Перейти к содержанию

Эксперимент с «медовой ловушкой»

Результаты

Статистика по обоим ханипотам. К каждому графику и таблице прилагается временной диапазон, исходный файл CSV и скрипт, с помощью которого были подсчитаны данные — чтобы каждый мог пересчитать их по-своему.

Данные обновлены: 3. 10. 2026 10:31:16 UTC+02:00

Сообщить о проблеме

Рейтинг портов #

Основная таблица эксперимента: какие порты вызывали наибольший интерес у злоумышленников. Можно сортировать по любому столбцу, фильтровать по серверу и искать конкретный порт, диапазон или название службы. На каждую строку можно дать ссылку, например #port-3389.

В srv4 учитывается фактический целевой порт из hptcp. Порты перенаправления (42222, 42223, 42280, 42443) в качестве целевых портов не учитываются.
Порт Протокол Обычная услуга Сервер Опыты Уникальный IP-адрес Доля
5060 udp SIP оба сервера 22 484 142 0,4 %
5060 udp SIP srv3 22 484 142 1,5 %
443 tcp HTTPS srv4 19 983 1 685 0,5 %
80 tcp HTTP srv3 18 336 1 345 1,3 %
5908 tcp VNC оба сервера 15 520 125 0,3 %
5908 tcp VNC srv4 15 520 125 0,4 %
5910 tcp VNC оба сервера 15 459 57 0,3 %
5910 tcp VNC srv4 15 459 57 0,4 %
8443 tcp HTTPS alt оба сервера 15 425 1 721 0,3 %
5906 tcp VNC оба сервера 14 288 122 0,3 %
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
honeypot-ports-aggregated-20260922.csv
Скрипт
будет опубликован
Формат
описание полей

Динамика во времени #

Объем событий во времени, разбитый на кампании и базовый шум, а под ним — количество уникальных IP-адресов. Согласно журналам агентов, отдельные кампании генерировали большую часть суточного трафика. Без такого разделения график вводил бы в заблуждение: кампания выглядела бы как тренд, а её окончание — как сбой сбора данных.

Насколько точно кампания отделяется от фонового шума, определяет скрипт, приведенный под графиком.

Снять фильтры

Количество событий

  • Фоновый шум
  • Кампании
0200k400k600k800k22. 8.22. 8. 2026 Фоновый шум: 22 460 Кампании: 59 843 Всего: 82 303 Неполный период — данные за 12 h / 24 h23. 8. 2026 Фоновый шум: 45 099 Кампании: 34 177 Всего: 79 27624. 8. 2026 Фоновый шум: 38 153 Кампании: 10 775 Всего: 48 92825. 8.25. 8. 2026 Фоновый шум: 40 077 Кампании: 29 825 Всего: 69 90226. 8. 2026 Фоновый шум: 40 083 Кампании: 28 709 Всего: 68 79227. 8. 2026 Фоновый шум: 42 664 Кампании: 161 642 Всего: 204 30628. 8.28. 8. 2026 Фоновый шум: 42 779 Кампании: 159 044 Всего: 201 82329. 8. 2026 Фоновый шум: 34 634 Кампании: 171 641 Всего: 206 27530. 8. 2026 Фоновый шум: 37 426 Кампании: 148 263 Всего: 185 68931. 8.31. 8. 2026 Фоновый шум: 35 671 Кампании: 504 248 Всего: 539 9191. 9. 2026 Фоновый шум: 53 935 Кампании: 666 265 Всего: 720 2002. 9. 2026 Фоновый шум: 65 803 Кампании: 209 955 Всего: 275 7583. 9.3. 9. 2026 Фоновый шум: 46 703 Кампании: 227 972 Всего: 274 6754. 9. 2026 Фоновый шум: 51 972 Кампании: 167 450 Всего: 219 4225. 9. 2026 Фоновый шум: 58 392 Кампании: 95 631 Всего: 154 0236. 9.6. 9. 2026 Фоновый шум: 85 408 Кампании: 46 399 Всего: 131 8077. 9. 2026 Фоновый шум: 89 526 Кампании: 94 877 Всего: 184 4038. 9. 2026 Фоновый шум: 109 966 Кампании: 59 781 Всего: 169 7479. 9.9. 9. 2026 Фоновый шум: 128 711 Кампании: 48 861 Всего: 177 57210. 9. 2026 Фоновый шум: 132 528 Кампании: 60 866 Всего: 193 39411. 9. 2026 Фоновый шум: 147 151 Кампании: 63 267 Всего: 210 41812. 9.12. 9. 2026 Фоновый шум: 171 996 Кампании: 82 831 Всего: 254 82713. 9. 2026 Фоновый шум: 131 895 Кампании: 105 016 Всего: 236 91114. 9. 2026 Фоновый шум: 129 805 Кампании: 83 835 Всего: 213 64015. 9.15. 9. 2026 Фоновый шум: 112 933 Кампании: 159 141 Всего: 272 07416. 9. 2026 Фоновый шум: 72 402 Кампании: 28 713 Всего: 101 115 Неполный период — данные за 12 h / 24 h

