Результаты · Эксперимент с «медовой ловушкой»

Рейтинг портов #

Основная таблица эксперимента: какие порты вызывали наибольший интерес у злоумышленников. Можно сортировать по любому столбцу, фильтровать по серверу и искать конкретный порт, диапазон или название службы. На каждую строку можно дать ссылку, например #port-3389.

В srv4 учитывается фактический целевой порт из hptcp. Порты перенаправления (42222, 42223, 42280, 42443) в качестве целевых портов не учитываются.

Порт	Протокол	Обычная услуга	Сервер	Опыты	Уникальный IP-адрес	Доля
5906	tcp	VNC	srv4	14 288	122	0,4 %
80	tcp	HTTP	srv4	14 193	1 318	0,4 %
5909	tcp	VNC	оба сервера	14 048	63	0,3 %
5909	tcp	VNC	srv4	14 048	63	0,3 %
5907	tcp	VNC	оба сервера	13 924	127	0,3 %
5907	tcp	VNC	srv4	13 924	127	0,3 %
3000	tcp	HTTP alt	оба сервера	13 888	850	0,3 %
5905	tcp	VNC	оба сервера	13 837	74	0,3 %
5905	tcp	VNC	srv4	13 837	74	0,3 %
5903	tcp	VNC	оба сервера	13 074	218	0,2 %

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: honeypot-ports-aggregated-20260922.csv
Скрипт: будет опубликован
Формат: описание полей

Динамика во времени #

Объем событий во времени, разбитый на кампании и базовый шум, а под ним — количество уникальных IP-адресов. Согласно журналам агентов, отдельные кампании генерировали большую часть суточного трафика. Без такого разделения график вводил бы в заблуждение: кампания выглядела бы как тренд, а её окончание — как сбой сбора данных.

Насколько точно кампания отделяется от фонового шума, определяет скрипт, приведенный под графиком.

Количество событий

Фоновый шум
Кампании

Уникальные IP-адреса

Количество различных исходных IP-адресов за каждый день.

srv3
srv4

Уникальные IP-адресы нельзя суммировать по серверам — один и тот же адрес мог использоваться для атак на оба сервера. Поэтому для каждого сервера выделена отдельная строка.

Затемнённые столбцы и пустые кружки обозначают неполные периоды: окно сбора данных начинается и заканчивается в 12:00 UTC, а период, обрезанный выбранным диапазоном, короче остальных. Поэтому не сравнивайте их с соседними.

Отобразить значения в виде таблицы

День (UTC)	События	Кампании	Фоновый шум	Уникальный IP-адрес srv3	Уникальный IP-адрес srv4
22. 8. 2026 · неполный	82 303	59 843	22 460	547	1 870
23. 8. 2026	79 276	34 177	45 099	1 292	3 529
24. 8. 2026	48 928	10 775	38 153	1 429	3 309
25. 8. 2026	69 902	29 825	40 077	1 552	3 824
26. 8. 2026	68 792	28 709	40 083	1 552	3 775
27. 8. 2026	204 306	161 642	42 664	1 585	4 301
28. 8. 2026	201 823	159 044	42 779	1 364	4 083
29. 8. 2026	206 275	171 641	34 634	1 029	3 853
30. 8. 2026	185 689	148 263	37 426	975	4 176
31. 8. 2026	539 919	504 248	35 671	1 488	4 183
1. 9. 2026	720 200	666 265	53 935	1 573	4 500
2. 9. 2026	275 758	209 955	65 803	1 859	4 281
3. 9. 2026	274 675	227 972	46 703	1 621	4 343
4. 9. 2026	219 422	167 450	51 972	1 628	4 087
5. 9. 2026	154 023	95 631	58 392	1 535	4 117
6. 9. 2026	131 807	46 399	85 408	1 637	4 349
7. 9. 2026	184 403	94 877	89 526	1 494	4 402
8. 9. 2026	169 747	59 781	109 966	1 758	4 609
9. 9. 2026	177 572	48 861	128 711	1 733	4 671
10. 9. 2026	193 394	60 866	132 528	1 818	5 095
11. 9. 2026	210 418	63 267	147 151	1 747	5 402
12. 9. 2026	254 827	82 831	171 996	1 859	5 450
13. 9. 2026	236 911	105 016	131 895	1 854	5 434
14. 9. 2026	213 640	83 835	129 805	1 994	5 516
15. 9. 2026	272 074	159 141	112 933	1 884	5 303
16. 9. 2026 · неполный	101 115	28 713	72 402	1 386	3 449

