cyberzone.hu
6 445
kéretlen próbálkozás az elmúlt 24 órában, SSH-n és az ehhez hasonló üres, parkolt oldalakon
- Átlagosan 13 másodpercenként érkezik egy.
- A leggyorsabb szkenner 176 kérést küldött egyetlen másodperc alatt.
- A webes szkennerek 61%-a hétköznapi böngészőnek álcázza magát.
- Ezzel a tempóval egy év alatt nagyjából 2 352 000 próbálkozás (becslés a mai napból).
Ez a domain 2026-10-18 15:15-kor kapott tanúsítványt. Az első szkenner 58 perccel később már itt volt. Azóta 47 204 próbálkozás érkezett kifejezetten a cyberzone.hu címre.
-24hcsúcs: 6 636/hmost
- SSH-belépési kísérlet
- 0
- webes szkennelés
- 5 484
- kopogás a kamu SSH-n (22-es port)
- 961
- most kitiltott IP
- 7
HA A CROWDSEC VÉDENÉ
- ennyi támadás érte ma
- 6 445
- ennyi érte volna egy rendesen beállított CrowdSec mögött
- 1 099
- ennyit blokkolt volna
- 5 346 (83%)
- ebből a közösségi tiltólista egymagában
- 279 (4%)
- a WAF (AppSec) egymagában, webes kérés
- 652
- támadó IP, amelyet legalább egyszer megfogott volna, a mai 389-ból
- 123
- tiltólistás IP a mai 389 támadóból
- 38
Egy második, csak figyelő CrowdSec ugyanazokkal a szabályokkal nézi ezt az oldalt, de semmit nem tilt ki. Egy próbálkozás akkor számít blokkoltnak, ha az IP-je abban a pillanatban már tiltva lett volna: 5 083 a saját észlelése alapján, 0 mert a valódi oldalainkon már kitiltotta, 162 a közösségi tiltólista miatt. Az észlelést kiváltó első próbálkozások így is átjutnak, ahogy élesben is. A próbálkozások 56%-a a 10 legaktívabb IP-ről jön, ezért a blokkolt arány leginkább rajtuk múlik; a támadónkénti szám a becsületesebb kép.
+ 101 kérés kereső- és AI-robotoktól (Google, Bing, Claude...), ezeket nem számoljuk támadásnak.
Ebből 117 IP ismert kutatói vagy internet-felmérő szkennerhez tartozik (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): ők mindenkit végigpásztáznak és közzéteszik, mit találtak. A többi kéretlen, ismeretlen forrás.
A 22-ES PORT CSAPDA
A 22-es porton nincs igazi SSH, csak egy csapda, ami soha nem enged be senkit, és tíz másodpercenként küld egy értelmetlen sort, hogy a bot tovább várjon. 961 kapcsolat jött ide ma, és a botok összesen 34.4 órát töltöttek beragadva. A leghosszabb 18 percig várt.
amivel jöttek:
be sem mutatkozott (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Kritikus PHP-hiba, 2026. október 21-én hozták nyilvánosságra: egy speciálisan felépített fájlfeltöltéssel bármely PHP-s oldalon kódot lehet futtatni. Ezen a szerveren nincs PHP, de egy csapda minden feltöltést megvizsgál, és felismeri, ha valaki ezzel próbálkozik.
- PHP2Shell-kísérlet ma
- 0
- különböző IP-ről
- 0
- összesen, amióta a csapda fut
- 8
- egyéb feltöltési próbálkozás ma
- 75
Csaliként egy hamis phpinfo oldal egy sebezhető PHP-verziót mutat. Ma 134 alkalommal nyitották meg 28 IP-ről; közülük 3 próbált utána feltölteni, 0 kifejezetten PHP2Shell-lel.
Az első kísérlet 10-22 10:13-kor érkezett, 18.7 órával a nyilvánosságra hozatal után.
TELNET (IoT-BOTNETEK, MIRAI-STÍLUSBAN)
A 23-as porton futó kamu Telnet úgy tesz, mintha egy gyenge jelszavú router vagy kamera lenne: elfogadja az első beütött belépést, utána egy hamis parancssort ad, hogy lássuk, mit próbálnának futtatni, letöltetni rajta.
- kapcsolat ma
- 834
- kipróbált felhasználónév/jelszó pár
- 66
leggyakoribb felhasználónevek:
root (21) admin (11) pi (2) default (2) user (2)
KÁRTÉKONY LETÖLTÉSI LINKEK · 7 NAP
Innen akarták letöltetni a gépre a következő lépést (botnet-klienst, telepítő szkriptet) Telneten, webes exploitokon és más portokon keresztül. Mindet megnézzük az abuse.ch URLhaus adatbázisában, a 14 ott is ismert. A címek szándékosan nem kattinthatók.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · URLhaus még nem ismeri
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · URLhaus még nem ismeri
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · URLhaus még nem ismeri
REDIS
A nyitott Redis a felhőalapú zsarolóvírus- és bányászprogram-támadások egyik kedvenc belépési pontja (SLAVEOF, CONFIG SET, MODULE LOAD, majd egy SET+SAVE, hogy fájlt írjon a gépre). A kamu Redis mindenre "OK"-t válaszol, hogy végignézzük a támadást, de semmit nem hajt végre és nem ment el.
- kapcsolat ma
- 48
- ebből a szerver átvételére tett kísérlet
- 22
amit próbáltak:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
BRUTE-FORCE MÁS PROTOKOLLOKON
Ugyanaz a géppark FTP-t és MySQL-t is tapogat, nem csak webet és SSH-t.