Уникальные IP-адреса

Количество различных исходных IP-адресов за каждый день.

  • srv3
  • srv4
02k4k6ksrv4srv322. 8.25. 8.28. 8.31. 8.3. 9.6. 9.9. 9.12. 9.15. 9.22. 8. 2026 srv3: 547 srv4: 1 870 Неполный период — данные за 12 h / 24 h23. 8. 2026 srv3: 1 292 srv4: 3 52924. 8. 2026 srv3: 1 429 srv4: 3 30925. 8. 2026 srv3: 1 552 srv4: 3 82426. 8. 2026 srv3: 1 552 srv4: 3 77527. 8. 2026 srv3: 1 585 srv4: 4 30128. 8. 2026 srv3: 1 364 srv4: 4 08329. 8. 2026 srv3: 1 029 srv4: 3 85330. 8. 2026 srv3: 975 srv4: 4 17631. 8. 2026 srv3: 1 488 srv4: 4 1831. 9. 2026 srv3: 1 573 srv4: 4 5002. 9. 2026 srv3: 1 859 srv4: 4 2813. 9. 2026 srv3: 1 621 srv4: 4 3434. 9. 2026 srv3: 1 628 srv4: 4 0875. 9. 2026 srv3: 1 535 srv4: 4 1176. 9. 2026 srv3: 1 637 srv4: 4 3497. 9. 2026 srv3: 1 494 srv4: 4 4028. 9. 2026 srv3: 1 758 srv4: 4 6099. 9. 2026 srv3: 1 733 srv4: 4 67110. 9. 2026 srv3: 1 818 srv4: 5 09511. 9. 2026 srv3: 1 747 srv4: 5 40212. 9. 2026 srv3: 1 859 srv4: 5 45013. 9. 2026 srv3: 1 854 srv4: 5 43414. 9. 2026 srv3: 1 994 srv4: 5 51615. 9. 2026 srv3: 1 884 srv4: 5 30316. 9. 2026 srv3: 1 386 srv4: 3 449 Неполный период — данные за 12 h / 24 h

Уникальные IP-адресы нельзя суммировать по серверам — один и тот же адрес мог использоваться для атак на оба сервера. Поэтому для каждого сервера выделена отдельная строка.

Затемнённые столбцы и пустые кружки обозначают неполные периоды: окно сбора данных начинается и заканчивается в 12:00 UTC, а период, обрезанный выбранным диапазоном, короче остальных. Поэтому не сравнивайте их с соседними.

Отобразить значения в виде таблицы
День (UTC) События Кампании Фоновый шум Уникальный IP-адрес srv3 Уникальный IP-адрес srv4
22. 8. 2026 · неполный 82 303 59 843 22 460 547 1 870
23. 8. 2026 79 276 34 177 45 099 1 292 3 529
24. 8. 2026 48 928 10 775 38 153 1 429 3 309
25. 8. 2026 69 902 29 825 40 077 1 552 3 824
26. 8. 2026 68 792 28 709 40 083 1 552 3 775
27. 8. 2026 204 306 161 642 42 664 1 585 4 301
28. 8. 2026 201 823 159 044 42 779 1 364 4 083
29. 8. 2026 206 275 171 641 34 634 1 029 3 853
30. 8. 2026 185 689 148 263 37 426 975 4 176
31. 8. 2026 539 919 504 248 35 671 1 488 4 183
1. 9. 2026 720 200 666 265 53 935 1 573 4 500
2. 9. 2026 275 758 209 955 65 803 1 859 4 281
3. 9. 2026 274 675 227 972 46 703 1 621 4 343
4. 9. 2026 219 422 167 450 51 972 1 628 4 087
5. 9. 2026 154 023 95 631 58 392 1 535 4 117
6. 9. 2026 131 807 46 399 85 408 1 637 4 349
7. 9. 2026 184 403 94 877 89 526 1 494 4 402
8. 9. 2026 169 747 59 781 109 966 1 758 4 609
9. 9. 2026 177 572 48 861 128 711 1 733 4 671
10. 9. 2026 193 394 60 866 132 528 1 818 5 095
11. 9. 2026 210 418 63 267 147 151 1 747 5 402
12. 9. 2026 254 827 82 831 171 996 1 859 5 450
13. 9. 2026 236 911 105 016 131 895 1 854 5 434
14. 9. 2026 213 640 83 835 129 805 1 994 5 516
15. 9. 2026 272 074 159 141 112 933 1 884 5 303
16. 9. 2026 · неполный 101 115 28 713 72 402 1 386 3 449
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
timeline-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Карта происхождения соединения #

