3 ngày honeypot: 329 lượt tấn công, con số nói lên điều gì

Ba ngày đầu tiên honeypot Cowrie hoạt động (18–20/8/2026), toàn bộ log thật được phân tích lại để xem kẻ tấn công thực sự đang làm gì — không suy đoán, chỉ đọc thẳng từ file cowrie.json.

Tổng quan 3 ngày

Tổng kết nối         329
IP nguồn khác nhau   112
Lượt "đăng nhập thành công"   145

Honeypot chấp nhận gần như mọi mật khẩu, nên "đăng nhập thành công" ở đây không có nghĩa kẻ tấn công đoán đúng gì cả — chỉ là honeypot luôn mở cửa.

Kết nối theo từng ngày

18/8   70 kết nối   32 IP khác nhau
19/8  219 kết nối   59 IP khác nhau
20/8   40 kết nối   23 IP khác nhau

Ngày 19/8 chiếm gần 2/3 tổng lượt kết nối cả 3 ngày. Nhìn vào top IP thì thấy rõ nguyên nhân.

IP nào gõ cửa nhiều nhất

91.92.47.123     98 kết nối
27.79.3.95       11
36.94.140.29     11
116.110.210.179  10
92.118.39.14      7
111.207.227.228   6
116.110.152.194   6
3.232.93.173      6

Một IP duy nhất (91.92.47.123) chiếm gần 30% tổng số kết nối của cả 3 ngày — gần như chắc chắn là một scanner tự động quét liên tục, không phải người gõ tay. Đây cũng là lý do chính khiến ngày 19/8 đột biến.

Username và password bị thử nhiều nhất

Username:

root      41
admin     17
test       6
user       6
deploy     4

Password:

password    9
1234        9
123456      8
admin       6
123         5

Không có gì bất ngờ — toàn bộ nằm trong nhóm mật khẩu yếu kinh điển vẫn được liệt kê đầu bảng trong mọi danh sách "top password bị lộ" suốt nhiều năm nay. deploy xuất hiện trong top username cũng đáng chú ý — có thể kẻ quét đang nhắm riêng vào các server CI/CD hay bị cấu hình user triển khai lộ ra ngoài.

Phát hiện đáng chú ý nhất: một con sâu SSH đang cố lây lan

Trong log có 2 lệnh giống hệt cấu trúc, mỗi lệnh kèm theo danh sách khoảng 50 địa chỉ IP làm tham số:

chmod +x ./.<random>/sshd; nohup ./.<random>/sshd <IP-1> <IP-2> ... <IP-50> &

Đây là dấu hiệu kinh điển của sâu (worm) lây lan qua SSH mật khẩu yếu: sau khi chiếm được một máy, nó tự tải một binary giả danh sshd, chạy ngầm bằng nohup, rồi truyền cho binary đó danh sách IP mục tiêu tiếp theo để tự động thử lây sang. Vì đây là honeypot, lệnh chmod/nohup chỉ chạy trong môi trường giả lập của Cowrie — không có gì thực sự được tải hay thực thi trên server thật.

Lệnh bị gõ nhiều nhất: trinh sát hệ thống tự động

Lệnh xuất hiện 96 lần không phải lệnh phá hoại, mà là một script fingerprint dài dùng uname, /proc/cpuinfo, lscpu, nproc để xác định kiến trúc CPU, số nhân, RAM, uptime của máy — kiểu trinh sát tự động trước khi botnet quyết định có triển khai tiếp payload (thường là mã đào coin hoặc DDoS bot) hay bỏ qua vì máy quá yếu.

Kết luận

Ba ngày dữ liệu không cho thấy có ai "tấn công" theo nghĩa nhắm mục tiêu — gần như toàn bộ là quét hàng loạt tự động: thử mật khẩu yếu kinh điển, fingerprint hệ thống, và ít nhất một lần cố gắng biến máy bị chiếm thành bàn đạp lây sang IP khác. Đúng như honeypot được kỳ vọng: không có gì bị mất, mọi hành vi đều được ghi lại nguyên vẹn.