Результаты · Эксперимент с «медовой ловушкой»

Рейтинг портов #

Основная таблица эксперимента: какие порты вызывали наибольший интерес у злоумышленников. Можно сортировать по любому столбцу, фильтровать по серверу и искать конкретный порт, диапазон или название службы. На каждую строку можно дать ссылку, например #port-3389.

В srv4 учитывается фактический целевой порт из hptcp. Порты перенаправления (42222, 42223, 42280, 42443) в качестве целевых портов не учитываются.

Порт	Протокол	Обычная услуга	Сервер	Опыты	Уникальный IP-адрес	Доля
5901	tcp	VNC	оба сервера	883 864	801	16,1 %
3389	tcp	RDP	оба сервера	734 148	2 425	13,4 %
3389	tcp	RDP	srv4	726 599	1 515	18,1 %
5900	tcp	VNC	оба сервера	707 172	1 343	12,9 %
445	tcp	SMB	оба сервера	459 930	6 055	8,4 %
5901	tcp	VNC	srv4	449 586	598	11,2 %
5901	tcp	VNC	srv3	434 278	655	29,7 %
445	tcp	SMB	srv3	415 953	5 570	28,4 %
5900	tcp	VNC	srv4	360 884	1 098	9,0 %
5900	tcp	VNC	srv3	346 288	1 176	23,7 %

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: honeypot-ports-aggregated-20260922.csv
Скрипт: будет опубликован
Формат: описание полей

Динамика во времени #

Объем событий во времени, разбитый на кампании и базовый шум, а под ним — количество уникальных IP-адресов. Согласно журналам агентов, отдельные кампании генерировали большую часть суточного трафика. Без такого разделения график вводил бы в заблуждение: кампания выглядела бы как тренд, а её окончание — как сбой сбора данных.

Насколько точно кампания отделяется от фонового шума, определяет скрипт, приведенный под графиком.

Количество событий

Фоновый шум
Кампании

Уникальные IP-адреса

Количество различных исходных IP-адресов за каждый день.

srv3
srv4

Уникальные IP-адресы нельзя суммировать по серверам — один и тот же адрес мог использоваться для атак на оба сервера. Поэтому для каждого сервера выделена отдельная строка.

Затемнённые столбцы и пустые кружки обозначают неполные периоды: окно сбора данных начинается и заканчивается в 12:00 UTC, а период, обрезанный выбранным диапазоном, короче остальных. Поэтому не сравнивайте их с соседними.

Отобразить значения в виде таблицы

День (UTC)	События	Кампании	Фоновый шум	Уникальный IP-адрес srv3	Уникальный IP-адрес srv4
22. 8. 2026 · неполный	82 303	59 843	22 460	547	1 870
23. 8. 2026	79 276	34 177	45 099	1 292	3 529
24. 8. 2026	48 928	10 775	38 153	1 429	3 309
25. 8. 2026	69 902	29 825	40 077	1 552	3 824
26. 8. 2026	68 792	28 709	40 083	1 552	3 775
27. 8. 2026	204 306	161 642	42 664	1 585	4 301
28. 8. 2026	201 823	159 044	42 779	1 364	4 083
29. 8. 2026	206 275	171 641	34 634	1 029	3 853
30. 8. 2026	185 689	148 263	37 426	975	4 176
31. 8. 2026	539 919	504 248	35 671	1 488	4 183
1. 9. 2026	720 200	666 265	53 935	1 573	4 500
2. 9. 2026	275 758	209 955	65 803	1 859	4 281
3. 9. 2026	274 675	227 972	46 703	1 621	4 343
4. 9. 2026	219 422	167 450	51 972	1 628	4 087
5. 9. 2026	154 023	95 631	58 392	1 535	4 117
6. 9. 2026	131 807	46 399	85 408	1 637	4 349
7. 9. 2026	184 403	94 877	89 526	1 494	4 402
8. 9. 2026	169 747	59 781	109 966	1 758	4 609
9. 9. 2026	177 572	48 861	128 711	1 733	4 671
10. 9. 2026	193 394	60 866	132 528	1 818	5 095
11. 9. 2026	210 418	63 267	147 151	1 747	5 402
12. 9. 2026	254 827	82 831	171 996	1 859	5 450
13. 9. 2026	236 911	105 016	131 895	1 854	5 434
14. 9. 2026	213 640	83 835	129 805	1 994	5 516
15. 9. 2026	272 074	159 141	112 933	1 884	5 303
16. 9. 2026 · неполный	101 115	28 713	72 402	1 386	3 449

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: timeline-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Карта происхождения соединения #

Откуда поступали подключения. Страна определяется по регистрации IP-адреса, а не по фактическому местоположению злоумышленника — за этим адресом может скрываться арендованный сервер или взломанный компьютер в любой точке мира. Точные цифры приведены в таблицах ниже.

