176 अनुरोध भेजे।
61% वेब स्कैनर साधारण ब्राउज़र होने का दिखावा करते हैं।
इस दर से यह साल में लगभग 2 352 000 प्रयास होते हैं (आज के आधार पर अनुमान)।

इस डोमेन को 2026-10-18 15:15 पर अपना सर्टिफ़िकेट मिला। पहला स्कैनर 58 मिनट बाद पहुँच गया। तब से 47 204 प्रयासों ने नाम लेकर cyberzone.hu को निशाना बनाया है।

-24hशिखर: 6 636/hअभी

SSH लॉगिन प्रयास: 0
वेब स्कैनिंग: 5 484
नकली SSH (पोर्ट 22) पर दस्तक: 961
अभी प्रतिबंधित IP: 7

अगर CrowdSec इसकी रक्षा करता

आज इस साइट पर हुए हमले: 6 445
ठीक से कॉन्फ़िगर किए गए CrowdSec के पीछे इसे कितना झेलना पड़ता: 1 099
इसके द्वारा रोके गए: 5 346 (83%)
अकेले सामुदायिक ब्लॉकलिस्ट: 279 (4%)
अकेले WAF (AppSec), वेब अनुरोध: 652
आज के 389 में से वे हमलावर IP जिन्हें यह कम से कम एक बार रोक देता: 123
आज के 389 हमलावरों में ब्लॉकलिस्ट वाले IP: 38

दूसरा, केवल निगरानी करने वाला CrowdSec इसी साइट को उन्हीं नियमों से देखता है, लेकिन किसी को प्रतिबंधित नहीं करता। कोई प्रयास तभी रोका हुआ गिना जाता है जब उसका IP उस क्षण पहले से प्रतिबंधित होता: 5 083 यहाँ उसकी अपनी पहचान के आधार पर, 0 क्योंकि वह हमारी असली साइटों पर पहले से प्रतिबंधित था, 162 सामुदायिक ब्लॉकलिस्ट के कारण। जो प्रयास पहचान को ट्रिगर करते हैं, वे फिर भी पहुँच जाते हैं, जैसे असल में होता। 56% प्रयास 10 सबसे सक्रिय IP से आते हैं, इसलिए रोका गया हिस्सा मुख्य रूप से उन पर निर्भर करता है; प्रति हमलावर संख्या ज़्यादा निष्पक्ष तस्वीर है।

+ खोज और AI क्रॉलरों (Google, Bing, Claude...) से 101 अनुरोध, इन्हें हमले नहीं गिना गया।

इनमें से 117 IP ज्ञात शोध या इंटरनेट-सर्वेक्षण स्कैनरों (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE) के हैं: वे सबको स्कैन करते हैं और जो पाते हैं उसे प्रकाशित करते हैं। बाकी बिना बुलाए और अज्ञात हैं।

पोर्ट 22 का जाल

पोर्ट 22 पर कोई असली SSH नहीं है, सिर्फ़ एक जाल है जो कभी किसी को अंदर नहीं आने देता और बॉट को इंतज़ार कराने के लिए हर दस सेकंड में एक बेमतलब पंक्ति भेजता है। आज 961 कनेक्शन आए, और बॉट कुल मिलाकर 34.4 घंटे फँसे रहे। सबसे लंबा इंतज़ार 18 मिनट का था।

उन्होंने क्या इस्तेमाल किया: कोई नाम नहीं बताया (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)

PHP2SHELL (CVE-2026-109618, CVE-2026-109619)

21 अक्टूबर 2026 को सार्वजनिक हुई एक गंभीर PHP खामी: खास ढंग से बनाया गया फ़ाइल अपलोड किसी भी PHP साइट पर कोड चला देता है। इस सर्वर पर PHP नहीं है, लेकिन एक जाल हर अपलोड की जाँच करता है और पहचान लेता है जब कोई यह आज़माता है।

आज PHP2Shell प्रयास: 0
अलग-अलग IP से: 0
जाल लगने के बाद से कुल: 8
आज अन्य अपलोड प्रयास: 75

चारे के रूप में, एक नकली phpinfo पेज एक कमज़ोर PHP संस्करण दिखाता है। आज इसे 28 IP से 134 बार खोला गया; उनमें से 3 ने फिर अपलोड की कोशिश की, 0 ने खास तौर पर PHP2Shell के साथ।

पहला प्रयास 10-22 10:13 पर आया, खुलासे के 18.7 घंटे बाद।

TELNET (IoT बॉटनेट, Mirai शैली)

पोर्ट 23 पर नकली Telnet एक कमज़ोर राउटर या कैमरे जैसा बर्ताव करता है: यह पहला दिया गया लॉगिन स्वीकार कर लेता है, फिर एक नकली शेल देता है ताकि देखा जा सके कि वे इसके ज़रिए क्या चलाने या डाउनलोड करने की कोशिश करते।