Откуда поступали подключения. Страна определяется по регистрации IP-адреса, а не по фактическому местоположению злоумышленника — за этим адресом может скрываться арендованный сервер или взломанный компьютер в любой точке мира. Точные цифры приведены в таблицах ниже.

Карта отображается с помощью сервиса Datawrapper; при её загрузке браузер подключается к серверам этого сервиса. Открыть карту отдельно

География и сети #

Откуда поступал трафик, судя по геолокации исходного IP-адреса и тому, к каким автономным системам (ASN) относятся эти адреса. Геолокация показывает, где зарегистрирован адрес, а не где находится злоумышленник.

Наиболее распространенные страны

  1. US 37,6 %2 057 660
  2. DE 22,5 %1 230 744
  3. CN 10,2 %556 778
  4. GB 8,9 %486 870
  5. SC 3,4 %184 746
  6. NL 2,2 %120 671
  7. TN 1,8 %96 601
  8. VN 1,2 %64 512
  9. MX 1,1 %59 561
  10. IN 0,9 %49 705
  11. SG 0,9 %49 368
  12. BR 0,8 %44 530
  13. RU 0,8 %42 439
  14. HK 0,7 %38 439
  15. RO 0,7 %37 368

Крупнейшие сети (ASN)

ASN Сеть События Уникальный IP-адрес Доля
132203 TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue
CN		 98 614 337 1,8 %
37963 ALIBABA-CN-NET Hangzhou Alibaba Advertising Co.,Ltd.
CN		 97 811 201 1,8 %
37492 ORANGE-
TN		 95 661 24 1,7 %
51396 PFCLOUD
DE		 82 382 63 1,5 %
398324 CENSYS-ARIN-01
US		 74 649 273 1,4 %
28428 INTERPHONET TELECOM, SA DE CV
MX		 55 979 1 1,0 %
174 COGENT-174
US		 55 345 18 1,0 %
9808 CHINAMOBILE-CN China Mobile Communications Group Co., Ltd.
CN		 51 818 214 0,9 %
197540 NETCUP-AS netcup GmbH
DE		 46 178 18 0,8 %
213438 COLOCATEL-INC Colocatel Network - High Bandwidth Dedicated Servers
SC		 45 349 4 0,8 %
Отобразить значения в виде таблицы
Страна События Уникальный IP-адрес Доля
US 2 057 660 13 624 37,6 %
DE 1 230 744 1 111 22,5 %
CN 556 778 5 671 10,2 %
GB 486 870 2 870 8,9 %
SC 184 746 319 3,4 %
NL 120 671 174 2,2 %
TN 96 601 94 1,8 %
VN 64 512 644 1,2 %
MX 59 561 281 1,1 %
IN 49 705 850 0,9 %
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
geo-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Данные для входа #

Сочетания имени пользователя и пароля, которые пробовали злоумышленники, а также наиболее часто пробованные имена пользователей. Значения отображаются точно в том виде, в каком они поступили.