Карта отображается с помощью сервиса Datawrapper; при её загрузке браузер подключается к серверам этого сервиса. Открыть карту отдельно

География и сети #

Откуда поступал трафик, судя по геолокации исходного IP-адреса и тому, к каким автономным системам (ASN) относятся эти адреса. Геолокация показывает, где зарегистрирован адрес, а не где находится злоумышленник.

Наиболее распространенные страны

US 37,6 %2 057 660
DE 22,5 %1 230 744
CN 10,2 %556 778
GB 8,9 %486 870
SC 3,4 %184 746
NL 2,2 %120 671
TN 1,8 %96 601
VN 1,2 %64 512
MX 1,1 %59 561
IN 0,9 %49 705
SG 0,9 %49 368
BR 0,8 %44 530
RU 0,8 %42 439
HK 0,7 %38 439
RO 0,7 %37 368

Крупнейшие сети (ASN)

ASN	Сеть	События	Уникальный IP-адрес	Доля
51167	CONTABO DE	1 036 962	168	18,9 %
22295	ADVIN US	924 717	7	16,9 %
36352	AS-COLOCROSSING US	388 883	131	7,1 %
212238	CDNEXT GB	385 498	98	7,0 %
396982	GOOGLE-CLOUD-PLATFORM US	171 392	3 170	3,1 %
14061	DIGITALOCEAN-ASN US	138 119	2 732	2,5 %
45090	TENCENT-NET-AP Shenzhen Tencent Computer Systems Company Limited CN	133 244	114	2,4 %
209334	MODAT-01 NL	114 475	93	2,1 %
197170	TECHTIES-AS - TechTies Inc. SC	110 821	185	2,0 %
45102	ALIBABA-CN-NET Alibaba US Technology Co., Ltd. CN	101 319	303	1,8 %

Отобразить значения в виде таблицы

Страна	События	Уникальный IP-адрес	Доля
US	2 057 660	13 624	37,6 %
DE	1 230 744	1 111	22,5 %
CN	556 778	5 671	10,2 %
GB	486 870	2 870	8,9 %
SC	184 746	319	3,4 %
NL	120 671	174	2,2 %
TN	96 601	94	1,8 %
VN	64 512	644	1,2 %
MX	59 561	281	1,1 %
IN	49 705	850	0,9 %

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: geo-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Данные для входа #

Сочетания имени пользователя и пароля, которые пробовали злоумышленники, а также наиболее часто пробованные имена пользователей. Значения отображаются точно в том виде, в каком они поступили.

Наиболее популярные имена пользователей

root 4 665 статей43 470
admin 722 статей10 909
enable\x00 2 статей2 938
user 216 статей2 100
sa 83 статей2 049
support 178 статей1 551
test 215 статей1 518
ubuntu 100 статей1 456
cloud 148 статей1 281
postgres 93 статей1 198
batacek 147 статей1 164
srv 147 статей1 154
shell\x00 1 статей965
deploy 66 статей925
ftp 459 статей876

Наиболее распространённые комбинации

Имя	Пароль	Опыты	Уникальный IP-адрес
`root`	`12345`	972	106
`shell\x00`	`sh\x00`	965	21
`root`	`root`	941	234
`root`	`888888`	934	34
`root`	`xmhdipc`	882	72
`system\x00`	`shell\x00`	871	12
`root`	`default`	851	88
`root`	`54321`	789	45
`root`	`juantech`	784	41
`admin`	`password`	704	110

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: credentials-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Что происходило после входа в систему #

Команды, введенные злоумышленниками в эмулированной оболочке, отсортированные по частоте использования. Это ввод злоумышленника, а не код, который действительно выполнялся бы на сервере.

Первичная запись, отображенная в точном соответствии с тем, как она была создана.

