Přeskočit na obsah

Honeypot experiment

Výsledky

Statistiky z obou honeypotů. U každého grafu a tabulky je časové okno, zdrojové CSV a skript, který čísla spočítal – ať si je může kdokoli přepočítat po svém.

Data aktualizována: 3. 10. 2026 10:31:16 UTC+02:00

Nahlásit problém

Žebříček portů #

Hlavní tabulka experimentu: o které porty byl mezi útočníky největší zájem. Řadit jde podle libovolného sloupce, filtrovat podle serveru a hledat konkrétní port, rozsah nebo název služby. Na každý řádek se dá odkázat, například #port-3389.

U srv4 se počítá se skutečným cílovým portem z hptcp. Porty přesměrování (42222, 42223, 42280, 42443) se jako cílové porty nezapočítávají.
Port Protokol Obvyklá služba Server Pokusů Unikátní IP Podíl
5901 tcp VNC oba servery 883 864 801 16,1 %
3389 tcp RDP oba servery 734 148 2 425 13,4 %
3389 tcp RDP srv4 726 599 1 515 18,1 %
5900 tcp VNC oba servery 707 172 1 343 12,9 %
445 tcp SMB oba servery 459 930 6 055 8,4 %
5901 tcp VNC srv4 449 586 598 11,2 %
5901 tcp VNC srv3 434 278 655 29,7 %
445 tcp SMB srv3 415 953 5 570 28,4 %
5900 tcp VNC srv4 360 884 1 098 9,0 %
5900 tcp VNC srv3 346 288 1 176 23,7 %
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
honeypot-ports-aggregated-20260922.csv
Skript
bude zveřejněn
Formát
dokumentace polí

Vývoj v čase #

Objem událostí v čase, rozdělený na kampaně a základní šum, a pod ním počet unikátních IP adres. Jednotlivé kampaně dokázaly podle deníků agentů vyrobit většinu denního provozu. Bez rozdělení by graf klamal: kampaň by vypadala jako trend a její konec jako výpadek sběru.

Jak přesně se kampaň od základního šumu odděluje, určuje skript uvedený pod grafem.

Zrušit filtry

Počet událostí

  • Základní šum
  • Kampaně
0200k400k600k800k22. 8.22. 8. 2026 Základní šum: 22 460 Kampaně: 59 843 Celkem: 82 303 Neúplné období – data za 12 h / 24 h23. 8. 2026 Základní šum: 45 099 Kampaně: 34 177 Celkem: 79 27624. 8. 2026 Základní šum: 38 153 Kampaně: 10 775 Celkem: 48 92825. 8.25. 8. 2026 Základní šum: 40 077 Kampaně: 29 825 Celkem: 69 90226. 8. 2026 Základní šum: 40 083 Kampaně: 28 709 Celkem: 68 79227. 8. 2026 Základní šum: 42 664 Kampaně: 161 642 Celkem: 204 30628. 8.28. 8. 2026 Základní šum: 42 779 Kampaně: 159 044 Celkem: 201 82329. 8. 2026 Základní šum: 34 634 Kampaně: 171 641 Celkem: 206 27530. 8. 2026 Základní šum: 37 426 Kampaně: 148 263 Celkem: 185 68931. 8.31. 8. 2026 Základní šum: 35 671 Kampaně: 504 248 Celkem: 539 9191. 9. 2026 Základní šum: 53 935 Kampaně: 666 265 Celkem: 720 2002. 9. 2026 Základní šum: 65 803 Kampaně: 209 955 Celkem: 275 7583. 9.3. 9. 2026 Základní šum: 46 703 Kampaně: 227 972 Celkem: 274 6754. 9. 2026 Základní šum: 51 972 Kampaně: 167 450 Celkem: 219 4225. 9. 2026 Základní šum: 58 392 Kampaně: 95 631 Celkem: 154 0236. 9.6. 9. 2026 Základní šum: 85 408 Kampaně: 46 399 Celkem: 131 8077. 9. 2026 Základní šum: 89 526 Kampaně: 94 877 Celkem: 184 4038. 9. 2026 Základní šum: 109 966 Kampaně: 59 781 Celkem: 169 7479. 9.9. 9. 2026 Základní šum: 128 711 Kampaně: 48 861 Celkem: 177 57210. 9. 2026 Základní šum: 132 528 Kampaně: 60 866 Celkem: 193 39411. 9. 2026 Základní šum: 147 151 Kampaně: 63 267 Celkem: 210 41812. 9.12. 9. 2026 Základní šum: 171 996 Kampaně: 82 831 Celkem: 254 82713. 9. 2026 Základní šum: 131 895 Kampaně: 105 016 Celkem: 236 91114. 9. 2026 Základní šum: 129 805 Kampaně: 83 835 Celkem: 213 64015. 9.15. 9. 2026 Základní šum: 112 933 Kampaně: 159 141 Celkem: 272 07416. 9. 2026 Základní šum: 72 402 Kampaně: 28 713 Celkem: 101 115 Neúplné období – data za 12 h / 24 h

