cyberzone.hu
6 445
încercări nesolicitate în ultimele 24 de ore, prin SSH și pe pagini parcate goale ca aceasta
- În medie, sosește una la fiecare 13 secunde.
- Cel mai rapid scanner a trimis 176 cereri într-o singură secundă.
- 61% dintre scannerele web se dau drept un browser obișnuit.
- În acest ritm, înseamnă aproximativ 2 352 000 încercări pe an (estimare pe baza zilei de azi).
Acest domeniu și-a primit certificatul la 2026-10-18 15:15. Primul scanner a apărut după 58 minute. De atunci, 47 204 încercări au vizat cyberzone.hu după nume.
-24hvârf: 6 636/hacum
- încercări de autentificare SSH
- 0
- scanări web
- 5 484
- bătăi la SSH-ul fals (portul 22)
- 961
- IP-uri blocate acum
- 7
DACĂ L-AR PĂZI CROWDSEC
- atacuri primite azi de acest site
- 6 445
- câte ar fi primit în spatele unui CrowdSec configurat corect
- 1 099
- blocate de el
- 5 346 (83%)
- doar lista de blocare a comunității
- 279 (4%)
- doar WAF-ul (AppSec), cereri web
- 652
- IP-uri atacatoare pe care le-ar fi oprit măcar o dată, din cele 389 de azi
- 123
- IP-uri de pe lista de blocare dintre cei 389 atacatori de azi
- 38
Un al doilea CrowdSec, doar de observare, urmărește acest site cu aceleași reguli, dar nu blochează nimic. O încercare contează ca blocată doar dacă IP-ul ei ar fi fost deja blocat în acel moment: 5 083 prin propriile detecții de aici, 0 pentru că era deja blocat pe site-urile noastre reale, 162 prin lista de blocare a comunității. Încercările care declanșează o detecție trec totuși, ca în realitate. 56% dintre încercări vin de la cele mai active 10 IP-uri, așa că proporția blocată depinde mai ales de ele; numărătoarea pe atacator e imaginea mai corectă.
+ 101 cereri de la roboți de căutare și AI (Google, Bing, Claude...), care nu sunt numărate ca atacuri.
Dintre acestea, 117 IP-uri aparțin unor scannere cunoscute de cercetare sau de cartografiere a internetului (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): scanează pe toată lumea și publică ce găsesc. Restul sunt nesolicitate și necunoscute.
CAPCANA DE PE PORTUL 22
Pe portul 22 nu există SSH real, doar o capcană care nu lasă pe nimeni să intre și trimite o linie fără sens la fiecare zece secunde ca botul să tot aștepte. Azi au venit 961 conexiuni, iar boții au stat blocați în total 34.4 ore. Cel mai răbdător a așteptat 18 minute.
cu ce au venit:
fără nume (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
O vulnerabilitate PHP critică făcută publică pe 21 octombrie 2026: o încărcare de fișier construită special rulează cod pe orice site PHP. Pe acest server nu există PHP, dar o capcană verifică fiecare încărcare și recunoaște când cineva încearcă asta.
- încercări PHP2Shell azi
- 0
- de pe IP-uri diferite
- 0
- în total, de când funcționează capcana
- 8
- alte încercări de încărcare azi
- 75
Ca momeală, o pagină phpinfo falsă arată o versiune PHP vulnerabilă. Azi a fost deschisă de 134 ori de pe 28 IP-uri; 3 dintre ele au încercat apoi o încărcare, 0 anume cu PHP2Shell.
Prima încercare a sosit la 10-22 10:13, la 18.7 ore după dezvăluire.
TELNET (BOTNETURI IoT, STIL MIRAI)
Telnetul fals de pe portul 23 se poartă ca un router sau o cameră cu parolă slabă: acceptă prima autentificare oferită, apoi dă un shell fals ca să vedem ce ar încerca să ruleze sau să descarce prin el.
- conexiuni azi
- 834
- perechi utilizator/parolă încercate
- 66
cele mai încercate nume de utilizator:
root (21) admin (11) pi (2) default (2) user (2)
LINKURI DE DESCĂRCARE MALWARE · 7 ZILE
De unde au încercat să facă această mașină să descarce etapa următoare (un client de botnet, un script de instalare) prin Telnet, exploituri web și alte porturi. Fiecare e verificat în URLhaus de la abuse.ch; 14 sunt cunoscute acolo. Adresele nu sunt clicabile intenționat.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · încă nu e în URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · încă nu e în URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · încă nu e în URLhaus
REDIS
Un Redis deschis este una dintre căile preferate pentru atacurile ransomware și de minare în cloud (SLAVEOF, CONFIG SET, MODULE LOAD, apoi SET+SAVE ca să scrie un fișier pe disc). Cel fals răspunde OK la orice ca să vedem toată încercarea, dar nu rulează și nu salvează nimic.
- conexiuni azi
- 48
- dintre care încercări de preluare a serverului
- 22
ce au încercat:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
FORȚĂ BRUTĂ PE ALTE PROTOCOALE
Aceeași flotă de scannere sondează și FTP și MySQL, nu doar web și SSH.
