cyberzone.hu
6 445
tentativi non richiesti nelle ultime 24 ore, via SSH e su pagine parcheggiate vuote come questa
- In media ne arriva uno ogni 13 secondi.
- Lo scanner più veloce ha inviato 176 richieste in un solo secondo.
- Il 61% degli scanner web finge di essere un normale browser.
- A questo ritmo sono circa 2 352 000 tentativi all'anno (stima basata su oggi).
Questo dominio ha ottenuto il certificato il 2026-10-18 15:15. Il primo scanner si è presentato 58 minuti dopo. Da allora 47 204 tentativi hanno preso di mira cyberzone.hu per nome.
-24hpicco: 6 636/hora
- tentativi di accesso SSH
- 0
- scansioni web
- 5 484
- bussate al finto SSH (porta 22)
- 961
- IP bannati in questo momento
- 7
SE CROWDSEC LO PROTEGGESSE
- attacchi ricevuti oggi da questo sito
- 6 445
- quanti ne avrebbe ricevuti dietro un CrowdSec configurato bene
- 1 099
- bloccati da lui
- 5 346 (83%)
- la blocklist della community da sola
- 279 (4%)
- il WAF (AppSec) da solo, richieste web
- 652
- IP attaccanti che avrebbe fermato almeno una volta, sui 389 di oggi
- 123
- IP in blocklist tra i 389 attaccanti di oggi
- 38
Un secondo CrowdSec, solo in osservazione, controlla questo sito con le stesse regole ma non banna nulla. Un tentativo conta come bloccato solo se il suo IP sarebbe già stato bannato in quel momento: 5 083 grazie ai suoi rilevamenti qui, 0 perché era già bannato sui nostri siti veri, 162 grazie alla blocklist della community. I tentativi che fanno scattare un rilevamento passano comunque, come succederebbe davvero. Il 56% dei tentativi arriva dai 10 IP più attivi, quindi la quota bloccata dipende soprattutto da loro; il conteggio per attaccante è il quadro più onesto.
+ 101 richieste da crawler di ricerca e di IA (Google, Bing, Claude...), non contate come attacchi.
Di questi, 117 IP appartengono a scanner noti di ricerca o di censimento di Internet (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): scansionano tutti e pubblicano ciò che trovano. Il resto è non richiesto e sconosciuto.
LA TRAPPOLA DELLA PORTA 22
Sulla porta 22 non c'è un vero SSH, solo una trappola che non fa mai entrare nessuno e manda una riga senza senso ogni dieci secondi per tenere il bot in attesa. Oggi sono arrivate 961 connessioni, e i bot sono rimasti bloccati 34.4 ore in totale. Il più paziente ha aspettato 18 minuti.
con cosa sono arrivati:
senza nome (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Una falla critica di PHP resa pubblica il 21 ottobre 2026: un upload di file costruito ad arte esegue codice su qualsiasi sito PHP. Su questo server non c'è PHP, ma una trappola esamina ogni upload e riconosce quando qualcuno ci prova.
- tentativi PHP2Shell oggi
- 0
- da IP diversi
- 0
- in totale da quando la trappola è attiva
- 8
- altri tentativi di upload oggi
- 75
Come esca, una finta pagina phpinfo mostra una versione vulnerabile di PHP. Oggi è stata aperta 134 volte da 28 IP; 3 di questi hanno poi tentato un upload, 0 proprio con PHP2Shell.
Il primo tentativo è arrivato il 10-22 10:13, 18.7 ore dopo la divulgazione.
TELNET (BOTNET IoT, STILE MIRAI)
Il finto Telnet sulla porta 23 si comporta come un router o una telecamera con password debole: accetta il primo accesso offerto, poi apre una finta shell per vedere cosa proverebbero a eseguire o scaricare.
- connessioni oggi
- 834
- coppie nome utente/password provate
- 66
nomi utente più provati:
root (21) admin (11) pi (2) default (2) user (2)
LINK DI DOWNLOAD DI MALWARE · 7 GIORNI
Da dove hanno cercato di far scaricare a questa macchina la fase successiva (un client di botnet, uno script di installazione) tramite Telnet, exploit web e altre porte. Ognuno viene controllato su URLhaus di abuse.ch; 14 sono già noti lì. Gli indirizzi non sono cliccabili di proposito.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · non ancora in URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · non ancora in URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · non ancora in URLhaus
REDIS
Un Redis aperto è una delle vie preferite per ransomware e cryptominer nel cloud (SLAVEOF, CONFIG SET, MODULE LOAD, poi SET+SAVE per scrivere un file su disco). Quello finto risponde OK a tutto, così vediamo l'intero tentativo, ma non esegue né salva nulla.
- connessioni oggi
- 48
- di cui tentativi di prendere il controllo del server
- 22
cosa hanno provato:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
FORZA BRUTA SU ALTRI PROTOCOLLI
La stessa flotta di scanner sonda anche FTP e MySQL, non solo web e SSH.