Unikátní IP adresy

Počet různých zdrojových IP adres v každém dni.

  • srv3
  • srv4
02k4k6ksrv4srv322. 8.25. 8.28. 8.31. 8.3. 9.6. 9.9. 9.12. 9.15. 9.22. 8. 2026 srv3: 547 srv4: 1 870 Neúplné období – data za 12 h / 24 h23. 8. 2026 srv3: 1 292 srv4: 3 52924. 8. 2026 srv3: 1 429 srv4: 3 30925. 8. 2026 srv3: 1 552 srv4: 3 82426. 8. 2026 srv3: 1 552 srv4: 3 77527. 8. 2026 srv3: 1 585 srv4: 4 30128. 8. 2026 srv3: 1 364 srv4: 4 08329. 8. 2026 srv3: 1 029 srv4: 3 85330. 8. 2026 srv3: 975 srv4: 4 17631. 8. 2026 srv3: 1 488 srv4: 4 1831. 9. 2026 srv3: 1 573 srv4: 4 5002. 9. 2026 srv3: 1 859 srv4: 4 2813. 9. 2026 srv3: 1 621 srv4: 4 3434. 9. 2026 srv3: 1 628 srv4: 4 0875. 9. 2026 srv3: 1 535 srv4: 4 1176. 9. 2026 srv3: 1 637 srv4: 4 3497. 9. 2026 srv3: 1 494 srv4: 4 4028. 9. 2026 srv3: 1 758 srv4: 4 6099. 9. 2026 srv3: 1 733 srv4: 4 67110. 9. 2026 srv3: 1 818 srv4: 5 09511. 9. 2026 srv3: 1 747 srv4: 5 40212. 9. 2026 srv3: 1 859 srv4: 5 45013. 9. 2026 srv3: 1 854 srv4: 5 43414. 9. 2026 srv3: 1 994 srv4: 5 51615. 9. 2026 srv3: 1 884 srv4: 5 30316. 9. 2026 srv3: 1 386 srv4: 3 449 Neúplné období – data za 12 h / 24 h

Unikátní IP adresy nejdou mezi servery sčítat – stejná adresa mohla útočit na oba. Každý server proto má vlastní čáru.

Ztlumené sloupce a prázdná kolečka jsou neúplná období: okno sběru začíná i končí ve 12:00 UTC a období useknuté zvoleným rozsahem je kratší než ostatní. Se sousedními je proto nesrovnávejte.

