cyberzone.hu
6 445
過去 24 時間の迷惑なアクセス試行。SSH と、このような空のパーキングページへのもの
- 平均で13 秒に 1 件届きます。
- 最速のスキャナーは 1 秒間に 176 件のリクエストを送りました。
- Web スキャナーの 61% は普通のブラウザーを装っています。
- このペースだと年間およそ 2 352 000 件になります（今日の数から推計）。
このドメインは 2026-10-18 15:15 に証明書を取得しました。 最初のスキャナーは 58 分後に現れました。 それ以来、cyberzone.hu を名指しした試行は 47 204 件です。
-24hピーク: 6 636/h現在
- SSH ログイン試行
- 0
- Web スキャン
- 5 484
- 偽 SSH へのノック（ポート 22）
- 961
- 現在ブロック中の IP
- 7
CROWDSEC が守っていたら
- このサイトが今日受けた攻撃
- 6 445
- 正しく設定した CrowdSec の背後なら受けていた数
- 1 099
- それがブロックした数
- 5 346 (83%)
- コミュニティのブロックリストだけで
- 279 (4%)
- WAF（AppSec）だけで、Web リクエスト
- 652
- 今日の 389 件の攻撃 IP のうち、少なくとも 1 回は止めていたもの
- 123
- 今日の攻撃者 389 件のうちブロックリストにある IP
- 38
監視専用の 2 台目の CrowdSec が同じルールでこのサイトを見ていますが、何もブロックしません。試行がブロック扱いになるのは、その時点で IP がすでにブロックされていたはずの場合だけです：5 083 はここでの自前の検知、0 は実際のサイトですでにブロック済みだったため、162 はコミュニティのブロックリストによるもの。検知のきっかけになった試行は、本番と同じく通り抜けます。試行の 56% は最も活発な 10 個の IP から来るので、ブロック率はほぼそれらで決まります。攻撃者ごとの数のほうが公平な見方です。
ほかに検索・AI クローラー（Google、Bing、Claude...）からのリクエストが 101 件。攻撃には数えていません。
このうち 117 個の IP は既知の研究用・インターネット調査用スキャナー（Driftnet, Censys, Stretchoid, LeakIX, ONYPHE）のもので、誰でもスキャンして結果を公開しています。残りは迷惑で正体不明です。
ポート 22 の罠
ポート 22 には本物の SSH はなく、誰も中に入れずに 10 秒ごとに無意味な行を送ってボットを待たせ続ける罠だけがあります。今日は 961 件の接続があり、ボットは合計 34.4 時間 足止めされました。最長は 18 分待ちました。
使われたクライアント:
名乗らず (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
2026 年 10 月 21 日に公開された PHP の重大な脆弱性：特殊な形のファイルアップロードで、どの PHP サイトでもコードを実行できます。このサーバーに PHP はありませんが、罠がすべてのアップロードを調べ、これを試みた者を見分けます。
- 今日の PHP2Shell 試行
- 0
- 異なる IP から
- 0
- 罠の設置以来の合計
- 8
- 今日のその他のアップロード試行
- 75
おとりとして、偽の phpinfo ページが脆弱な PHP バージョンを表示しています。今日は 28 個の IP から 134 回開かれ、そのうち 3 個がその後アップロードを試み、0 個は PHP2Shell を使いました。
最初の試行は 10-22 10:13、公開から 18.7 時間後に届きました。
TELNET (MIRAI 型 IoT ボットネット)
ポート 23 の偽 Telnet は、パスワードの弱いルーターやカメラのふりをします。最初に試されたログインを受け入れ、偽のシェルを渡して、何を実行・ダウンロードしようとするかを見ます。
- 今日の接続
- 834
- 試されたユーザー名/パスワードの組
- 66
よく試されたユーザー名:
root (21) admin (11) pi (2) default (2) user (2)
マルウェアのダウンロードリンク · 7 日間
Telnet や Web の脆弱性攻撃、その他のポートを通じて、このマシンに次の段階（ボットネットのクライアントやインストールスクリプト）を取りに行かせようとした場所です。どれも abuse.ch の URLhaus で確認しており、14 件は登録済みです。アドレスはわざとクリックできないようにしています。
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · URLhaus 未登録
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · URLhaus 未登録
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · URLhaus 未登録
REDIS
公開された Redis は、クラウドのランサムウェアや暗号資産マイニング攻撃の定番の入口です（SLAVEOF、CONFIG SET、MODULE LOAD、そして SET+SAVE でディスクにファイルを書き込む）。偽の Redis は何にでも OK と答えて試行の全体を見せてもらいますが、何も実行も保存もしません。
- 今日の接続
- 48
- うちサーバー乗っ取りの試み
- 22
試されたもの:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
ほかのプロトコルへの総当たり攻撃
同じスキャナー群は Web と SSH だけでなく、FTP と MySQL も探っています。
- FTP ログイン試行
- 28
- MySQL ログイン試行
- 165
よく試された FTP ユーザー名:
anonymous (7)
よく試された MySQL ユーザー名:
root (36) webapp (30) admin (6) sa (3)
オープン SMTP リレー
偽のメールサーバーは何にでも「はい」と答え、メールを中継するふりをしますが、実際にはどこにも何も送りません。誰を名乗り、誰に届けようとするかを見ているだけです。
- 今日の接続
- 21
- ログイン試行（ユーザー名+パスワード）
- 1
オープン DNS リゾルバー