- încercări de autentificare FTP
- 28
- încercări de autentificare MySQL
- 165
cele mai încercate nume de utilizator FTP:
anonymous (7)
cele mai încercate nume de utilizator MySQL:
root (36) webapp (30) admin (6) sa (3)
RELEU SMTP DESCHIS
Serverul de mail fals spune da la orice, ca și cum ar trimite mai departe mesajul, dar nu trimite niciodată nimic nicăieri: doar ne uităm drept cine se dau și pe cine ar încerca să contacteze prin el.
- conexiuni azi
- 21
- încercări de autentificare (utilizator+parolă)
- 1
RESOLVER DNS DESCHIS
Un resolver deschis real e folosit abuziv interogându-l cu o adresă sursă falsificată, ca să inunde victima cu răspunsul (amplificare DDoS). Acesta nu răspunde niciodată la nimic, doar urmărește cine ce ar întreba: vedem scanările fără nicio posibilitate de abuz.
- interogări azi
- 55
- dintre care de un tip potrivit pentru amplificare (ANY/TXT/DNSKEY)
- 38
PAROLE FURATE
Oricine caută aici fișiere .env sau .git primește unul fals, cu o parolă făcută doar pentru el și adresa unei autentificări de admin. Dacă cineva încearcă să intre cu ea, știm exact de la cine și când a fost furată.
- IP-uri care au mușcat momeala azi
- 48
- a căror parolă furată a fost apoi folosită
- 15
- … de pe altă mașină
- 13
Cel mai rapid a încercat-o la 0 minute după furt.
| 11-07 16:53 | git clone | +941 min | altă mașină | 45.137.x.x |
| 11-07 16:32 | git clone | +0 min | aceeași mașină | 176.65.x.x |
| 11-07 16:08 | git clone | +795 min | altă mașină | 45.137.x.x |
| 11-07 11:49 | git clone | +0 min | altă mașină | 45.137.x.x |
| 11-07 06:56 | git clone | +243 min | altă mașină | 45.137.x.x |
CE CAUTĂ
- vânătoare de secrete (.env, .git, backupuri)
- 2 861
- alte sondări
- 2 006
- alte scripturi PHP
- 270
- autentificare și pluginuri WordPress
- 210
- erori software cunoscute (Exchange, Jenkins, VPN)
- 114
- administrare baze de date (phpMyAdmin, Adminer)
- 17
- exploituri pentru routere și IoT
- 6
873 nume de fișiere diferite încercate în căutarea parolelor și cheilor:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
acest server a fost căutat sub 15 nume diferite („(IP)” este adresa IP goală: cine vine așa nu ne caută pe noi, doar scanează internetul):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · nume cerute DNS-ului fals: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
cele mai încercate parole (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% direct din lista de parole implicite din fabrică a botnetului Mirai
motivele blocărilor (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
UN SCRIPT, MULTE MAȘINI
Până acum am găsit 57 grupuri în care cel puțin trei mașini diferite au făcut exact același lucru, pas cu pas: același program rulat din multe locuri, 485 mașini în total. În cel mai mare, 35 mașini (din 1 rețea) au rulat aceiași 29 pași:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
DE UNDE · 636 IP-uri, 71 țări
- China
- 18 478
- Regatul Unit
- 12 981
- Kazakhstan
- 8 801
- Taiwan, Provincie chineză
- 3 268
- Federația Rusă
- 3 140
rețelele din care au venit: 11% de la furnizori de cloud și găzduire, adică de pe servere închiriate
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
LA CE UȘI BAT · 4 968 porturi TCP
Pe această mașină nu rulează niciun serviciu real în afară de cele enumerate, și totuși fiecare port este încercat. Fiecare pătrat este un interval de porturi din ultimele 24 de ore; cu cât portocaliul e mai intens, cu atât mai multe încercări.
0-65535, 256 de porturi pe pătrat
0-1023, porturile binecunoscute, unul pe pătrat
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
ÎN DIRECT
încercările pe măsură ce sosesc; finalul fiecărui IP e mascat, „nou”: acest IP nu a mai fost aici, ⛔: era pe lista de blocare a comunității CrowdSec când a sosit
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | SSH fals (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | SSH fals (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | SSH fals (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | autentificare și pluginuri WordPress | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | SSH fals (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | alte scripturi PHP | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
DACĂ AI UN SERVER
- Nu pune niciodată fișiere .env, foldere .git sau backupuri în rădăcina web. 2 861
- Ține WordPress și pluginurile actualizate și nu folosi „admin” ca nume de utilizator. 210
- Nu expune pe internet uneltele de administrare a bazei de date (phpMyAdmin, Adminer). 17
- Instalează actualizările imediat ce apar: exploatarea începe în câteva zile. 114
- Schimbă parolele implicite ale routerelor și camerelor și nu expune paginile lor de administrare. 6
- SSH doar cu chei, fără parole.
numerele: încercări care au vizat azi acea greșeală
IP-ul tău (216.73.217.15) nu e pe lista de blocare, altfel nu ai vedea această pagină.
actualizat 09:30 · CrowdSec · GeoLite2 (MaxMind) · hartă: Al MacDonald, CC BY-SA 3.0 ·
date deschise