Zobrazit hodnoty jako tabulku
Den (UTC) Událostí Kampaně Základní šum Unikátní IP srv3 Unikátní IP srv4
22. 8. 2026 · neúplné 82 303 59 843 22 460 547 1 870
23. 8. 2026 79 276 34 177 45 099 1 292 3 529
24. 8. 2026 48 928 10 775 38 153 1 429 3 309
25. 8. 2026 69 902 29 825 40 077 1 552 3 824
26. 8. 2026 68 792 28 709 40 083 1 552 3 775
27. 8. 2026 204 306 161 642 42 664 1 585 4 301
28. 8. 2026 201 823 159 044 42 779 1 364 4 083
29. 8. 2026 206 275 171 641 34 634 1 029 3 853
30. 8. 2026 185 689 148 263 37 426 975 4 176
31. 8. 2026 539 919 504 248 35 671 1 488 4 183
1. 9. 2026 720 200 666 265 53 935 1 573 4 500
2. 9. 2026 275 758 209 955 65 803 1 859 4 281
3. 9. 2026 274 675 227 972 46 703 1 621 4 343
4. 9. 2026 219 422 167 450 51 972 1 628 4 087
5. 9. 2026 154 023 95 631 58 392 1 535 4 117
6. 9. 2026 131 807 46 399 85 408 1 637 4 349
7. 9. 2026 184 403 94 877 89 526 1 494 4 402
8. 9. 2026 169 747 59 781 109 966 1 758 4 609
9. 9. 2026 177 572 48 861 128 711 1 733 4 671
10. 9. 2026 193 394 60 866 132 528 1 818 5 095
11. 9. 2026 210 418 63 267 147 151 1 747 5 402
12. 9. 2026 254 827 82 831 171 996 1 859 5 450
13. 9. 2026 236 911 105 016 131 895 1 854 5 434
14. 9. 2026 213 640 83 835 129 805 1 994 5 516
15. 9. 2026 272 074 159 141 112 933 1 884 5 303
16. 9. 2026 · neúplné 101 115 28 713 72 402 1 386 3 449
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
timeline-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Mapa původu spojení #

Odkud spojení přicházela. Země se určuje podle registrace IP adresy, ne podle skutečné polohy útočníka – za adresou může být pronajatý server nebo napadený počítač kdekoli na světě. Přesná čísla jsou v tabulkách níže.

Mapu vykresluje služba Datawrapper; při jejím načtení se prohlížeč připojuje k jejím serverům. Otevřít mapu samostatně

Geografie a sítě #

Odkud provoz přicházel podle geolokace zdrojové IP adresy a ke kterým autonomním systémům (ASN) adresy patří. Geolokace ukazuje, kde je adresa registrovaná, ne kde sedí útočník.

Nejčastější země

  1. US 37,6 %2 057 660
  2. DE 22,5 %1 230 744
  3. CN 10,2 %556 778
  4. GB 8,9 %486 870
  5. SC 3,4 %184 746
  6. NL 2,2 %120 671
  7. TN 1,8 %96 601
  8. VN 1,2 %64 512
  9. MX 1,1 %59 561
  10. IN 0,9 %49 705
  11. SG 0,9 %49 368
  12. BR 0,8 %44 530
  13. RU 0,8 %42 439
  14. HK 0,7 %38 439
  15. RO 0,7 %37 368

Největší sítě (ASN)

ASN Síť Událostí Unikátní IP Podíl
6768 EUROTEL-AS
UA		 1 1 0,0 %
204457 ATLANTIS-CENTRAL
TR		 1 1 0,0 %
269822 COLOMBIA MAS TV S.A.S
CO		 1 1 0,0 %
52866 BRASIL TECPAR | AMIGO | AVATO
BR		 1 1 0,0 %
36963 OBO
BW		 1 1 0,0 %
208701 AMOS-AS
RU		 1 1 0,0 %
2027 MILKYWAN MilkyWan
FR		 1 1 0,0 %
328997 RIMATEL
MR		 1 1 0,0 %
215423 FLASHFIBER
IL		 1 1 0,0 %
212097 VIM
ES		 1 1 0,0 %
Zobrazit hodnoty jako tabulku
Země Událostí Unikátní IP Podíl
US 2 057 660 13 624 37,6 %
DE 1 230 744 1 111 22,5 %
CN 556 778 5 671 10,2 %
GB 486 870 2 870 8,9 %
SC 184 746 319 3,4 %
NL 120 671 174 2,2 %
TN 96 601 94 1,8 %
VN 64 512 644 1,2 %
MX 59 561 281 1,1 %
IN 49 705 850 0,9 %
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
geo-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Přihlašovací údaje #

Kombinace jména a hesla, které útočníci zkoušeli, a nejzkoušenější uživatelská jména. Hodnoty jsou zobrazené přesně tak, jak přišly.

