cyberzone.hu
6 445
незваных попыток за последние 24 часа, по SSH и на пустых припаркованных страницах вроде этой
- В среднем одна попытка приходит каждые 13 с.
- Самый быстрый сканер отправил 176 запросов за одну секунду.
- 61% веб-сканеров притворяются обычным браузером.
- При таком темпе это примерно 2 352 000 попыток в год (прогноз по сегодняшнему дню).
Этот домен получил сертификат в 2026-10-18 15:15. Первый сканер появился через 58 мин. С тех пор 47 204 попыток были направлены именно на cyberzone.hu.
-24hпик: 6 636/hсейчас
- попыток входа по SSH
- 0
- веб-сканирование
- 5 484
- стуков в фальшивый SSH (порт 22)
- 961
- IP заблокировано прямо сейчас
- 7
ЕСЛИ БЫ ЕГО ОХРАНЯЛ CROWDSEC
- атак на этот сайт сегодня
- 6 445
- столько дошло бы до него за правильно настроенным CrowdSec
- 1 099
- заблокировано им
- 5 346 (83%)
- только общий блок-лист сообщества
- 279 (4%)
- один лишь WAF (AppSec), веб-запросы
- 652
- атакующих IP, которые он остановил бы хотя бы раз, из сегодняшних 389
- 123
- IP из блок-листа среди 389 сегодняшних атакующих
- 38
Второй CrowdSec, только наблюдающий, смотрит на этот сайт с теми же правилами, но никого не банит. Попытка считается заблокированной, только если её IP к тому моменту уже был бы забанен: 5 083 по его собственным срабатываниям здесь, 0 потому что он уже был забанен на наших настоящих сайтах, 162 по общему блок-листу сообщества. Попытки, которые вызывают срабатывание, всё равно проходят, как было бы и в реальности. 56% попыток приходят с 10 самых активных IP, поэтому доля заблокированного в основном зависит от них; счёт по атакующим даёт более честную картину.
+ 101 запросов от поисковых и ИИ-роботов (Google, Bing, Claude...), они не считаются атаками.
Из них 117 IP принадлежат известным исследовательским сканерам или сканерам обзора интернета (Driftnet, Censys, Stretchoid, LeakIX, ONYPHE): они сканируют всех и публикуют найденное. Остальные незваные и неизвестные.
ЛОВУШКА НА ПОРТУ 22
На порту 22 нет настоящего SSH, только ловушка, которая никого не пускает и каждые десять секунд шлёт бессмысленную строку, чтобы бот продолжал ждать. Сегодня пришло 961 подключений, и в сумме боты провели в ловушке 34.4 ч. Самый терпеливый ждал 18 мин.
чем они пользовались:
не представился (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
Критическая уязвимость PHP, раскрытая 21 октября 2026 года: специально сформированная загрузка файла запускает код на любом PHP-сайте. На этом сервере PHP нет, но ловушка проверяет каждую загрузку и распознаёт такие попытки.
- попыток PHP2Shell сегодня
- 0
- с разных IP
- 0
- всего с момента установки ловушки
- 8
- других попыток загрузки сегодня
- 75
В качестве приманки фальшивая страница phpinfo показывает уязвимую версию PHP. Сегодня её открыли 134 раз с 28 IP; 3 из них затем попытались что-то загрузить, 0 именно через PHP2Shell.
Первая попытка пришла в 10-22 10:13, через 18.7 ч после раскрытия.
TELNET (IoT-БОТНЕТЫ В СТИЛЕ MIRAI)
Фальшивый Telnet на порту 23 изображает слабый роутер или камеру: принимает первый же предложенный логин, а затем выдаёт фальшивую оболочку, чтобы видеть, что через неё пытались бы запустить или скачать.
- подключений сегодня
- 834
- опробованных пар логин/пароль
- 66
самые частые имена пользователей:
root (21) admin (11) pi (2) default (2) user (2)
ССЫЛКИ НА ЗАГРУЗКУ ВРЕДОНОСОВ · 7 ДНЕЙ
Откуда они пытались заставить эту машину скачать следующий этап (клиент ботнета, скрипт-установщик) через Telnet, веб-эксплойты и другие порты. Каждая ссылка проверяется в URLhaus от abuse.ch; 14 там уже известны. Адреса намеренно некликабельны.
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · пока нет в URLhaus
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · пока нет в URLhaus
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · пока нет в URLhaus
REDIS
Открытый Redis: любимый вход для облачных атак вымогателей и криптомайнеров (SLAVEOF, CONFIG SET, MODULE LOAD, затем SET+SAVE, чтобы записать файл на диск). Фальшивый отвечает OK на всё, чтобы мы видели попытку целиком, но ничего не выполняет и не сохраняет.
- подключений сегодня
- 48
- из них попыток захвата сервера
- 22
что они пробовали:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
ПЕРЕБОР ПАРОЛЕЙ ПО ДРУГИМ ПРОТОКОЛАМ
Тот же парк сканеров прощупывает и FTP с MySQL, а не только веб и SSH.