Наиболее популярные имена пользователей

  1. root 4 665 статей43 470
  2. admin 722 статей10 909
  3. enable\x00 2 статей2 938
  4. user 216 статей2 100
  5. sa 83 статей2 049
  6. support 178 статей1 551
  7. test 215 статей1 518
  8. ubuntu 100 статей1 456
  9. cloud 148 статей1 281
  10. postgres 93 статей1 198
  11. batacek 147 статей1 164
  12. srv 147 статей1 154
  13. shell\x00 1 статей965
  14. deploy 66 статей925
  15. ftp 459 статей876

Наиболее распространённые комбинации

Имя Пароль Опыты Уникальный IP-адрес
root (пусто) 3 084 219
admin admin 2 649 849
enable\x00 linuxshell\x00 1 955 24
admin (пусто) 1 939 69
root xc3511 1 591 76
root admin 1 529 160
root vizxv 1 523 120
root 123456 1 207 142
support support 990 129
enable\x00 system\x00 983 27
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
credentials-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Что происходило после входа в систему #

Команды, введенные злоумышленниками в эмулированной оболочке, отсортированные по частоте использования. Это ввод злоумышленника, а не код, который действительно выполнялся бы на сервере.

Первичная запись, отображенная в точном соответствии с тем, как она была создана.
Команда Количество Отношения
uname -s -v -n -r -m 41 470 41 470
system 21 144 21 143
shell 21 044 21 044
sh 21 015 21 014
enable 20 259 20 258
linuxshell 18 836 18 834
echo -e "\x47\x41\x59\x46\x47\x54" 4 749 493
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:$PATH uname=$(uname -s -v -n -m 2>/dev/null || /bin/uname -s -v -n -m 2>/dev/null || /usr/bin/uname -s -v -n -m 2>/dev/null || busybox uname -s -v -n -m 2>/dev/null || ( [ -f /proc/version ] && head -1 /proc/version | cut -d' ' -f1 ) || ( [ -f /etc/os-release ] && grep '^ID=' /etc/os-release | cut -d= -f2 | tr -d '"' ) || echo "") arch=$(uname -m 2>/dev/null || /bin/uname -m 2>/dev/null || /usr/bin/uname -m 2>/dev/null || busybox uname -m 2>/dev/null || ( [ -f /proc/cpuinfo ] && grep -q "lm" /proc/cpuinfo && echo x86_64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 8" /proc/cpuinfo && echo aarch64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 7" /proc/cpuinfo && echo armv7l ) || echo "") uptime=$(cat /proc/uptime 2>/dev/null || busybox cat /proc/uptime 2>/dev/null) cpus=$(nproc 2>/dev/null || /usr/bin/nproc 2>/dev/null || busybox nproc 2>/dev/null || grep -c "^processor" /proc/cpuinfo 2>/dev/null) cpu_model=$( { lscpu 2>/dev/null | awk -F: '/Model name/ {print $2}'; grep -m1 -E "^model name" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; grep -m1 -E "^Hardware" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; cat /proc/device-tree/model 2>/dev/null; } | sed '/^$/d; /unknown/d; s/^[[:space:]]*//; s/[[:space:]]*$//; s/ AArch64 Processor$//; s/ Processor$//; s/ CPU$//' | head -1 ) gpu_info=$( (lspci 2>/dev/null | grep -i vga; lspci 2>/dev/null | grep -i nvidia; busybox lspci 2>/dev/null | grep -i vga; busybox lspci 2>/dev/null | grep -i nvidia) 2>/dev/null ) last_output=$(last 2>/dev/null) filter_output=$( ( export LANG=C LC_ALL=C; echo '===SHELL_BEHAVIOR==='; printf 'path_err='; ( ./xxxxxx 2>&1 || true ) | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; printf 'cmd_err='; ( xxxxxx 2>&1 || true ) | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; printf 'execute_err='; out=$(bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(/bin/bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(/usr/bin/bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(busybox sh -c 'printf "#!/bin/sh\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1 || sh -c 'printf "#!/bin/sh\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); esac; esac; esac; printf '%s' "$out" | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; echo '===DONE===' ) 2>&1 ) echo "UNAME:$uname" echo "ARCH:$arch" echo "UPTIME:$uptime" echo "CPUS:$cpus" echo "CPU_MODEL:$cpu_model" echo "GPU:$gpu_info" echo "LAST:$last_output" echo "FILTER:$filter_output" 4 333 4 332
/bin/busybox 3 149 312
/bin/./uname -s -v -n -r -m 2 275 2 275
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
attacker-commands-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Отобранные образцы #

Файлы, которые злоумышленники пытались скачать или загрузить, с разбивкой по типу и архитектуре.