- tentativi di accesso FTP
- 28
- tentativi di accesso MySQL
- 165
nomi utente FTP più provati:
anonymous (7)
nomi utente MySQL più provati:
root (36) webapp (30) admin (6) sa (3)
RELAY SMTP APERTO
Il finto server di posta dice sì a tutto, come se inoltrasse la mail, ma non invia mai niente da nessuna parte: guardiamo solo chi dicono di essere e chi proverebbero a raggiungere tramite lui.
- connessioni oggi
- 21
- tentativi di accesso (nome utente+password)
- 1
RESOLVER DNS APERTO
Un vero resolver aperto viene sfruttato interrogandolo con un indirizzo di origine falsificato, così inonda la vittima con la risposta (amplificazione DDoS). Questo non risponde mai a niente, guarda solo chi chiederebbe cosa: vediamo comunque le scansioni senza alcun modo di abusarne.
- query oggi
- 55
- di cui di un tipo adatto all'amplificazione (ANY/TXT/DNSKEY)
- 38
PASSWORD RUBATE
Chi cerca qui file .env o .git ne riceve uno finto, con una password fatta apposta per lui e l'indirizzo di un login di amministrazione. Se qualcuno prova ad accedere con quella, sappiamo esattamente da chi e quando è stata rubata.
- IP che hanno abboccato oggi
- 48
- la cui password rubata è stata poi usata
- 15
- … da un'altra macchina
- 13
Il più veloce l'ha provata 0 minuti dopo il furto.
| 11-07 16:53 | git clone | +941 min | altra macchina | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | stessa macchina | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | altra macchina | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | altra macchina | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | altra macchina | 45.137.x.x |
COSA CERCANO
- caccia ai segreti (.env, .git, backup)
- 2 861
- altri sondaggi
- 2 006
- altri script PHP
- 270
- login e plugin di WordPress
- 210
- bug software noti (Exchange, Jenkins, VPN)
- 114
- amministrazione database (phpMyAdmin, Adminer)
- 17
- exploit per router e IoT
- 6
873 nomi di file diversi provati per trovare password e chiavi:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
questo server è stato cercato con 15 nomi diversi («(IP)» è il solo indirizzo IP: chi arriva così non cerca noi, sta solo setacciando Internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · nomi chiesti al finto DNS: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
password più provate (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · il 0% preso pari pari dalla lista di password di fabbrica della botnet Mirai
motivi dei ban (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
UNO SCRIPT, MOLTE MACCHINE
Finora abbiamo trovato 57 gruppi in cui almeno tre macchine diverse hanno fatto esattamente la stessa cosa, passo per passo: lo stesso programma eseguito da molti posti, 485 macchine in tutto. Nel più grande, 35 macchine (da 1 rete) hanno eseguito gli stessi 29 passi:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
DA DOVE · 636 IP, 71 paesi
- Cina
- 18 478
- Regno Unito
- 12 981
- Kazakistan
- 8 801
- Taiwan, Repubblica di Cina
- 3 268
- Russia
- 3 140
reti da cui sono arrivati: 11% da provider cloud e di hosting, cioè server a noleggio
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
A QUALI PORTE BUSSANO · 4 968 porte TCP
Su questa macchina non gira nessun servizio vero oltre a quelli elencati, eppure ogni porta viene provata. Ogni quadrato è un intervallo di porte nelle ultime 24 ore; più intenso è l'arancione, più tentativi.
0-65535, 256 porte per quadrato
0-1023, le porte note, una per quadrato
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
IN DIRETTA
i tentativi man mano che arrivano; la parte finale di ogni IP è nascosta, «nuovo»: questo IP non è mai stato qui prima, ⛔: era nella blocklist della community di CrowdSec quando è arrivato
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | SSH finto (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | SSH finto (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | SSH finto (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | login e plugin di WordPress | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | SSH finto (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | altri script PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
SE GESTISCI UN SERVER
- Non mettere mai file .env, cartelle .git o backup nella web root. 2 861
- Tieni aggiornati WordPress e i suoi plugin, e non usare «admin» come nome utente. 210
- Tieni gli strumenti di amministrazione del database (phpMyAdmin, Adminer) lontani da Internet. 17
- Installa gli aggiornamenti appena escono: lo sfruttamento inizia nel giro di pochi giorni. 114
- Cambia le password predefinite di router e telecamere, e non esporre le loro pagine di amministrazione. 6
- SSH solo con chiavi, niente password.
i numeri: tentativi rivolti oggi a quell'errore
Il tuo IP (216.73.217.15) non è nella lista dei ban, altrimenti non vedresti questa pagina.
aggiornato 09:30 · CrowdSec · GeoLite2 (MaxMind) · mappa: Al MacDonald, CC BY-SA 3.0 ·
dati aperti