ogurexxx@root:~$ tail -f /var/log/honeypot

Прямой эфир ловушки

На этом сервере стоит ловушка: она притворяется беззащитным Linux-сервером и пускает почти с любым паролем. Ниже — настоящие сессии ботов, которые «взломали» её за последние сутки, с пометками, что каждая команда значит на языке MITRE ATT&CK. Настоящей системы там нет — боты общаются с декорацией.

бот · SSH-2.0-Go · 2026-10-30 00:32

root@srv-backup01:~# /bin/./uname -s -v -n -r -m

# T1082 · Сведения о системе

сессия заняла 0 с

# посмотреть в своём терминале: asciinema play https://ogurexxx.ru/live/latest.cast

Семейства ботнетов

# фид угроз: JSON · STIX 2.1 (MISP, OpenCTI) · RSS

Атакующие, которые ведут себя одинаково — одна и та же цепочка команд, — скорее всего, части одного ботнета. Показаны только семейства, замеченные хотя бы с трёх разных адресов, за последние 7 дней.

Закрепление ключом `sshkey-3bfa`

105 адресов · 110 сессий · с 28.10

Дописывает свой SSH-ключ, чтобы вернуться позже без пароля.

$ cd ~ && rm -rf .ssh && mkdir .ssh && echo <arg> && chmod -R <arg> ~/.ssh && cd ~

T1098.004 T1222.002

SSH-2.0-libssh_0.9.6 · SSH-2.0-libssh_0.11.1

▶ sshkey-3bfa.cast

Разведчик `recon-90e6`

5 адресов · 202 сессий · с 29.10 · активно сегодня

Только осматривается: что за система, сколько ядер — и уходит.

$ /bin/./uname -s -v -n -r -m

T1082

SSH-2.0-Go

▶ recon-90e6.cast

Разведчик `recon-5552`

5 адресов · 5907 сессий · с 28.10

Только осматривается: что за система, сколько ядер — и уходит.

$ uname -s -v -n -r -m

T1082

SSH-2.0-Go

▶ recon-5552.cast

Загрузчик `loader-e884`

3 адресов · 66 сессий · с 28.10

Скачивает и запускает программу — обычно бота для ботнета.

$ sh -c <arg>
$ sh -c <arg>
$ sh -c <arg>
$ sh -c <arg>

T1059.004 T1222.002

SSH-2.0-Go

▶ loader-e884.cast

Закрепление ключом `sshkey-b6c8`

3 адресов · 3 сессий · с 29.10

Дописывает свой SSH-ключ, чтобы вернуться позже без пароля.

$ cd ~ && rm -rf .ssh && mkdir .ssh && echo <arg> && chmod -R <arg> ~/.ssh && cd ~
$ cat /proc/cpuinfo | grep name | wc -l
$ echo <str> | chpasswd | bash
$ rm -rf /tmp/secure.sh; rm -rf /tmp/auth.sh; pkill -9 secure.sh; pkill -9 auth.sh; echo > /etc/hosts.
$ cat /proc/cpuinfo | grep name | head -n 1 | awk <str>
$ free -m | grep <arg> | awk <str>
$ ls -lh <arg> <arg>

T1033 T1053.003 T1057 T1059.004 T1082 T1083 T1098 T1098.004 T1222.002 T1489

SSH-2.0-libssh_0.9.6 · SSH-2.0-libssh_0.11.1

▶ sshkey-b6c8.cast

Как это сделано: команды очищены — ссылки, адреса, строки в кавычках и случайные имена файлов заменены метками вроде <url> и <file>, незнакомые программы скрыты. IP-адреса атакующих не публикуются. Сводка по всем атакам — Статистика. Проверить себя на настоящей сессии — Расследование недели.