- FTP bejelentkezési kísérlet
- 28
- MySQL bejelentkezési kísérlet
- 165
leggyakoribb FTP-felhasználónevek:
anonymous (7)
leggyakoribb MySQL-felhasználónevek:
root (36) webapp (30) admin (6) sa (3)
NYITOTT SMTP-RELÉ
A kamu levélszerver mindenre igent mond, mintha továbbküldené a levelet, de valójában soha semmit nem küld el: csak azt nézzük, kinek a nevében és kinek próbálnának írni rajta keresztül.
- kapcsolat ma
- 21
- bejelentkezési kísérlet (felhasználónév+jelszó)
- 1
NYITOTT DNS-FELOLDÓ
Egy valódi nyitott DNS-feloldót arra használnak, hogy hamisított forráscímmel rákérdezve az áldozatra zúdítsák a választ (DDoS-erősítés). Ezért ez soha nem válaszol semmire, csak figyeli, ki és mit kérdezne: a visszaélés lehetősége nélkül ugyanúgy látjuk, ki keresi.
- lekérdezés ma
- 55
- ebből erősítésre alkalmas típus (ANY/TXT/DNSKEY)
- 38
ELLOPOTT JELSZAVAK
Aki itt .env vagy .git fájlt keres, kap egy hamisat. Benne egy jelszó, ami csak neki szól, és egy admin-belépés címe. Ha valaki ezzel a jelszóval próbál belépni, pontosan tudjuk, kitől és mikor lopta.
- IP, amely ma elvitte a csalit
- 48
- akiknek az ellopott jelszavát használták is
- 15
- … és másik gépről
- 13
A leggyorsabb 0 perccel a lopás után próbálta használni.
| 11-07 16:53 | git clone | +941 perc | másik gépről | 45.137.x.x |
| 11-07 16:32 | git clone | +0 perc | ugyanonnan | 176.65.x.x |
| 11-07 16:08 | git clone | +795 perc | másik gépről | 45.137.x.x |
| 11-07 11:49 | git clone | +0 perc | másik gépről | 45.137.x.x |
| 11-07 06:56 | git clone | +243 perc | másik gépről | 45.137.x.x |
MIT KERESNEK
- titkok keresése (.env, .git, mentések)
- 2 861
- egyéb tapogatózás
- 2 006
- egyéb PHP-szkript
- 270
- WordPress-belépés, -bővítmények
- 210
- ismert szoftverhibák (Exchange, Jenkins, VPN)
- 114
- adatbázis-admin (phpMyAdmin, Adminer)
- 17
- router- és IoT-exploit
- 6
873 különböző fájlnevet próbáltak ki, hogy jelszavakat és kulcsokat találjanak:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
15 különböző néven keresték ezt a szervert (a „(IP)” a puszta IP-cím: aki így jön, az nem minket keres, csak végigpásztázza a netet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · a kamu DNS-től kérdezett nevek: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
leggyakoribb jelszavak (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% a Mirai botnet gyári alapjelszó-listájáról
kitiltások oka (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
EGY SZKRIPT, SOK GÉP
Eddig 57 csoportot találtunk, ahol legalább három különböző gép pontosan ugyanazt csinálta, lépésről lépésre: ugyanaz a program fut sok helyről, összesen 485 gépen. A legnagyobbnál 35 gép (1 hálózatból) ugyanazt a 29 lépést futtatta le:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
HONNAN · 636 IP, 71 ország
- Kína
- 18 478
- Egyesült Királyság
- 12 981
- Kazahsztán
- 8 801
- Tajvan
- 3 268
- Orosz Föderáció
- 3 140
hálózatok, ahonnan jöttek: 11% felhő- és hostingszolgáltatótól, azaz bérelt szerverről
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
MELYIK AJTÓN KOPOGNAK · 4 968 TCP-port
Ezen a gépen egyetlen valódi szolgáltatás sem fut a felsoroltakon kívül, mégis minden portot végigpróbálnak. Minden négyzet egy porttartomány az elmúlt 24 órából; minél sötétebb narancs, annál több próbálkozás.
0–65535, négyzetenként 256 port
0–1023, a jól ismert portok, négyzetenként egy
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
ÉLŐBEN
a próbálkozások, ahogy érkeznek; az IP-k vége kitakarva, „új”: ez az IP most jár itt először, ⛔: az érkezéskor rajta volt a CrowdSec közösségi tiltólistáján
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | kamu SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | kamu SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | kamu SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | WordPress-belépés, -bővítmények | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | kamu SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | egyéb PHP-szkript | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
HA NEKED IS VAN SZERVERED
- Ne kerüljön .env, .git mappa vagy mentés a webrootba. 2 861
- Frissítsd a WordPresst és a bővítményeket, ne használd az admin felhasználónevet. 210
- Az adatbázis-admin (phpMyAdmin, Adminer) ne legyen elérhető a netről. 17
- Telepítsd a frissítéseket, amint kijönnek: a kihasználásuk napokon belül elindul. 114
- Routeren, kamerán cseréld le a gyári jelszót, és ne tedd ki az admin felületet. 6
- SSH csak kulccsal, jelszó nélkül.
a számok: ennyi próbálkozás célozta ma az adott hibát
A te IP-d (216.73.217.15) nincs a tiltólistán, különben ezt az oldalt sem látnád.
frissítve 09:30 · CrowdSec · GeoLite2 (MaxMind) · térkép: Al MacDonald, CC BY-SA 3.0 ·
nyílt adat