cyberzone.hu
6 445
niechcianych prób w ciągu ostatnich 24 godzin, przez SSH i na pustych, zaparkowanych stronach takich jak ta
- Średnio jedna przychodzi co 13 sekund.
- Najszybszy skaner wysłał 176 żądań w ciągu jednej sekundy.
- 61% skanerów WWW udaje zwykłą przeglądarkę.
- W tym tempie to około 2 352 000 prób rocznie (szacunek na podstawie dzisiejszego dnia).
Ta domena dostała certyfikat 2026-10-18 15:15. Pierwszy skaner pojawił się 58 minut później. Od tego czasu 47 204 prób było skierowanych wprost na nazwę cyberzone.hu.
-24hszczyt: 6 636/hteraz
- próby logowania SSH
- 0
- skanowanie WWW
- 5 484
- pukanie do fałszywego SSH (port 22)
- 961
- IP zablokowane w tej chwili
- 7
GDYBY CHRONIŁ GO CROWDSEC
- ataki na tę stronę dzisiaj
- 6 445
- tyle dotarłoby za poprawnie skonfigurowanym CrowdSec
- 1 099
- zablokowane przez niego
- 5 346 (83%)
- sama społecznościowa lista blokad
- 279 (4%)
- sam WAF (AppSec), żądania WWW
- 652
- atakujące IP, które zatrzymałby co najmniej raz, z dzisiejszych 389
- 123
- IP z listy blokad wśród dzisiejszych 389 atakujących
- 38
Drugi CrowdSec, tylko obserwujący, sprawdza tę stronę tymi samymi regułami, ale niczego nie blokuje. Próba liczy się jako zablokowana tylko wtedy, gdy jej IP byłoby już w tej chwili zablokowane: 5 083 dzięki jego własnym wykryciom tutaj, 0 bo było już zablokowane na naszych prawdziwych stronach, 162 dzięki społecznościowej liście blokad. Próby, które wywołują wykrycie, i tak przechodzą, tak jak naprawdę. 56% prób pochodzi z 10 najaktywniejszych IP, więc zablokowany odsetek zależy głównie od nich; liczenie na atakującego daje uczciwszy obraz.
+ 101 żądań od robotów wyszukiwarek i AI (Google, Bing, Claude...), nie liczymy ich jako ataków.
Z tego 117 IP należy do znanych skanerów badawczych lub mapujących internet (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): skanują wszystkich i publikują, co znajdą. Reszta jest niechciana i nieznana.
PUŁAPKA NA PORCIE 22
Na porcie 22 nie ma prawdziwego SSH, tylko pułapka, która nikogo nie wpuszcza i co dziesięć sekund wysyła bezsensowną linię, żeby bot dalej czekał. Dziś przyszło 961 połączeń, a boty utknęły w sumie na 34.4 godzin. Najdłużej czekający czekał 18 minut.
czego użyli:
bez nazwy (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Krytyczna luka w PHP ujawniona 21 października 2026: specjalnie spreparowane wysłanie pliku uruchamia kod na dowolnej stronie w PHP. Na tym serwerze nie ma PHP, ale pułapka sprawdza każde wysłanie i rozpoznaje, gdy ktoś tego próbuje.
- próby PHP2Shell dzisiaj
- 0
- z różnych IP
- 0
- łącznie, odkąd działa pułapka
- 8
- inne próby wysłania plików dzisiaj
- 75
Jako przynęta fałszywa strona phpinfo pokazuje podatną wersję PHP. Dziś otwarto ją 134 razy z 28 IP; 3 z nich próbowało potem wysłać plik, 0 właśnie przez PHP2Shell.
Pierwsza próba przyszła 10-22 10:13, 18.7 godzin po ujawnieniu.
TELNET (BOTNETY IoT W STYLU MIRAI)
Fałszywy Telnet na porcie 23 udaje słabo zabezpieczony router albo kamerę: przyjmuje pierwsze podane logowanie, a potem daje fałszywą powłokę, żeby zobaczyć, co próbowaliby przez nią uruchomić lub pobrać.
- połączenia dzisiaj
- 834
- wypróbowane pary login/hasło
- 66
najczęściej próbowane loginy:
root (21) admin (11) pi (2) default (2) user (2)
LINKI DO POBRANIA MALWARE · 7 DNI
Skąd próbowali kazać tej maszynie pobrać kolejny etap (klienta botnetu, skrypt instalacyjny) przez Telnet, exploity WWW i inne porty. Każdy sprawdzamy w URLhaus od abuse.ch; 14 są tam znane. Adresy celowo nie są klikalne.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · jeszcze nie ma w URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · jeszcze nie ma w URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · jeszcze nie ma w URLhaus
REDIS
Otwarty Redis to ulubiona furtka ataków ransomware i koparek kryptowalut w chmurze (SLAVEOF, CONFIG SET, MODULE LOAD, a potem SET+SAVE, żeby zapisać plik na dysku). Fałszywy odpowiada OK na wszystko, żebyśmy widzieli całą próbę, ale niczego nie wykonuje ani nie zapisuje.
- połączenia dzisiaj
- 48
- w tym próby przejęcia serwera
- 22
co próbowali:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
BRUTE FORCE NA INNYCH PROTOKOŁACH
Ta sama flota skanerów sprawdza też FTP i MySQL, nie tylko WWW i SSH.