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: timeline-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Карта происхождения соединения #

Откуда поступали подключения. Страна определяется по регистрации IP-адреса, а не по фактическому местоположению злоумышленника — за этим адресом может скрываться арендованный сервер или взломанный компьютер в любой точке мира. Точные цифры приведены в таблицах ниже.

Карта отображается с помощью сервиса Datawrapper; при её загрузке браузер подключается к серверам этого сервиса. Открыть карту отдельно

География и сети #

Откуда поступал трафик, судя по геолокации исходного IP-адреса и тому, к каким автономным системам (ASN) относятся эти адреса. Геолокация показывает, где зарегистрирован адрес, а не где находится злоумышленник.

Наиболее распространенные страны

US 37,6 %2 057 660
DE 22,5 %1 230 744
CN 10,2 %556 778
GB 8,9 %486 870
SC 3,4 %184 746
NL 2,2 %120 671
TN 1,8 %96 601
VN 1,2 %64 512
MX 1,1 %59 561
IN 0,9 %49 705
SG 0,9 %49 368
BR 0,8 %44 530
RU 0,8 %42 439
HK 0,7 %38 439
RO 0,7 %37 368

Крупнейшие сети (ASN)

ASN	Сеть	События	Уникальный IP-адрес
29125	TATINT-AS RU	1	1
41960	NEXTPERTISE Nextpertise NL	1	1
136461	VNP-AS-AP Virtual Network Pvt.Ltd NP	1	1
61902	Bahialink Technology Ltda BR	1	1
25150	DCTEL-AS Nezavisimoy Ukraini UA	1	1
61870	Gcu Servicos de Provedor Ltda BR	1	1
141039	PACKETHUBSA-AS-AP PacketHub S.A. PA	1	1
136297	VISIONHI-AS-IN Vision Hi-speed Technology Pvt.ltd. IN	1	1
202619	DOVECOM RU	1	1
51279	ASSUTYRIN UA	1	1

Отобразить значения в виде таблицы

Страна	События	Уникальный IP-адрес	Доля
US	2 057 660	13 624	37,6 %
DE	1 230 744	1 111	22,5 %
CN	556 778	5 671	10,2 %
GB	486 870	2 870	8,9 %
SC	184 746	319	3,4 %
NL	120 671	174	2,2 %
TN	96 601	94	1,8 %
VN	64 512	644	1,2 %
MX	59 561	281	1,1 %
IN	49 705	850	0,9 %

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: geo-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Данные для входа #

Сочетания имени пользователя и пароля, которые пробовали злоумышленники, а также наиболее часто пробованные имена пользователей. Значения отображаются точно в том виде, в каком они поступили.

Наиболее популярные имена пользователей

root 4 665 статей43 470
admin 722 статей10 909
enable\x00 2 статей2 938
user 216 статей2 100
sa 83 статей2 049
support 178 статей1 551
test 215 статей1 518
ubuntu 100 статей1 456
cloud 148 статей1 281
postgres 93 статей1 198
batacek 147 статей1 164
srv 147 статей1 154
shell\x00 1 статей965
deploy 66 статей925
ftp 459 статей876

Наиболее распространённые комбинации

Имя	Пароль	Опыты	Уникальный IP-адрес
`root`	(пусто)	3 084	219
`admin`	`admin`	2 649	849
`enable\x00`	`linuxshell\x00`	1 955	24
`admin`	(пусто)	1 939	69
`root`	`xc3511`	1 591	76
`root`	`admin`	1 529	160
`root`	`vizxv`	1 523	120
`root`	`123456`	1 207	142
`support`	`support`	990	129
`enable\x00`	`system\x00`	983	27

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: credentials-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Что происходило после входа в систему #

Команды, введенные злоумышленниками в эмулированной оболочке, отсортированные по частоте использования. Это ввод злоумышленника, а не код, который действительно выполнялся бы на сервере.