Команда	Количество	Отношения
`{ __hp_fcca13c; } 2>&1; printf 'EXITCODE:%d\n' $?;printf 'PROC_VER_FULL:%s\n' "$(cat /proc/version 2>/dev/null \| head -1)";printf 'UNAME_R:%s\n' "$(uname -r 2>/dev/null)";printf 'UNAME_V:%s\n' "$(uname -v 2>/dev/null)";printf 'UNAME_A:%s\n' "$(uname -a 2>/dev/null)"`	1	1
`~`	1	1

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: attacker-commands-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Отобранные образцы #

Файлы, которые злоумышленники пытались скачать или загрузить, с разбивкой по типу и архитектуре.

Здесь представлены только хэши и метаданные. Сами образцы находятся в зашифрованном архиве в разделе Данные

По типу файла

PE1 058
ELF58
script39
data35

В соответствии с архитектурой

—1 132
x86_6424
arm11
x864
mips4
mipsel4
aarch643
riscv2
elf-0x5d2
sh1
elf-0x41
ppc1
sparc1

SHA-256	Тип	Архитектура	Размер	Впервые	Зафиксировано	Поиск
00b6f15c2274420217ed3098a9f5f00545bf1793d7a324fd18a7809cbbf5b12b	data	—	54 B	23. 8. 2026 00:49:29	47	VirusTotal
f7134ec664ca003c740337cf7b2fbba1162430d86ca1d7a2b5c14fe0463d261b	data	—	1,1 KB	26. 8. 2026 04:12:20	36	VirusTotal
39be6853a8204ce6455a373a6ffb4cb4672d4a62d90be69f7d6eeb66cda10b96	script	—	3,2 KB	14. 9. 2026 03:08:49	12	VirusTotal
cd6ccc5dabe85309a938e43c9508998bb0f52a9264fa9ba9276956f7fa42f48d	ELF	x86_64	186,2 KB	14. 9. 2026 03:08:51	12	VirusTotal
0c99433c7d433d65ab890dcee20b330f262379d532bc76f91e18f09ecfa5fb54	script	—	202 B	25. 8. 2026 12:20:11	8	VirusTotal
9ecbeee2c88e701fe3d39e868c0a102cc77c033775f8fa9625ae83e9150a2a50	ELF	x86_64	1,0 MB	23. 8. 2026 00:24:52	7	VirusTotal
6d1fe6ab3cd04ca5d1ab790339ee2b6577553bc042af3b7587ece0c195267c9b	script	—	4,6 KB	25. 8. 2026 11:56:29	6	VirusTotal
3f3a11bafabb1a35db913cfe51995f2e357d049e268860175876ae5a93d23892	script	—	1,1 KB	25. 8. 2026 12:27:24	5	VirusTotal
1e70b63472772e3f5092ffe9c3573470e73590e6ab6d93fdcede1d368a5fd72d	script	—	2,1 KB	25. 8. 2026 12:27:24	5	VirusTotal
66e89abdbed92ccb33d90f6fbc0a10a2f128ef007329b092960e5606f1c18ec2	ELF	x86_64	16,0 MB	28. 8. 2026 21:21:50	5	VirusTotal

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: samples-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей

Сравнение серверов #

Насколько увеличился трафик благодаря увеличению площади и чем отличаются эти два сервера по структуре.

Абсолютные показатели обоих серверов несопоставимы: srv4 предлагал площадь на порядок больше. Имеет смысл сравнивать структуру и порядок, а не размер. Подробнее

Показатель	srv3	srv4	srv4 / srv3
Попытки подключения (рейтинг портов)	1 462 877	4 014 322	2,7×
Затронутые порты	45	58 628	1 302,8×
События (динамика во времени)	1 462 877	4 014 322	2,7×

srv3 наиболее распространенные порты

5901/tcp VNC434 278
445/tcp SMB415 953
5900/tcp VNC346 288
22/tcp SSH77 679
443/tcp HTTPS25 880
23/tcp Telnet24 961
5060/udp SIP22 484
80/tcp HTTP18 336
3000/tcp HTTP alt9 322
3389/tcp RDP7 549

srv4 наиболее распространенные порты

3389/tcp RDP726 599
5901/tcp VNC449 586
5900/tcp VNC360 884
1256/tcp341 276
8787/tcp340 499
8082/tcp HTTP alt323 345
1080/tcp SOCKS270 186
5800/tcp VNC HTTP159 507
22/tcp SSH61 829
445/tcp SMB43 977

Временное окно: 21. 8. 2026 – 16. 9. 2026
Исходные данные: honeypot-ports-aggregated-20260922.csv, timeline-aggregated пока недоступно
Скрипт: будет опубликован
Формат: описание полей