- próby logowania FTP
- 28
- próby logowania MySQL
- 165
najczęściej próbowane loginy FTP:
anonymous (7)
najczęściej próbowane loginy MySQL:
root (36) webapp (30) admin (6) sa (3)
OTWARTY PRZEKAŹNIK SMTP
Fałszywy serwer pocztowy na wszystko mówi tak, jakby miał przekazać list dalej, ale nigdy niczego nigdzie nie wysyła: patrzymy tylko, za kogo się podają i do kogo próbowaliby przez niego pisać.
- połączenia dzisiaj
- 21
- próby logowania (login+hasło)
- 1
OTWARTY RESOLWER DNS
Prawdziwy otwarty resolwer wykorzystuje się, wysyłając mu zapytania z podrobionym adresem źródłowym, żeby zalał ofiarę odpowiedziami (wzmocnienie DDoS). Ten nigdy na nic nie odpowiada, tylko patrzy, kto o co by pytał: widzimy skanowanie bez żadnej możliwości nadużycia.
- zapytania dzisiaj
- 55
- w tym typy nadające się do wzmocnienia (ANY/TXT/DNSKEY)
- 38
SKRADZIONE HASŁA
Kto szuka tu plików .env lub .git, dostaje fałszywy, z hasłem przygotowanym tylko dla niego i adresem logowania do panelu admina. Jeśli ktoś spróbuje się nim zalogować, wiemy dokładnie, od kogo i kiedy zostało skradzione.
- IP, które dziś połknęły przynętę
- 48
- których skradzione hasło potem użyto
- 15
- … z innej maszyny
- 13
Najszybszy spróbował go 0 minut po kradzieży.
| 11-07 16:53 | git clone | +941 min | inna maszyna | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | ta sama maszyna | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | inna maszyna | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | inna maszyna | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | inna maszyna | 45.137.x.x |
CZEGO SZUKAJĄ
- polowanie na sekrety (.env, .git, kopie zapasowe)
- 2 861
- inne sondowanie
- 2 006
- inne skrypty PHP
- 270
- logowanie i wtyczki WordPressa
- 210
- znane błędy oprogramowania (Exchange, Jenkins, VPN)
- 114
- administracja bazą danych (phpMyAdmin, Adminer)
- 17
- exploity na routery i IoT
- 6
873 różnych nazw plików wypróbowanych w poszukiwaniu haseł i kluczy:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
o ten serwer pytano pod 15 różnymi nazwami („(IP)” to sam adres IP: kto tak przychodzi, nie szuka nas, tylko przeczesuje internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · nazwy, o które pytano fałszywy DNS: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
najczęściej próbowane hasła (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% wprost z listy fabrycznych haseł botnetu Mirai
powody blokad (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
JEDEN SKRYPT, WIELE MASZYN
Do tej pory znaleźliśmy 57 grup, w których co najmniej trzy różne maszyny robiły dokładnie to samo, krok po kroku: ten sam program uruchomiony z wielu miejsc, łącznie 485 maszyn. W największej 35 maszyn (z 1 sieci) wykonało te same 29 kroki:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
SKĄD · 636 IP, 71 krajów
- Chiny
- 18 478
- Wielka Brytania
- 12 981
- Kazachstan
- 8 801
- Tajwan
- 3 268
- Federacja Rosyjska
- 3 140
sieci, z których przyszli: 11% od dostawców chmury i hostingu, czyli z wynajętych serwerów
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
DO KTÓRYCH DRZWI PUKAJĄ · 4 968 portów TCP
Na tej maszynie nie działa żadna prawdziwa usługa poza wymienionymi, a mimo to próbowany jest każdy port. Każdy kwadrat to zakres portów z ostatnich 24 godzin; im ciemniejszy pomarańczowy, tym więcej prób.
0-65535, 256 portów na kwadrat
0-1023, dobrze znane porty, jeden na kwadrat
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
NA ŻYWO
próby na bieżąco; koniec każdego IP jest zamaskowany, „nowy”: to IP nigdy wcześniej tu nie było, ⛔: w chwili przybycia było na społecznościowej liście blokad CrowdSec
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | fałszywy SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | fałszywy SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | fałszywy SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | logowanie i wtyczki WordPressa | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | fałszywy SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | inne skrypty PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
JEŚLI MASZ SERWER
- Nigdy nie wdrażaj plików .env, folderów .git ani kopii zapasowych do katalogu głównego WWW. 2 861
- Aktualizuj WordPressa i jego wtyczki i nie używaj loginu „admin”. 210
- Nie wystawiaj narzędzi do administracji bazą danych (phpMyAdmin, Adminer) do publicznego internetu. 17
- Instaluj aktualizacje, gdy tylko wyjdą: wykorzystywanie luk zaczyna się w ciągu kilku dni. 114
- Zmień domyślne hasła w routerach i kamerach i nie wystawiaj ich paneli administracyjnych. 6
- SSH tylko z kluczami, bez haseł.
liczby: próby wymierzone dziś w ten błąd
Twoje IP (216.73.217.15) nie jest na liście blokad, inaczej nie widział(a)byś tej strony.
zaktualizowano 09:30 · CrowdSec · GeoLite2 (MaxMind) · mapa: Al MacDonald, CC BY-SA 3.0 ·
otwarte dane