cyberzone.hu
6 445
tentativas não solicitadas nas últimas 24 horas, por SSH e em páginas estacionadas vazias como esta
- Chega uma a cada 13 segundos, em média.
- O scanner mais rápido disparou 176 pedidos num único segundo.
- 61% dos scanners web fingem ser um navegador comum.
- A este ritmo, são cerca de 2 352 000 tentativas por ano (projeção a partir de hoje).
Este domínio obteve o seu certificado às 2026-10-18 15:15. O primeiro scanner apareceu 58 minutos depois. Desde então, 47 204 tentativas visaram cyberzone.hu pelo nome.
-24hpico: 6 636/hagora
- tentativas de login SSH
- 0
- sondagem web
- 5 484
- batidas no SSH falso (porta 22)
- 961
- IPs bloqueados neste momento
- 7
SE O CROWDSEC O PROTEGESSE
- ataques que este site recebeu hoje
- 6 445
- o que lhe chegaria por trás de um CrowdSec bem configurado
- 1 099
- bloqueados por ele
- 5 346 (83%)
- só a lista de bloqueio comunitária
- 279 (4%)
- só a WAF (AppSec), pedidos web
- 652
- IPs atacantes que teria travado pelo menos uma vez, dos 389 de hoje
- 123
- IPs na lista de bloqueio entre os 389 atacantes de hoje
- 38
Um segundo CrowdSec, só de observação, vigia este site com as mesmas regras, mas não bloqueia nada. Uma tentativa só conta como bloqueada se o seu IP já estivesse banido nesse momento: 5 083 pelas suas próprias deteções aqui, 0 porque já estava banido nos nossos sites reais, 162 pela lista de bloqueio comunitária. As tentativas que acionam uma deteção passam na mesma, como passariam na realidade. 56% das tentativas vêm dos 10 IPs mais ativos, por isso a parte bloqueada depende sobretudo deles; a contagem por atacante é a imagem mais justa.
+ 101 pedidos de robôs de pesquisa e de IA (Google, Bing, Claude...), não contados como ataques.
Destes, 117 IPs pertencem a scanners de investigação ou de levantamento da internet conhecidos (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): analisam toda a gente e publicam o que encontram. Os restantes são não solicitados e desconhecidos.
A ARMADILHA DA PORTA 22
Não há SSH real na porta 22, apenas uma armadilha que nunca deixa ninguém entrar e envia uma linha sem sentido a cada dez segundos para manter o bot à espera. Hoje chegaram 961 ligações, e os bots passaram 34.4 horas presos no total. O que mais esperou ficou 18 minutos.
o que usaram:
sem nome (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Uma falha crítica do PHP tornada pública a 21 de outubro de 2026: um upload de ficheiro com uma forma especial executa código em qualquer site PHP. Não há PHP neste servidor, mas uma armadilha inspeciona cada upload e reconhece quando alguém tenta isto.
- tentativas de PHP2Shell hoje
- 0
- de IPs distintos
- 0
- no total desde que a armadilha foi montada
- 8
- outras tentativas de upload hoje
- 75
Como isco, uma página phpinfo falsa mostra uma versão vulnerável do PHP. Hoje foi aberta 134 vezes a partir de 28 IPs; 3 deles tentaram depois um upload, 0 especificamente com PHP2Shell.
A primeira tentativa chegou às 10-22 10:13, 18.7 horas após a divulgação.
TELNET (BOTNETS IoT, AO ESTILO MIRAI)
O Telnet falso na porta 23 comporta-se como um router ou câmara fraca: aceita o primeiro login oferecido e depois dá uma shell falsa para ver o que tentariam executar ou descarregar através dela.
- ligações hoje
- 834
- pares utilizador/palavra-passe tentados
- 66
nomes de utilizador mais tentados:
root (21) admin (11) pi (2) default (2) user (2)
LIGAÇÕES DE DOWNLOAD DE MALWARE · 7 DIAS
De onde tentaram fazer esta máquina descarregar a fase seguinte (um cliente de botnet, um script de instalação) através de Telnet, exploits web e outras portas. Cada uma é verificada no URLhaus da abuse.ch; 14 já são lá conhecidas. Os endereços não são clicáveis de propósito.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · ainda não está no URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · ainda não está no URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · ainda não está no URLhaus
REDIS
Um Redis aberto é uma das vias preferidas para ataques de ransomware e de mineração de criptomoedas na nuvem (SLAVEOF, CONFIG SET, MODULE LOAD, depois SET+SAVE para deixar um ficheiro no disco). O falso responde OK a tudo para vermos a tentativa completa, mas não executa nem guarda nada.
- ligações hoje
- 48
- dos quais tentativas de tomar o servidor
- 22
o que tentaram:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
FORÇA BRUTA EM OUTROS PROTOCOLOS
A mesma frota de scanners também sonda FTP e MySQL, não só a web e o SSH.
