sec-chick Blog

サイバーセキュリティブログ

【ハニーポット簡易分析】Honeypot簡易分析(2020/4/26)

スイスからApache Tomcat Managerへのログイン試行を多数検知していました。

Port(TOP20)

  1. Honeytrap
Port Service Count
1433 Microsoft-SQL-Server 128604 件
22 The Secure Shell (SSH) Protocol 7400 件
445 Microsoft-DS 1486 件
3389 MS WBT Server 235 件
1911 Starlight Networks Multimedia Transport Protocol 100 件
1110 Start web admin server 95 件
513 remote login a la telnet; automatic authentication performed based on priviledged port numbers and distributed data bases which identify "authentication domains" 92 件
28015 Unknown 88 件
1801 Microsoft Message Que 87 件
8080 HTTP Alternate (see port 80) 85 件
52869 Realtek SDK miniigd SOAP Service 69 件
106 3COM-TSMUX 68 件
6000 Unknown 54 件
81 Unknown 53 件
9222 QSC Team Coherence 51 件
18080 Unknown 41 件
8081 Sun Proxy Admin Service 39 件
28017 Unknown 39 件
7800 Apple Software Restore 39 件
18245 Unknown 37 件

IP(TOP20)

01 Honeytrap

IP Country Count AbuseIPDB
58[.]58[.]226[.]122 China 49035 件 Link
45[.]141[.]87[.]27 Russia 36759 件 Link
111[.]246[.]2[.]73 Taiwan 13248 件 Link
109[.]248[.]66[.]112 Russia 13148 件 Link
185[.]202[.]1[.]19 France 11688 件 Link
198[.]245[.]50[.]167 Canada 5379 件 Link
185[.]202[.]1[.]217 France 3423 件 Link
114[.]41[.]215[.]58 Taiwan 3012 件 Link
103[.]62[.]233[.]18 Pakistan 3010 件 Link
175[.]114[.]50[.]74 South Korea 3007 件 Link
95[.]106[.]72[.]80 Russia 3007 件 Link
138[.]97[.]119[.]222 Brazil 3006 件 Link
67[.]69[.]26[.]93 Canada 3005 件 Link
42[.]114[.]248[.]207 Vietnam 3004 件 Link
160[.]20[.]109[.]159 Turkey 3003 件 Link
88[.]253[.]239[.]154 Turkey 3000 件 Link
201[.]24[.]82[.]11 Brazil 2999 件 Link
110[.]145[.]74[.]118 Australia 2999 件 Link
190[.]201[.]117[.]64 Venezuela 2999 件 Link
189[.]2[.]112[.]130 Brazil 2998 件 Link

02 WOWHoneypot

IP Country Count AbuseIPDB
185[.]128[.]41[.]50 Switzerland 180 件 Link
169[.]62[.]49[.]122 United States 9 件 Link
45[.]146[.]253[.]35 Germany 6 件 Link
77[.]247[.]108[.]119 Estonia 4 件 Link
62[.]210[.]69[.]154 France 2 件 Link
2[.]183[.]214[.]32 Iran 2 件 Link
94[.]200[.]76[.]222 United Arab Emirates 1 件 Link
137[.]59[.]49[.]9 Bangladesh 1 件 Link
162[.]243[.]133[.]116 United States 1 件 Link
95[.]47[.]50[.]189 Czechia 1 件 Link
14[.]102[.]46[.]66 India 1 件 Link
88[.]252[.]141[.]198 Turkey 1 件 Link
202[.]96[.]99[.]82 China 1 件 Link
123[.]209[.]254[.]61 Australia 1 件 Link
80[.]80[.]138[.]214 Bulgaria 1 件 Link
195[.]142[.]115[.]111 Turkey 1 件 Link
202[.]29[.]214[.]57 Thailand 1 件 Link
185[.]232[.]65[.]226 Romania 1 件 Link
183[.]136[.]225[.]45 China 1 件 Link
115[.]238[.]44[.]237 China 1 件 Link