- попыток входа в FTP
- 28
- попыток входа в MySQL
- 165
самые частые имена пользователей FTP:
anonymous (7)
самые частые имена пользователей MySQL:
root (36) webapp (30) admin (6) sa (3)
ОТКРЫТЫЙ SMTP-РЕЛЕЙ
Фальшивый почтовый сервер на всё отвечает «да», будто перешлёт письмо, но на самом деле никуда ничего не отправляет: мы просто смотрим, кем они представляются и кому пытались бы написать через него.
- подключений сегодня
- 21
- попыток входа (логин+пароль)
- 1
ОТКРЫТЫЙ DNS-РЕЗОЛВЕР
Настоящий открытый резолвер используют во зло, отправляя ему запросы с подделанным адресом источника, чтобы он засыпал жертву ответами (DDoS-усиление). Этот никогда ничего не отвечает, он только смотрит, кто что спросил бы, поэтому мы видим сканирование без всякой возможности злоупотребить им.
- запросов сегодня
- 55
- из них типа, пригодного для усиления (ANY/TXT/DNSKEY)
- 38
УКРАДЕННЫЕ ПАРОЛИ
Каждый, кто ищет здесь файлы .env или .git, получает фальшивый, с паролем, созданным специально для него, и адресом входа в админку. Если кто-то пытается войти с ним, мы точно знаем, у кого и когда он был украден.
- IP, клюнувших на приманку сегодня
- 48
- чей украденный пароль затем использовали
- 15
- … с другой машины
- 13
Самый быстрый попробовал его через 0 мин после кражи.
| 11-07 16:53 | git clone | +941 мин | другая машина | 45.137.x.x |
| 11-07 16:32 | git clone | +0 мин | та же машина | 176.65.x.x |
| 11-07 16:08 | git clone | +795 мин | другая машина | 45.137.x.x |
| 11-07 11:49 | git clone | +0 мин | другая машина | 45.137.x.x |
| 11-07 06:56 | git clone | +243 мин | другая машина | 45.137.x.x |
ЧТО ОНИ ИЩУТ
- поиск секретов (.env, .git, резервные копии)
- 2 861
- прочее прощупывание
- 2 006
- прочие PHP-скрипты
- 270
- вход в WordPress и плагины
- 210
- известные уязвимости ПО (Exchange, Jenkins, VPN)
- 114
- админки баз данных (phpMyAdmin, Adminer)
- 17
- эксплойты для роутеров и IoT
- 6
873 разных имён файлов перепробовали в поисках паролей и ключей:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
этот сервер запрашивали под 15 разными именами («(IP)» означает голый IP-адрес: кто приходит так, ищет не нас, а просто прочёсывает интернет):
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · имена, запрошенные у фальшивого DNS: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
самые частые пароли (Telnet, FTP, SMTP):
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% прямо из списка заводских паролей ботнета Mirai
причины банов (CrowdSec):
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
ОДИН СКРИПТ, МНОГО МАШИН
Пока мы нашли 57 групп, где как минимум три разные машины делали в точности одно и то же, шаг за шагом: одна и та же программа, запущенная из многих мест, всего 485 машин. В самой большой 35 машин (из 1 сети) выполнили одни и те же 29 шагов:
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
ОТКУДА · 636 IP, 71 стран
- Китай
- 18 478
- Соединённое Королевство
- 12 981
- Казахстан
- 8 801
- Тайвань
- 3 268
- Российская Федерация
- 3 140
сети, откуда они пришли: 11% от облачных и хостинг-провайдеров, то есть с арендованных серверов
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
В КАКИЕ ДВЕРИ СТУЧАТ · 4 968 TCP-портов
На этой машине не работает ни один настоящий сервис, кроме перечисленных, но пробуют каждый порт. Каждый квадрат: диапазон портов за последние 24 часа; чем гуще оранжевый, тем больше попыток.
0-65535, 256 портов на квадрат
0-1023, общеизвестные порты, по одному на квадрат
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
В РЕАЛЬНОМ ВРЕМЕНИ
попытки по мере поступления; конец каждого IP скрыт, «новый»: этот IP здесь раньше не появлялся, ⛔: при появлении он был в общем блок-листе сообщества CrowdSec
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | фальшивый SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | фальшивый SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | фальшивый SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | вход в WordPress и плагины | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | фальшивый SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | прочие PHP-скрипты | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
ЕСЛИ У ВАС ЕСТЬ СЕРВЕР
- Никогда не выкладывайте файлы .env, папки .git или резервные копии в корень сайта. 2 861
- Обновляйте WordPress и плагины и не используйте "admin" как имя пользователя. 210
- Не выставляйте админки баз данных (phpMyAdmin, Adminer) в открытый интернет. 17
- Ставьте обновления сразу после выхода: эксплуатация начинается за считаные дни. 114
- Смените заводские пароли на роутерах и камерах и не открывайте наружу их админ-страницы. 6
- SSH только по ключам, без паролей.
цифры: сколько попыток сегодня было нацелено на эту ошибку
Ваш IP (216.73.217.15) не в бан-листе, иначе вы бы не увидели эту страницу.
обновлено 09:30 · CrowdSec · GeoLite2 (MaxMind) · карта: Al MacDonald, CC BY-SA 3.0 ·
открытые данные