Nejzkoušenější uživatelská jména

  1. root 4 665 hesel43 470
  2. admin 722 hesel10 909
  3. enable\x00 2 hesel2 938
  4. user 216 hesel2 100
  5. sa 83 hesel2 049
  6. support 178 hesel1 551
  7. test 215 hesel1 518
  8. ubuntu 100 hesel1 456
  9. cloud 148 hesel1 281
  10. postgres 93 hesel1 198
  11. batacek 147 hesel1 164
  12. srv 147 hesel1 154
  13. shell\x00 1 hesel965
  14. deploy 66 hesel925
  15. ftp 459 hesel876

Nejčastější kombinace

Jméno Heslo Pokusů Unikátní IP
root 1234 680 128
sa (prázdné) 667 18
root anko 582 24
user user 563 99
root password 543 119
admin admin1234 531 68
root pass 521 69
postgres (prázdné) 509 23
admin smcadmin 499 27
root 1111 455 32
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
credentials-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Co se dělo po přihlášení #

Příkazy, které útočníci zadali v emulovaném shellu, seřazené podle četnosti. Je to vstup útočníka, ne kód, který by na serveru skutečně běžel.

Primární záznam, zobrazený přesně tak, jak vznikl.
Příkaz Počet Relací
uname -s -v -n -r -m 41 470 41 470
system 21 144 21 143
shell 21 044 21 044
sh 21 015 21 014
enable 20 259 20 258
linuxshell 18 836 18 834
echo -e "\x47\x41\x59\x46\x47\x54" 4 749 493
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:$PATH uname=$(uname -s -v -n -m 2>/dev/null || /bin/uname -s -v -n -m 2>/dev/null || /usr/bin/uname -s -v -n -m 2>/dev/null || busybox uname -s -v -n -m 2>/dev/null || ( [ -f /proc/version ] && head -1 /proc/version | cut -d' ' -f1 ) || ( [ -f /etc/os-release ] && grep '^ID=' /etc/os-release | cut -d= -f2 | tr -d '"' ) || echo "") arch=$(uname -m 2>/dev/null || /bin/uname -m 2>/dev/null || /usr/bin/uname -m 2>/dev/null || busybox uname -m 2>/dev/null || ( [ -f /proc/cpuinfo ] && grep -q "lm" /proc/cpuinfo && echo x86_64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 8" /proc/cpuinfo && echo aarch64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 7" /proc/cpuinfo && echo armv7l ) || echo "") uptime=$(cat /proc/uptime 2>/dev/null || busybox cat /proc/uptime 2>/dev/null) cpus=$(nproc 2>/dev/null || /usr/bin/nproc 2>/dev/null || busybox nproc 2>/dev/null || grep -c "^processor" /proc/cpuinfo 2>/dev/null) cpu_model=$( { lscpu 2>/dev/null | awk -F: '/Model name/ {print $2}'; grep -m1 -E "^model name" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; grep -m1 -E "^Hardware" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; cat /proc/device-tree/model 2>/dev/null; } | sed '/^$/d; /unknown/d; s/^[[:space:]]*//; s/[[:space:]]*$//; s/ AArch64 Processor$//; s/ Processor$//; s/ CPU$//' | head -1 ) gpu_info=$( (lspci 2>/dev/null | grep -i vga; lspci 2>/dev/null | grep -i nvidia; busybox lspci 2>/dev/null | grep -i vga; busybox lspci 2>/dev/null | grep -i nvidia) 2>/dev/null ) last_output=$(last 2>/dev/null) filter_output=$( ( export LANG=C LC_ALL=C; echo '===SHELL_BEHAVIOR==='; printf 'path_err='; ( ./xxxxxx 2>&1 || true ) | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; printf 'cmd_err='; ( xxxxxx 2>&1 || true ) | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; printf 'execute_err='; out=$(bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(/bin/bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(/usr/bin/bash -c 'printf "#!/bin/bash\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); case "$out" in *xxxxxx*) ;; *) out=$(busybox sh -c 'printf "#!/bin/sh\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1 || sh -c 'printf "#!/bin/sh\necho \"xxxxxx\"\n" > filter && chmod +x filter && ./filter && rm -rf filter' 2>&1); esac; esac; esac; printf '%s' "$out" | ( head -c 250 2>/dev/null || busybox head -c 250 2>/dev/null || dd bs=250 count=1 2>/dev/null ) | ( tr -d '\n' 2>/dev/null || busybox tr -d '\n' 2>/dev/null || cat ); printf '\n'; echo '===DONE===' ) 2>&1 ) echo "UNAME:$uname" echo "ARCH:$arch" echo "UPTIME:$uptime" echo "CPUS:$cpus" echo "CPU_MODEL:$cpu_model" echo "GPU:$gpu_info" echo "LAST:$last_output" echo "FILTER:$filter_output" 4 333 4 332
/bin/busybox 3 149 312
/bin/./uname -s -v -n -r -m 2 275 2 275
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
attacker-commands-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Zachycené vzorky #

Soubory, které se útočníci pokusili stáhnout nebo nahrát, podle typu a architektury.