03 WOWHoneypot(SSL)

IP Country Count AbuseIPDB
185[.]128[.]41[.]50 Switzerland 180 件 Link
169[.]62[.]49[.]122 United States 9 件 Link
45[.]146[.]253[.]35 Germany 6 件 Link
77[.]247[.]108[.]119 Estonia 4 件 Link
62[.]210[.]69[.]154 France 2 件 Link
2[.]183[.]214[.]32 Iran 2 件 Link
94[.]200[.]76[.]222 United Arab Emirates 1 件 Link
137[.]59[.]49[.]9 Bangladesh 1 件 Link
162[.]243[.]133[.]116 United States 1 件 Link
95[.]47[.]50[.]189 Czechia 1 件 Link
14[.]102[.]46[.]66 India 1 件 Link
88[.]252[.]141[.]198 Turkey 1 件 Link
202[.]96[.]99[.]82 China 1 件 Link
123[.]209[.]254[.]61 Australia 1 件 Link
80[.]80[.]138[.]214 Bulgaria 1 件 Link
195[.]142[.]115[.]111 Turkey 1 件 Link
202[.]29[.]214[.]57 Thailand 1 件 Link
185[.]232[.]65[.]226 Romania 1 件 Link
183[.]136[.]225[.]45 China 1 件 Link
115[.]238[.]44[.]237 China 1 件 Link

URI Path

NEW URI Path

01 Honeytrap

URI Path Target CVE Memo
/rs-status Mongodb - -

02 WOWHoneypot

URI Path Target CVE Memo
- - - -

03 WOWHoneypot(SSL)

URI Path Target CVE Memo
- - - -

URI Path

01 Honeytrap

URI Path Target CVE Count
No uri path - - 196427 件
/ - - 394 件
/picsdesc[.]xml Realtek SDK CVE-2014-8361 69 件
/tmpfs/auto[.]jpg IP camera - 30 件
login[.]cgi D-Link Router - 18 件
sip:nm Session Initiation Protocol - 15 件
/nice - - 14 件
/ws/v1/cluster/apps/new-application Apache Hadoop - 14 件
hxxp://clientapi[.]ipip[.]net/echo[.]php Unauthorized relay - 9 件
/home[.]asp ASP file - 8 件
/login[.]cgi D-Link Router - 8 件
/vpn/index[.]html - - 8 件
/cgi-bin/luci CGI - 8 件
/dana-na/auth/url_default/welcome[.]cgi Pulse/Juniper Networks SA2000 SSL VPN CVE-2019-11539/ 8 件
/remote/login VPN Login - 8 件
/index[.]asp index - 8 件
/htmlV/welcomeMain[.]htm Verizon Modem Router - 8 件
/ctrlt/DeviceUpgrade_1 Huawei Home Device - 8 件
/server-info Apache - 7 件
/api api - 6 件
/cgi CGI - 6 件
/hazelcast/rest/cluster Open-Xchange AppSuite CVE-2013-5936 5 件
/version - - 5 件
SERVER - - 5 件
/admin/assets/js/views/login[.]js FreePBX - 4 件
/jmx JMX - 4 件
hxxp://112[.]124[.]42[.]80:63435/ Unauthorized relay - 4 件
hxxp://123[.]125[.]114[.]144/ Unauthorized relay - 3 件
/live/CPEManager/AXCampaignManager/delet
e_cpes_by_ids
 Zyxel CNM SecuManager - 3 件
hxxp://aandetransportandrecovery[.]co[.]
uk/
 Unauthorized relay - 3 件
/jars Unknown - 2 件
/service/extdirect Sonatype Nexus Repository Manager CVE-2019-7238 2 件
rtsp://160[.]16[.]145[.]183:554 Real Time Streaming Protocol - 1 件
/hudson Unknown - 1 件
/setup/index[.]jsp Openfire Server 3.6.0a - 1 件
/solr/admin/info/system Apache Solr - 1 件
/v1[.]16/version - - 1 件
/install[.]php php - 1 件
/rs-status New - 1 件
/status - 2020/2/15 1 件
/tmUnblock[.]cgi Linksys E-series - 1 件
/_search Elasticsearch - 1 件
rtsp://160[.]16[.]145[.]183:554/12 Real Time Streaming Protocol - 1 件
rtsp://160[.]16[.]145[.]183:44554/12 Real Time Streaming Protocol - 1 件
/info - - 1 件
hxxp://example[.]com/ Unauthorized relay - 1 件
/stats - - 1 件