- tentativas de login no FTP
- 28
- tentativas de login no MySQL
- 165
nomes de utilizador do FTP mais tentados:
anonymous (7)
nomes de utilizador do MySQL mais tentados:
root (36) webapp (30) admin (6) sa (3)
RELAY SMTP ABERTO
O servidor de correio falso diz que sim a tudo, como se fosse reencaminhar o correio, mas nunca envia nada para lado nenhum: apenas observamos quem dizem ser e a quem tentariam chegar através dele.
- ligações hoje
- 21
- tentativas de login (utilizador+palavra-passe)
- 1
RESOLVEDOR DNS ABERTO
Um resolvedor aberto real é abusado ao ser consultado com um endereço de origem falsificado, inundando a vítima com a resposta (amplificação DDoS). Este nunca responde a nada, apenas observa quem perguntaria o quê, por isso vemos as sondagens sem qualquer forma de abuso.
- consultas hoje
- 55
- dos quais de um tipo próprio para amplificação (ANY/TXT/DNSKEY)
- 38
PALAVRAS-PASSE ROUBADAS
Quem procurar aqui ficheiros .env ou .git recebe um falso, com uma palavra-passe criada só para ele e o endereço de um login de administração. Se alguém tentar entrar com ela, sabemos exatamente a quem e quando foi roubada.
- IPs que morderam o isco hoje
- 48
- cuja palavra-passe roubada foi depois usada
- 15
- … a partir de outra máquina
- 13
O mais rápido experimentou-a 0 minutos após o roubo.
| 11-07 16:53 | git clone | +941 min | outra máquina | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | mesma máquina | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | outra máquina | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | outra máquina | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | outra máquina | 45.137.x.x |
O QUE PROCURAM
- caça a segredos (.env, .git, cópias de segurança)
- 2 861
- outras sondagens
- 2 006
- outros scripts PHP
- 270
- login e plugins do WordPress
- 210
- falhas de software conhecidas (Exchange, Jenkins, VPN)
- 114
- administração de bases de dados (phpMyAdmin, Adminer)
- 17
- exploits de routers e IoT
- 6
873 nomes de ficheiro diferentes tentados na caça a palavras-passe e chaves:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
procuraram este servidor com 15 nomes diferentes ("(IP)" é o endereço IP simples: quem chega assim não nos procura, apenas varre a internet):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · nomes pedidos ao DNS falso: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
palavras-passe mais tentadas (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% diretamente da lista de credenciais de fábrica do botnet Mirai
motivos de bloqueio (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
UM SCRIPT, MUITAS MÁQUINAS
Até agora encontramos 57 grupos em que pelo menos três máquinas diferentes fizeram exatamente o mesmo, passo a passo: o mesmo programa executado a partir de muitos lugares, 485 máquinas no total. No maior, 35 máquinas (de 1 rede) executaram os mesmos 29 passos:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
DE ONDE · 636 IP, 71 países
- China
- 18 478
- Reino Unido
- 12 981
- Cazaquistão
- 8 801
- Taiwan, Província da China
- 3 268
- Federação Russa
- 3 140
redes de onde vieram: 11% de fornecedores de nuvem e alojamento, ou seja, servidores alugados
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
A QUE PORTAS BATEM · 4 968 portas TCP
Nenhum serviço real funciona nesta máquina além dos indicados, mas mesmo assim todas as portas são tentadas. Cada quadrado é um intervalo de portas nas últimas 24 horas; quanto mais escuro o laranja, mais tentativas.
0-65535, 256 portas por quadrado
0-1023, as portas conhecidas, uma por quadrado
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
AO VIVO
tentativas à medida que chegam; o final de cada IP está oculto, "novo": este IP nunca esteve aqui antes, ⛔: estava na lista de bloqueio comunitária do CrowdSec quando chegou
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | SSH falso (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | SSH falso (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | SSH falso (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | login e plugins do WordPress | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | SSH falso (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | outros scripts PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
SE GERE UM SERVIDOR
- Nunca coloque ficheiros .env, pastas .git ou cópias de segurança na raiz web. 2 861
- Mantenha o WordPress e os plugins atualizados, e não use "admin" como nome de utilizador. 210
- Mantenha as ferramentas de administração de bases de dados (phpMyAdmin, Adminer) fora da internet pública. 17
- Instale as atualizações assim que saírem: a exploração começa em poucos dias. 114
- Altere as palavras-passe de fábrica de routers e câmaras, e não exponha as suas páginas de administração. 6
- SSH só com chaves, sem palavras-passe.
números: tentativas dirigidas a esse erro hoje
O seu IP (216.73.217.15) não está na lista de bloqueio, caso contrário não veria esta página.
atualizado 09:30 · CrowdSec · GeoLite2 (MaxMind) · mapa: Al MacDonald, CC BY-SA 3.0 ·
dados abertos