Tady jsou jen hashe a metadata. Samotné vzorky jsou v zaheslovaném archivu v sekci Data

Podle typu souboru

  1. PE1 058
  2. ELF58
  3. script39
  4. data35

Podle architektury

  1. —1 132
  2. x86_6424
  3. arm11
  4. x864
  5. mips4
  6. mipsel4
  7. aarch643
  8. riscv2
  9. elf-0x5d2
  10. sh1
  11. elf-0x41
  12. ppc1
  13. sparc1
SHA-256 Typ Architektura Velikost Poprvé Zachyceno Vyhledat
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b data — 1 B 23. 8. 2026 16:54:42 492 VirusTotal
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b data — 1 B 23. 8. 2026 10:04:58 330 VirusTotal
f2e2ffc024ab99eb49fa207756481aa80713398142f30888aebace5706909b36 data — 697 B 23. 8. 2026 12:07:36 243 VirusTotal
a6296a79f44e21b76604d2d2bbf795d2cf380f70e39d45fbf166707ff3b4a6a4 script — 306 B 22. 8. 2026 18:09:16 208 VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62 data — 9 B 22. 8. 2026 18:09:19 206 VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62 data — 9 B 22. 8. 2026 15:49:53 205 VirusTotal
a9b1c85a7bd78dd1112ecc75c9070ea8c53078831a17aa09ebeb287fe6e21b72 data — 9 B 7. 9. 2026 11:48:13 59 VirusTotal
1193dde1c831808bf6f2db6f5b850b846b8a7f870873ec3b8a347f21cc5d96e3 data — 9 B 7. 9. 2026 11:48:13 59 VirusTotal
14049d077b887cbb8060d223ff9626664a044a8c3145f6a2b95a325df36b279b data — 7 B 13. 9. 2026 15:31:53 58 VirusTotal
43728fbfb98bb39ff61a2db0fc2905bd6937997062b05b9ab8b186fdee18c09a data — 399 B 23. 8. 2026 00:49:29 47 VirusTotal
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
samples-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Srovnání serverů #

Kolik provozu přinesla větší plocha a v čem se oba servery liší strukturou.

Absolutní čísla obou serverů nejsou srovnatelná, srv4 nabízel řádově větší plochu. Smysl má srovnávat strukturu a pořadí, ne velikost. Více
Ukazatel srv3 srv4 srv4 / srv3
Pokusů o spojení (žebříček portů) 1 462 877 4 014 322 2,7×
Zasažených portů 45 58 628 1 302,8×
Událostí (vývoj v čase) 1 462 877 4 014 322 2,7×

srv3 nejčastější porty

  1. 5901/tcp VNC434 278
  2. 445/tcp SMB415 953
  3. 5900/tcp VNC346 288
  4. 22/tcp SSH77 679
  5. 443/tcp HTTPS25 880
  6. 23/tcp Telnet24 961
  7. 5060/udp SIP22 484
  8. 80/tcp HTTP18 336
  9. 3000/tcp HTTP alt9 322
  10. 3389/tcp RDP7 549

srv4 nejčastější porty

  1. 3389/tcp RDP726 599
  2. 5901/tcp VNC449 586
  3. 5900/tcp VNC360 884
  4. 1256/tcp341 276
  5. 8787/tcp340 499
  6. 8082/tcp HTTP alt323 345
  7. 1080/tcp SOCKS270 186
  8. 5800/tcp VNC HTTP159 507
  9. 22/tcp SSH61 829
  10. 445/tcp SMB43 977
Časové okno
21. 8. 2026 – 16. 9. 2026
Zdrojová data
honeypot-ports-aggregated-20260922.csv, timeline-aggregated zatím nedostupné
Skript
bude zveřejněn
Formát
dokumentace polí

Narazili jste na chybu, chybějící data nebo únik citlivých údajů? Nahlaste problém