02 WOWHoneypot

URI Path Target CVE Count
/manager/html Apache Tomcat Manager - 180 件
/ - - 35 件
/phpMyAdmin/scripts/setup[.]php phpMyAdmin - 6 件
/admin/assets/js/views/login[.]js FreePBX - 4 件
/cgi-bin/mainfunction[.]cgi DrayTek CVE-2020-8515 2 件
/boaform/admin/formPing Administrator - 1 件
/hudson Unknown - 1 件
/HNAP1/ Linksys Router D-Link Router 1 件
ip[.]ws[.]126[.]net:443 Unauthorized Relay - 1 件
/tmpfs/auto[.]jpg IP camera - 1 件
hxxp://example[.]com/ Unauthorized relay - 1 件
/home[.]asp ASP file - 1 件
/login[.]cgi D-Link Router - 1 件
/vpn/index[.]html - - 1 件
/cgi-bin/luci CGI - 1 件
/dana-na/auth/url_default/welcome[.]cgi Pulse/Juniper Networks SA2000 SSL VPN CVE-2019-11539/ 1 件
/remote/login VPN Login - 1 件
/index[.]asp index - 1 件
/htmlV/welcomeMain[.]htm Verizon Modem Router - 1 件
/cdn-cgi/trace Cloudflare - 1 件
/portal/redlion Unknown - 1 件

03 WOWHoneypot(SSL)

URI Path Target CVE Count
/ - - 11 件
/admin/assets/js/views/login[.]js FreePBX - 4 件
/home[.]asp ASP file - 4 件
/login[.]cgi D-Link Router - 4 件
/vpn/index[.]html - - 3 件
/cgi-bin/luci CGI - 3 件
/dana-na/auth/url_default/welcome[.]cgi Pulse/Juniper Networks SA2000 SSL VPN CVE-2019-11539/ 3 件
/remote/login VPN Login - 3 件
/index[.]asp index - 3 件
/htmlV/welcomeMain[.]htm Verizon Modem Router - 3 件
/dns-query DNS over HTTPS - 1 件
/ajax - - 1 件
/data[.]php - - 1 件

Malware

  1. Honeytrap
Malware Count
No Malware 197095 件
hxxp://d[.]powerofwish[.]com/pm[.]sh 16 件
hxxp://51[.]255[.]170[.]237/pandora[.]mips 12 件
hxxp://178[.]33[.]64[.]107/arm7 5 件
hxxp://45[.]95[.]168[.]127/bins/911[.]mips 3 件
hxxp://212[.]114[.]52[.]128/arm7 2 件
hxxp://192[.]3[.]45[.]185/arm7 1 件
hxxp://19ce033f[.]ngrok[.]io/arm7 1 件
hxxp://147[.]75[.]67[.]253/bins/enigma[.]mpsl 1 件