Первичная запись, отображенная в точном соответствии с тем, как она была создана.

Команда	Количество	Отношения
`{ __hp_fcca13c; } 2>&1; printf 'EXITCODE:%d\n' $?;printf 'PROC_VER_FULL:%s\n' "$(cat /proc/version 2>/dev/null \| head -1)";printf 'UNAME_R:%s\n' "$(uname -r 2>/dev/null)";printf 'UNAME_V:%s\n' "$(uname -v 2>/dev/null)";printf 'UNAME_A:%s\n' "$(uname -a 2>/dev/null)"`	1	1
`~`	1	1

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: attacker-commands-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Отобранные образцы #

Файлы, которые злоумышленники пытались скачать или загрузить, с разбивкой по типу и архитектуре.

Здесь представлены только хэши и метаданные. Сами образцы находятся в зашифрованном архиве в разделе Данные

По типу файла

PE1 058
ELF58
script39
data35

В соответствии с архитектурой

—1 132
x86_6424
arm11
x864
mips4
mipsel4
aarch643
riscv2
elf-0x5d2
sh1
elf-0x41
ppc1
sparc1

SHA-256	Тип	Архитектура	Размер	Впервые	Зафиксировано	Поиск
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b	data	—	1 B	23. 8. 2026 16:54:42	492	VirusTotal
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b	data	—	1 B	23. 8. 2026 10:04:58	330	VirusTotal
f2e2ffc024ab99eb49fa207756481aa80713398142f30888aebace5706909b36	data	—	697 B	23. 8. 2026 12:07:36	243	VirusTotal
a6296a79f44e21b76604d2d2bbf795d2cf380f70e39d45fbf166707ff3b4a6a4	script	—	306 B	22. 8. 2026 18:09:16	208	VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62	data	—	9 B	22. 8. 2026 18:09:19	206	VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62	data	—	9 B	22. 8. 2026 15:49:53	205	VirusTotal
a9b1c85a7bd78dd1112ecc75c9070ea8c53078831a17aa09ebeb287fe6e21b72	data	—	9 B	7. 9. 2026 11:48:13	59	VirusTotal
1193dde1c831808bf6f2db6f5b850b846b8a7f870873ec3b8a347f21cc5d96e3	data	—	9 B	7. 9. 2026 11:48:13	59	VirusTotal
14049d077b887cbb8060d223ff9626664a044a8c3145f6a2b95a325df36b279b	data	—	7 B	13. 9. 2026 15:31:53	58	VirusTotal
43728fbfb98bb39ff61a2db0fc2905bd6937997062b05b9ab8b186fdee18c09a	data	—	399 B	23. 8. 2026 00:49:29	47	VirusTotal

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: samples-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Сравнение серверов #

Насколько увеличился трафик благодаря увеличению площади и чем отличаются эти два сервера по структуре.

Абсолютные показатели обоих серверов несопоставимы: srv4 предлагал площадь на порядок больше. Имеет смысл сравнивать структуру и порядок, а не размер. Подробнее

Показатель	srv3	srv4	srv4 / srv3
Попытки подключения (рейтинг портов)	1 462 877	4 014 322	2,7×
Затронутые порты	45	58 628	1 302,8×
События (динамика во времени)	1 462 877	4 014 322	2,7×

srv3 наиболее распространенные порты

5901/tcp VNC434 278
445/tcp SMB415 953
5900/tcp VNC346 288
22/tcp SSH77 679
443/tcp HTTPS25 880
23/tcp Telnet24 961
5060/udp SIP22 484
80/tcp HTTP18 336
3000/tcp HTTP alt9 322
3389/tcp RDP7 549

srv4 наиболее распространенные порты

3389/tcp RDP726 599
5901/tcp VNC449 586
5900/tcp VNC360 884
1256/tcp341 276
8787/tcp340 499
8082/tcp HTTP alt323 345
1080/tcp SOCKS270 186
5800/tcp VNC HTTP159 507
22/tcp SSH61 829
445/tcp SMB43 977

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: honeypot-ports-aggregated-20260922.csv, timeline-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей