cyberzone.hu

6 445

지난 24시간 동안 SSH와 이런 빈 파킹 페이지에 들어온 원치 않는 시도

평균 13초마다 하나씩 도착합니다.
가장 빠른 스캐너는 단 1초 만에 176건의 요청을 보냈습니다.
웹 스캐너의 61%는 평범한 브라우저인 척합니다.
이 속도라면 1년에 약 2 352 000건의 시도입니다 (오늘 기준 추정).

이 도메인은 2026-10-18 15:15에 인증서를 받았습니다. 첫 스캐너는 58분 뒤에 나타났습니다. 그 후 47 204건의 시도가 cyberzone.hu를 이름으로 지목했습니다.

-24h최고: 6 636/h지금

SSH 로그인 시도: 0
웹 스캔: 5 484
가짜 SSH(포트 22) 노크: 961
현재 차단된 IP: 7

CrowdSec이 지키고 있었다면

오늘 이 사이트가 받은 공격: 6 445
제대로 설정된 CrowdSec 뒤에서 받았을 공격: 1 099
차단됨: 5 346 (83%)
커뮤니티 차단 목록만으로: 279 (4%)
WAF(AppSec)만으로, 웹 요청: 652
오늘의 389개 중 한 번 이상 막았을 공격 IP: 123
오늘 공격자 389개 중 차단 목록에 있는 IP: 38

감시만 하는 두 번째 CrowdSec이 같은 규칙으로 이 사이트를 지켜보지만 아무것도 차단하지 않습니다. 시도는 그 순간 해당 IP가 이미 차단되어 있었을 경우에만 차단된 것으로 셉니다: 5 083건은 여기서의 자체 탐지로, 0건은 실제 사이트에서 이미 차단되어 있어서, 162건은 커뮤니티 차단 목록 때문입니다. 탐지를 일으킨 시도 자체는 실제와 마찬가지로 그대로 통과합니다. 시도의 56%는 가장 활발한 IP 10개에서 오므로 차단 비율은 주로 이들에 좌우됩니다. 공격자별 수치가 더 공정한 그림입니다.

+ 검색 및 AI 크롤러(Google, Bing, Claude...)의 요청 101건, 공격으로 집계하지 않음.

이 중 IP 117개는 알려진 연구용 또는 인터넷 조사용 스캐너(Driftnet, Censys, Stretchoid, LeakIX, ONYPHE)의 것입니다: 이들은 모두를 스캔하고 결과를 공개합니다. 나머지는 원치 않는, 출처를 알 수 없는 시도입니다.

포트 22 함정

포트 22에는 진짜 SSH가 없고, 아무도 들여보내지 않으면서 봇이 계속 기다리도록 10초마다 의미 없는 줄을 보내는 함정만 있습니다. 오늘 961건의 연결이 들어왔고, 봇들은 모두 합쳐 34.4시간 동안 붙잡혀 있었습니다. 가장 오래 기다린 것은 18분이었습니다.

사용한 것: 이름 없음 (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)

PHP2SHELL (CVE-2026-109618, CVE-2026-109619)

2026년 10월 21일 공개된 치명적인 PHP 결함: 특수하게 만든 파일 업로드로 어떤 PHP 사이트에서든 코드가 실행됩니다. 이 서버에는 PHP가 없지만, 함정이 모든 업로드를 검사해 누군가 이를 시도하면 알아챕니다.

오늘의 PHP2Shell 시도: 0
서로 다른 IP에서: 0
함정 설치 이후 합계: 8
오늘의 기타 업로드 시도: 75

미끼로 가짜 phpinfo 페이지가 취약한 PHP 버전을 보여 줍니다. 오늘 28개 IP에서 134번 열렸고, 그중 3개가 이어서 업로드를 시도했으며 0개는 PHP2Shell을 사용했습니다.

첫 시도는 공개 18.7시간 뒤인 10-22 10:13에 도착했습니다.

TELNET (Mirai 방식의 IoT 봇넷)

포트 23의 가짜 Telnet은 허술한 라우터나 카메라처럼 행동합니다: 처음 입력된 로그인을 받아들인 뒤 가짜 셸을 내주어 그들이 무엇을 실행하거나 내려받으려 하는지 봅니다.