आज के कनेक्शन: 834
आज़माए गए यूज़रनेम/पासवर्ड जोड़े: 66

सबसे ज़्यादा आज़माए गए यूज़रनेम: root (21) admin (11) pi (2) default (2) user (2)

मैलवेयर डाउनलोड लिंक · 7 दिन

जहाँ से उन्होंने Telnet, वेब एक्सप्लॉइट और अन्य पोर्ट के ज़रिए इस मशीन से अपना अगला चरण (बॉटनेट क्लाइंट, इंस्टॉलर स्क्रिप्ट) डाउनलोड करवाने की कोशिश की। हर एक को abuse.ch के URLhaus में जाँचा जाता है; उनमें से 14 वहाँ ज्ञात हैं। पते जानबूझकर क्लिक करने योग्य नहीं हैं।

hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · अभी URLhaus में नहीं
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · अभी URLhaus में नहीं
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · अभी URLhaus में नहीं

REDIS

खुला Redis क्लाउड रैनसमवेयर और क्रिप्टोमाइनर हमलों में घुसने का पसंदीदा रास्ता है (SLAVEOF, CONFIG SET, MODULE LOAD, फिर डिस्क पर फ़ाइल डालने के लिए SET+SAVE)। नकली Redis हर चीज़ का जवाब OK देता है ताकि हम पूरा प्रयास देख सकें, लेकिन कुछ भी चलाता या सहेजता नहीं।

आज के कनेक्शन: 48
जिनमें से सर्वर पर कब्ज़े का प्रयास: 22

उन्होंने क्या आज़माया: INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES

अन्य प्रोटोकॉल पर ब्रूट फ़ोर्स

स्कैनरों का वही बेड़ा सिर्फ़ वेब और SSH ही नहीं, FTP और MySQL को भी टटोलता है।

FTP लॉगिन प्रयास: 28
MySQL लॉगिन प्रयास: 165

सबसे ज़्यादा आज़माए गए FTP यूज़रनेम: anonymous (7)

सबसे ज़्यादा आज़माए गए MySQL यूज़रनेम: root (36) webapp (30) admin (6) sa (3)

खुला SMTP रिले

नकली मेल सर्वर हर चीज़ पर हाँ कहता है, जैसे वह मेल आगे भेज देगा, लेकिन असल में कभी कहीं कुछ नहीं भेजता: हम बस देखते हैं कि वे खुद को कौन बताते और इसके ज़रिए किस तक पहुँचना चाहते।

आज के कनेक्शन: 21
लॉगिन प्रयास (यूज़रनेम+पासवर्ड): 1

खुला DNS रिज़ॉल्वर

असली खुले रिज़ॉल्वर का दुरुपयोग नकली स्रोत पते से उससे क्वेरी करके किया जाता है, ताकि वह जवाब से पीड़ित पर बाढ़ ला दे (DDoS एम्प्लिफ़िकेशन)। यह वाला कभी किसी चीज़ का जवाब नहीं देता, बस देखता है कि कौन क्या पूछता, इसलिए हम दुरुपयोग की किसी गुंजाइश के बिना भी स्कैनिंग देख पाते हैं।

आज की क्वेरी: 55
जिनमें से एम्प्लिफ़िकेशन के लायक प्रकार (ANY/TXT/DNSKEY): 38

चुराए गए पासवर्ड

जो कोई यहाँ .env या .git फ़ाइलें ढूँढता है, उसे एक नकली फ़ाइल मिलती है, जिसमें सिर्फ़ उसी के लिए बना पासवर्ड और एक एडमिन लॉगिन का पता होता है। अगर कोई उससे लॉगिन करने की कोशिश करता है, तो हमें ठीक-ठीक पता चल जाता है कि वह किससे और कब चुराया गया।

आज चारा लेने वाले IP: 48
जिनका चुराया गया पासवर्ड बाद में इस्तेमाल हुआ: 15
… एक अलग मशीन से: 13

सबसे तेज़ ने चोरी के 0 मिनट बाद इसे आज़माया।

11-07 16:53	git clone	+941 मिनट	दूसरी मशीन	45.137.x.x
11-07 16:32	git clone	+0 मिनट	वही मशीन	176.65.x.x
11-07 16:08	git clone	+795 मिनट	दूसरी मशीन	45.137.x.x
11-07 11:49	git clone	+0 मिनट	दूसरी मशीन	45.137.x.x
11-07 06:56	git clone	+243 मिनट	दूसरी मशीन	45.137.x.x

वे क्या खोजते हैं

गुप्त जानकारी की तलाश (.env, .git, बैकअप): 2 861
अन्य जाँच-पड़ताल: 2 006
अन्य PHP स्क्रिप्ट: 270
WordPress लॉगिन और प्लगइन: 210
ज्ञात सॉफ़्टवेयर बग (Exchange, Jenkins, VPN): 114
डेटाबेस एडमिन (phpMyAdmin, Adminer): 17
राउटर और IoT एक्सप्लॉइट: 6

पासवर्ड और कुंजियों की तलाश में 873 अलग-अलग फ़ाइल नाम आज़माए गए: /.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)