RDP

Port/IP

Port IP Country Count AbuseIPDB
3389 95[.]47[.]248[.]84 Ukraine 79 件 Link
3389 191[.]253[.]39[.]7 Brazil 43 件 Link
3389 81[.]13[.]124[.]110 Russia 12 件 Link
22040 45[.]141[.]87[.]27 Russia 10 件 Link
27945 45[.]141[.]87[.]27 Russia 10 件 Link
2178 45[.]141[.]87[.]27 Russia 10 件 Link
27644 45[.]141[.]87[.]27 Russia 10 件 Link
29119 45[.]141[.]87[.]27 Russia 10 件 Link
29241 45[.]141[.]87[.]27 Russia 10 件 Link
29551 45[.]141[.]87[.]27 Russia 10 件 Link
23191 45[.]141[.]87[.]27 Russia 10 件 Link
23785 45[.]141[.]87[.]27 Russia 10 件 Link
17356 45[.]141[.]87[.]27 Russia 10 件 Link
23264 45[.]141[.]87[.]27 Russia 10 件 Link
23561 45[.]141[.]87[.]27 Russia 10 件 Link
22561 45[.]141[.]87[.]27 Russia 10 件 Link
24336 45[.]141[.]87[.]27 Russia 10 件 Link
23259 45[.]141[.]87[.]27 Russia 10 件 Link
28421 45[.]141[.]87[.]27 Russia 10 件 Link
29812 45[.]141[.]87[.]27 Russia 10 件 Link

Port

Port Count
3389 228 件
3390 21 件
23643 16 件
23788 16 件
23584 16 件
18006 16 件
24688 16 件
17135 16 件
20000 15 件
23256 15 件
17791 15 件
23588 15 件
23456 15 件
24351 15 件
23653 15 件
19644 15 件
23489 15 件
23662 15 件
23660 15 件
17602 15 件

IP

IP Country Count AbuseIPDB
45[.]141[.]87[.]27 Russia 36759 件 Link
185[.]202[.]1[.]19 France 11688 件 Link
185[.]202[.]1[.]217 France 3423 件 Link
185[.]158[.]113[.]43 Russia 2156 件 Link
185[.]202[.]2[.]120 France 914 件 Link
185[.]202[.]1[.]10 France 835 件 Link
5[.]252[.]193[.]112 Russia 630 件 Link
185[.]202[.]1[.]189 France 172 件 Link
5[.]188[.]206[.]38 United States 88 件 Link
95[.]47[.]248[.]84 Ukraine 79 件 Link
185[.]202[.]1[.]85 France 70 件 Link
185[.]202[.]0[.]25 United Kingdom 69 件 Link
185[.]202[.]0[.]27 United Kingdom 58 件 Link
195[.]54[.]167[.]115 Russia 47 件 Link
185[.]209[.]0[.]15 Latvia 45 件 Link
191[.]253[.]39[.]7 Brazil 43 件 Link
185[.]153[.]199[.]217 Russia 33 件 Link
185[.]209[.]0[.]71 Latvia 28 件 Link
185[.]202[.]2[.]132 France 13 件 Link
81[.]13[.]124[.]110 Russia 12 件 Link

Port 1433

IP Country Count AbuseIPDB
58[.]58[.]226[.]122 China 49035 件 Link
111[.]246[.]2[.]73 Taiwan 13248 件 Link
109[.]248[.]66[.]112 Russia 13148 件 Link
114[.]41[.]215[.]58 Taiwan 3012 件 Link
103[.]62[.]233[.]18 Pakistan 3010 件 Link
175[.]114[.]50[.]74 South Korea 3007 件 Link
95[.]106[.]72[.]80 Russia 3007 件 Link
138[.]97[.]119[.]222 Brazil 3006 件 Link
67[.]69[.]26[.]93 Canada 3005 件 Link
42[.]114[.]248[.]207 Vietnam 3004 件 Link
160[.]20[.]109[.]159 Turkey 3003 件 Link
88[.]253[.]239[.]154 Turkey 3000 件 Link
201[.]24[.]82[.]11 Brazil 2999 件 Link
110[.]145[.]74[.]118 Australia 2999 件 Link
190[.]201[.]117[.]64 Venezuela 2999 件 Link
189[.]2[.]112[.]130 Brazil 2998 件 Link
182[.]71[.]101[.]42 India 2175 件 Link
197[.]45[.]172[.]17 Egypt 1949 件 Link
179[.]95[.]49[.]242 Brazil 1728 件 Link
201[.]201[.]187[.]94 Costa Rica 1430 件 Link