오늘의 연결: 834
시도된 사용자 이름/비밀번호 쌍: 66

가장 많이 시도된 사용자 이름: root (21) admin (11) pi (2) default (2) user (2)

악성코드 다운로드 링크 · 7일

Telnet, 웹 익스플로잇, 기타 포트를 통해 이 기계가 다음 단계(봇넷 클라이언트, 설치 스크립트)를 받아 오게 하려던 주소입니다. 모두 abuse.ch의 URLhaus에서 확인하며, 그중 14개는 이미 알려져 있습니다. 주소는 일부러 클릭할 수 없게 했습니다.

hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · 아직 URLhaus에 없음
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · 아직 URLhaus에 없음
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · 아직 URLhaus에 없음

REDIS

열린 Redis는 클라우드 랜섬웨어와 크립토마이너 공격이 즐겨 쓰는 침입 경로입니다 (SLAVEOF, CONFIG SET, MODULE LOAD 후 SET+SAVE로 디스크에 파일 쓰기). 가짜 Redis는 모든 것에 OK로 답해 시도 전체를 볼 수 있게 하지만, 아무것도 실행하거나 저장하지 않습니다.

오늘의 연결: 48
그중 서버 장악 시도: 22

시도한 것: INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES

다른 프로토콜에 대한 무차별 대입 공격

같은 스캐너 무리가 웹과 SSH뿐 아니라 FTP와 MySQL도 탐색합니다.

FTP 로그인 시도: 28
MySQL 로그인 시도: 165

가장 많이 시도된 FTP 사용자 이름: anonymous (7)

가장 많이 시도된 MySQL 사용자 이름: root (36) webapp (30) admin (6) sa (3)

개방형 SMTP 릴레이

가짜 메일 서버는 메일을 전달할 것처럼 모든 것에 예라고 답하지만, 실제로는 어디로도 아무것도 보내지 않습니다: 우리는 그들이 누구를 사칭하고 누구에게 보내려 하는지만 지켜봅니다.

오늘의 연결: 21
로그인 시도 (사용자 이름+비밀번호): 1

개방형 DNS 리졸버

실제 개방형 리졸버는 출발지 주소를 위조한 질의로 악용되어 피해자에게 응답을 쏟아붓게 됩니다(DDoS 증폭). 이 리졸버는 절대 아무것에도 응답하지 않고 누가 무엇을 물어보는지만 지켜보므로, 악용될 여지 없이 스캔을 관찰할 수 있습니다.

오늘의 질의: 55
그중 증폭 공격형 유형 (ANY/TXT/DNSKEY): 38

도난당한 비밀번호

여기서 .env나 .git 파일을 찾는 이는 누구나 가짜 파일을 받습니다. 그 안에는 오직 그를 위해 만든 비밀번호와 관리자 로그인 주소가 들어 있습니다. 누군가 그것으로 로그인을 시도하면, 누구에게서 언제 훔친 것인지 정확히 알 수 있습니다.

오늘 미끼를 문 IP: 48
훔친 비밀번호가 실제로 사용된 경우: 15
… 다른 기계에서: 13

가장 빠른 쪽은 훔친 지 0분 만에 시도했습니다.

11-07 16:53	git clone	+941 분	다른 기계	45.137.x.x
11-07 16:32	git clone	+0 분	같은 기계	176.65.x.x
11-07 16:08	git clone	+795 분	다른 기계	45.137.x.x
11-07 11:49	git clone	+0 분	다른 기계	45.137.x.x
11-07 06:56	git clone	+243 분	다른 기계	45.137.x.x

무엇을 찾는가

비밀 정보 찾기 (.env, .git, 백업): 2 861
기타 탐색: 2 006
기타 PHP 스크립트: 270
WordPress 로그인 및 플러그인: 210
알려진 소프트웨어 버그 (Exchange, Jenkins, VPN): 114
데이터베이스 관리 도구 (phpMyAdmin, Adminer): 17
라우터 및 IoT 익스플로잇: 6

비밀번호와 키를 찾으려고 시도한 873개의 서로 다른 파일 이름: /.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)