इस सर्वर को 15 अलग-अलग नामों से खोजा गया ("(IP)" खाली IP पता है: जो इस तरह आता है वह हमें नहीं ढूँढ रहा, बस इंटरनेट को खंगाल रहा है): keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · नकली DNS से पूछे गए नाम: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)

सबसे ज़्यादा आज़माए गए पासवर्ड (Telnet, FTP, SMTP): null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% सीधे Mirai बॉटनेट की फ़ैक्टरी-डिफ़ॉल्ट सूची से

प्रतिबंध के कारण (CrowdSec): http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)

एक स्क्रिप्ट, कई मशीनें

अब तक हमें 57 समूह मिले हैं जिनमें कम से कम तीन अलग मशीनों ने कदम दर कदम बिल्कुल एक जैसा किया: एक ही प्रोग्राम कई जगहों से चल रहा है, कुल 485 मशीनों पर। सबसे बड़े समूह में 35 मशीनों (1 नेटवर्क से) ने वही 29 कदम चलाए:

crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…

कहाँ से · 636 IP, 71 देश

चीन: 18 478
यूनाइटेड किंगडम: 12 981
कजाकिस्तान: 8 801
ताइवान: 3 268
रूसी संघ: 3 140

जिन नेटवर्क से वे आए: 11% क्लाउड और होस्टिंग प्रदाताओं से, यानी किराए के सर्वर

NINGBO, ZHEJIANG Province, P.R.China.: 18 214
Data Communication Business Group: 3 148
INSYS LLC: 3 127
GOOGLE-CLOUD-PLATFORM: 1 395
Colombia: 1 066

वे किन दरवाज़ों पर दस्तक देते हैं · 4 968 TCP पोर्ट

इस मशीन पर सूचीबद्ध सेवाओं के अलावा कोई असली सेवा नहीं चलती, फिर भी हर पोर्ट को आज़माया जाता है। हर वर्ग पिछले 24 घंटों में पोर्टों की एक श्रेणी है; नारंगी जितना गहरा, प्रयास उतने ज़्यादा।

0-65535, प्रति वर्ग 256 पोर्ट

0-1023, जाने-माने पोर्ट, प्रति वर्ग एक

1433 · MSSQL: 47 112
5900 · VNC: 44 200
443 · HTTPS: 5 484
3389 · RDP: 3 131
22 · SSH: 961
23 · Telnet: 834
135 · HTTP: 551
8080 · HTTP-alt: 510
540 · HTTP: 472
9090 · HTTP: 471

लाइव

प्रयास जैसे-जैसे आते हैं; हर IP का अंत छिपाया गया है, "नया": यह IP पहले कभी यहाँ नहीं आया, ⛔: आते समय यह CrowdSec की सामुदायिक ब्लॉकलिस्ट में था

09:30	GB	MS SQL amyr	138.226.x.x
09:30	KZ	MS SQL abkg	185.136.x.x
09:30	US	नकली SSH (22) libssh	50.6.x.x	ORACLE-BMC-31898
09:29	GB	Telnet	91.227.x.x	Vinters IT Ltd
09:28	FI	नकली SSH (22)	80.66.x.x
09:28	US	Telnet	166.62.x.x	GO-DADDY-COM-LLC
09:26	SG	नकली SSH (22) Go	101.47.x.x	Byteplus Pte. Ltd.
09:26	DE	WordPress लॉगिन और प्लगइन	81.171.x.x	Eweka Internet Services B.V.
09:21	CN	नकली SSH (22) Go	112.26.x.x	China Mobile Communications Group Co., L
09:21	ZA	अन्य PHP स्क्रिप्ट	20.87.x.x	MICROSOFT-CORP-MSN-AS-BLOCK

अगर आप सर्वर चलाते हैं

वेब रूट में कभी भी .env फ़ाइलें, .git फ़ोल्डर या बैकअप न डालें। 2 861
WordPress और उसके प्लगइन अपडेट रखें, और यूज़रनेम के रूप में "admin" का उपयोग न करें। 210
डेटाबेस एडमिन टूल (phpMyAdmin, Adminer) को सार्वजनिक इंटरनेट से दूर रखें। 17
अपडेट आते ही इंस्टॉल करें: उनका दुरुपयोग कुछ ही दिनों में शुरू हो जाता है। 114
राउटर और कैमरों के डिफ़ॉल्ट पासवर्ड बदलें, और उनके एडमिन पेज खुले न रखें। 6
SSH केवल कुंजियों से, पासवर्ड नहीं।

संख्याएँ: आज उस गलती को निशाना बनाने वाले प्रयास

आपका IP (216.73.217.15) प्रतिबंध सूची में नहीं है, वरना आप यह पेज नहीं देख पाते।

अपडेट किया गया 09:30 · CrowdSec · GeoLite2 (MaxMind) · मानचित्र: Al MacDonald, CC BY-SA 3.0 · ओपन डेटा