本物のオープンリゾルバーは、送信元を偽装した問い合わせで悪用され、応答で被害者をあふれさせます（DDoS 増幅）。これは一切何も答えず、誰が何を尋ねるかを見ているだけなので、悪用される余地なくスキャンを観察できます。
- 今日のクエリ
- 55
- うち増幅向きのタイプ（ANY/TXT/DNSKEY）
- 38
盗まれたパスワード
ここで .env や .git ファイルを探す者には偽物が渡されます。中身はその相手専用のパスワードと管理者ログインのアドレスです。誰かがそのパスワードでログインしようとすれば、誰からいつ盗まれたものかが正確にわかります。
- 今日えさに食いついた IP
- 48
- 盗まれたパスワードがその後使われたもの
- 15
- …しかも別のマシンから
- 13
最速の者は盗んでから 0 分後に試しました。
| 11-07 16:53 | git clone | +941 分 | 別のマシン | 45.137.x.x |
| 11-07 16:32 | git clone | +0 分 | 同じマシン | 176.65.x.x |
| 11-07 16:08 | git clone | +795 分 | 別のマシン | 45.137.x.x |
| 11-07 11:49 | git clone | +0 分 | 別のマシン | 45.137.x.x |
| 11-07 06:56 | git clone | +243 分 | 別のマシン | 45.137.x.x |
何を探しているか
- 秘密探し（.env、.git、バックアップ）
- 2 861
- その他の探り
- 2 006
- その他の PHP スクリプト
- 270
- WordPress のログインとプラグイン
- 210
- 既知のソフトウェアの脆弱性（Exchange、Jenkins、VPN）
- 114
- データベース管理（phpMyAdmin、Adminer）
- 17
- ルーター・IoT への攻撃
- 6
パスワードや鍵を探して試された 873 種類のファイル名:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
このサーバーは 15 種類の名前で求められました（「(IP)」は IP アドレスそのもの。そうやって来る者は私たちを探しているのではなく、インターネットを総なめにしているだけです）:
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · 偽 DNS に問い合わせられた名前: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
よく試されたパスワード（Telnet、FTP、SMTP）:
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% は Mirai ボットネットの工場出荷時パスワード一覧そのまま
ブロックの理由（CrowdSec）:
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
1 つのスクリプト、多数のマシン
これまでに、少なくとも 3 台の異なるマシンが手順どおりまったく同じことをしたグループを 57 個見つけました。同じプログラムが多くの場所から動いており、合計 485 台です。最大のグループでは 35 台のマシン（1 個のネットワークから）が同じ 29 ステップを実行しました：
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
どこから · 636 個の IP、71 か国
- 中国
- 18 478
- 英国
- 12 981
- カザフスタン
- 8 801
- 台湾
- 3 268
- ロシア連邦
- 3 140
来た元のネットワーク: 11% はクラウド・ホスティング事業者、つまり借りたサーバーから
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
どのドアをノックするか · 4 968 個の TCP ポート
このマシンでは一覧にあるもの以外、本物のサービスは何も動いていませんが、それでもすべてのポートが試されます。各マスは過去 24 時間のポート範囲で、オレンジが濃いほど試行が多いことを示します。
0-65535、1 マスあたり 256 ポート
0-1023、ウェルノウンポート、1 マスに 1 つ
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
ライブ
届いた順の試行。IP の末尾は伏せてあります。「新規」：この IP は初めて来た、⛔：到着時に CrowdSec のコミュニティ・ブロックリストに載っていた
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | 偽 SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | 偽 SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | 偽 SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | WordPress のログインとプラグイン | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | 偽 SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | その他の PHP スクリプト | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
サーバーを運用しているなら
- .env ファイル、.git フォルダー、バックアップを Web ルートに置かないこと。 2 861
- WordPress とプラグインを最新に保ち、ユーザー名に「admin」を使わないこと。 210
- データベース管理ツール（phpMyAdmin、Adminer）をインターネットに公開しないこと。 17
- アップデートは出たらすぐに適用すること。悪用は数日以内に始まります。 114
- ルーターやカメラの初期パスワードを変え、管理画面を公開しないこと。 6
- SSH は鍵のみ、パスワードなし。
数字：今日その不備を狙った試行の数
あなたの IP（216.73.217.15）はブロックリストに載っていません。載っていたらこのページは見えません。
更新 09:30 · CrowdSec · GeoLite2 (MaxMind) · 地図: Al MacDonald, CC BY-SA 3.0 ·
オープンデータ