Здесь представлены только хэши и метаданные. Сами образцы находятся в зашифрованном архиве в разделе Данные

По типу файла

  1. PE1 058
  2. ELF58
  3. script39
  4. data35

В соответствии с архитектурой

  1. —1 132
  2. x86_6424
  3. arm11
  4. x864
  5. mips4
  6. mipsel4
  7. aarch643
  8. riscv2
  9. elf-0x5d2
  10. sh1
  11. elf-0x41
  12. ppc1
  13. sparc1
SHA-256 Тип Архитектура Размер Впервые Зафиксировано Поиск
8184a1346f25a281932f598fb19dc5840249cd9bfd933654941dc7bcf59af22e PE — 5,0 MB 16. 9. 2026 11:28:11 UTC 0 VirusTotal
7b3c1cc113fdf600f96d6de41de6c0a617881efd60d3d703ca59f3551f8db903 PE — 5,0 MB 16. 9. 2026 11:34:52 UTC 0 VirusTotal
a0b670501f97137350131a90d8aae65623ba47e8448712ceb2dc0dd48159a4ec PE — 5,0 MB 16. 9. 2026 11:45:38 UTC 0 VirusTotal
45a6da972965b7a3ae6015f8f3c6ad8812ca80cf693b3973e5e094c39746f425 PE — 5,0 MB 16. 9. 2026 12:20:09 UTC 0 VirusTotal
23987c4a17a3fb37eae69a28c4245ed056a4d745f10ab810146f2b68d3de257d PE — 5,0 MB 16. 9. 2026 13:03:00 UTC 0 VirusTotal
bf402025410d6984ec03313648ebc2daa168b7a64497b7cc24b3978f2b5833ba PE — 5,0 MB 16. 9. 2026 13:45:20 UTC 0 VirusTotal
e4fef707fecc7bb97a025d97e5e6b4e4bb079fb23d59b0e50ed066b595dd79ee PE — 5,0 MB 16. 9. 2026 14:39:52 UTC 0 VirusTotal
bb29305bb12db2d8c8d7e79d9ee7041b8d901793ea69afe4d3e29abbd6b5cde6 PE — 5,0 MB 16. 9. 2026 14:50:45 UTC 0 VirusTotal
568ad7d638d7b8cfde9d23c49918e0f4f372d273a17687413688320772666e69 PE — 5,0 MB 16. 9. 2026 14:57:25 UTC 0 VirusTotal
26d6985b3ab218f229df606bd9e5c56586c18962ac67cffbe15588952ab8bd2b PE — 5,0 MB 16. 9. 2026 15:31:28 UTC 0 VirusTotal
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
samples-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Сравнение серверов #

Насколько увеличился трафик благодаря увеличению площади и чем отличаются эти два сервера по структуре.

Абсолютные показатели обоих серверов несопоставимы: srv4 предлагал площадь на порядок больше. Имеет смысл сравнивать структуру и порядок, а не размер. Подробнее
Показатель srv3 srv4 srv4 / srv3
Попытки подключения (рейтинг портов) 1 462 877 4 014 322 2,7×
Затронутые порты 45 58 628 1 302,8×
События (динамика во времени) 1 462 877 4 014 322 2,7×

srv3 наиболее распространенные порты

  1. 5901/tcp VNC434 278
  2. 445/tcp SMB415 953
  3. 5900/tcp VNC346 288
  4. 22/tcp SSH77 679
  5. 443/tcp HTTPS25 880
  6. 23/tcp Telnet24 961
  7. 5060/udp SIP22 484
  8. 80/tcp HTTP18 336
  9. 3000/tcp HTTP alt9 322
  10. 3389/tcp RDP7 549

srv4 наиболее распространенные порты

  1. 3389/tcp RDP726 599
  2. 5901/tcp VNC449 586
  3. 5900/tcp VNC360 884
  4. 1256/tcp341 276
  5. 8787/tcp340 499
  6. 8082/tcp HTTP alt323 345
  7. 1080/tcp SOCKS270 186
  8. 5800/tcp VNC HTTP159 507
  9. 22/tcp SSH61 829
  10. 445/tcp SMB43 977
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
honeypot-ports-aggregated-20260922.csv, timeline-aggregated пока недоступно
Скрипт
будет опубликован
Формат
описание полей

Вы обнаружили ошибку, отсутствующие данные или утечку конфиденциальной информации? Сообщите о проблеме