이 서버를 15개의 서로 다른 이름으로 찾았습니다 ("(IP)"는 IP 주소 그대로입니다: 이렇게 오는 쪽은 우리를 찾는 게 아니라 인터넷을 훑고 있을 뿐입니다): keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · 가짜 DNS에 질의된 이름: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)

가장 많이 시도된 비밀번호 (Telnet, FTP, SMTP): null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0%는 Mirai 봇넷의 공장 기본값 목록 그대로

차단 사유 (CrowdSec): http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)

하나의 스크립트, 많은 기계

지금까지 서로 다른 기계 최소 세 대가 단계별로 정확히 같은 일을 한 57개 그룹을 찾았습니다. 같은 프로그램이 여러 곳에서 실행된 것으로, 모두 485대입니다. 가장 큰 그룹에서는 35대(1개 네트워크에서)가 같은 29단계를 실행했습니다:

crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…

어디에서 · IP 636개, 71개국

중국: 18 478
영국: 12 981
카자흐스탄: 8 801
타이완: 3 268
러시아 연방: 3 140

출발 네트워크: 11%는 클라우드 및 호스팅 업체, 즉 임대 서버에서

NINGBO, ZHEJIANG Province, P.R.China.: 18 214
Data Communication Business Group: 3 148
INSYS LLC: 3 127
GOOGLE-CLOUD-PLATFORM: 1 395
Colombia: 1 066

어느 문을 두드리는가 · TCP 포트 4 968개

이 기계에서는 나열된 것 외에 실제 서비스가 하나도 없는데도 모든 포트가 시도됩니다. 각 칸은 지난 24시간 동안의 포트 범위이며, 주황색이 짙을수록 시도가 많습니다.

0-65535, 칸당 256개 포트

0-1023, 잘 알려진 포트, 칸당 1개

1433 · MSSQL: 47 112
5900 · VNC: 44 200
443 · HTTPS: 5 484
3389 · RDP: 3 131
22 · SSH: 961
23 · Telnet: 834
135 · HTTP: 551
8080 · HTTP-alt: 510
540 · HTTP: 472
9090 · HTTP: 471

실시간

도착하는 대로 보이는 시도; 각 IP의 끝부분은 가려져 있음, "신규": 이 IP는 처음 왔음, ⛔: 도착 시 CrowdSec 커뮤니티 차단 목록에 있었음

09:30	GB	MS SQL amyr	138.226.x.x
09:30	KZ	MS SQL abkg	185.136.x.x
09:30	US	가짜 SSH (22) libssh	50.6.x.x	ORACLE-BMC-31898
09:29	GB	Telnet	91.227.x.x	Vinters IT Ltd
09:28	FI	가짜 SSH (22)	80.66.x.x
09:28	US	Telnet	166.62.x.x	GO-DADDY-COM-LLC
09:26	SG	가짜 SSH (22) Go	101.47.x.x	Byteplus Pte. Ltd.
09:26	DE	WordPress 로그인 및 플러그인	81.171.x.x	Eweka Internet Services B.V.
09:21	CN	가짜 SSH (22) Go	112.26.x.x	China Mobile Communications Group Co., L
09:21	ZA	기타 PHP 스크립트	20.87.x.x	MICROSOFT-CORP-MSN-AS-BLOCK

서버를 운영한다면

웹 루트에 .env 파일, .git 폴더, 백업을 절대 올리지 마세요. 2 861
WordPress와 플러그인을 최신으로 유지하고, 사용자 이름으로 "admin"을 쓰지 마세요. 210
데이터베이스 관리 도구(phpMyAdmin, Adminer)를 공개 인터넷에 노출하지 마세요. 17
업데이트는 나오자마자 설치하세요: 악용은 며칠 안에 시작됩니다. 114
라우터와 카메라의 기본 비밀번호를 바꾸고, 관리 페이지를 외부에 노출하지 마세요. 6
SSH는 키로만, 비밀번호는 쓰지 마세요.

숫자: 오늘 해당 실수를 노린 시도 수

당신의 IP(216.73.217.15)는 차단 목록에 없습니다. 있었다면 이 페이지를 볼 수 없었을 것입니다.

업데이트 09:30 · CrowdSec · GeoLite2 (MaxMind) · 지도: Al MacDonald, CC BY-SA 3.0 · 공개 데이터