حصيلة المصائد (honeypot)
مخزون عينات البرمجيات الخبيثة
برمجيات خبيثة التُقطت على شبكة مصائد (honeypot) التابعة لـ Kinryū Labs، ثم عُزلت وحُسبت بصماتها (hash). تُطبع البصمات كاملة لأنها ما يطابقه المدافع فعليًا؛ أما بنية المهاجمين التحتية فمنزوعة الفاعلية. تُشارَك معظم العائلات مع الباحثين والمدافعين الذين يطلبونها. ولإحداها نسخة مرآة في مستودع عام يحمل استغلالًا فعّالًا للحصول على صلاحيات الجذر محليًا. لكل عينة ملتقطة صفحتها الخاصة، وتربط العينات التي حُلِّلت بعمق إلى تقرير كامل.
تحليلات
24
11 عائلة
مع تشريح كامل
5
تقرير مرتبط
عينات ملتقطة
828
345 بصمة SHA-256 فريدة
غير مسبوقة (VT = 0)
130+
بما فيها إطار godhive
نواقل التسليم
8
Docker، Jenkins، Redis…
mozi 4
- mozi C2 verifiedProtocol documented
2e4506802aedea2e…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 24, 2026 - mozi (botv2) C2 verifiedProtocol documented
12013662c71da69d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - mozi C2 verifiedProtocol documented
f6c97b1e2ed02578…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 13, 2026 - mozi C2 verifiedProtocol documented
4293c1d8574dc87c…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 9, 2026
unclassified 10
- X86 PE32 executable for MS Windows 4.00 (GUI) worm (807126cbae47) C2 verifiedProtocol documented
807126cbae47c03c…Runs as a worm/cryptominer; the entry vector is not established by static analysis October 24, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (ada33a0316d3) C2 verifiedProtocol documented
ada33a0316d364d1…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 12, 2026 - Arm ELF 32-bit LSB executable ddos-bot (1fc37d38754d) C2 verifiedProtocol documented
1fc37d38754d3991…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 11, 2026 - Mips ELF 32-bit MSB executable ddos-bot (9200aac4a356) C2 verifiedProtocol documented
9200aac4a3561902…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - Arm ELF 32-bit LSB executable ddos-bot (9e6da804ae9c) C2 verifiedProtocol documented
9e6da804ae9ca0a0…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 29, 2026 - Arm ELF 32-bit LSB executable ddos-bot (34186fba4b5a) C2 verifiedProtocol documented
34186fba4b5a9c64…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 28, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (3261921456e3) C2 verifiedProtocol documented
3261921456e347fb…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (7d7210719451) C2 verifiedProtocol documented
7d7210719451068d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86 ELF 32-bit LSB executable ddos-bot (59bdafde8769) C2 verifiedProtocol documented
59bdafde87693987…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 22, 2026 - POSIX shell script loader (42f1363b2247) C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 20, 2026
redtail 1
- redtail C2 verified
7c6c19b6e9343c77…Runs as a dropper/loader; the entry vector is not established by static analysis September 20, 2026
nsminer 1
- nsminer C2 recoveredProtocol documented
7126b9932dc0cdfe…Runs as a cryptominer/dropper; the entry vector is not established by static analysis September 18, 2026
mirai 2
- mirai C2 verifiedProtocol documented
d8712c619b951fc2…Runs as a ddos-bot; the entry vector is not established by static analysis September 14, 2026 - mirai (pboc) C2 verifiedProtocol documented
c9727a1237b59d53…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 10, 2026
atomic-mirai 1
- atomic-mirai C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 7, 2026
godhive 1
- godhive Novel, not on VTC2 live
4194f2337c2b261e…Exposed Docker API July 15, 2026
Go DDoS botnet 1
- Go DDoS botnet VT 40/74C2 live
6da756970a411dad…Jenkins Script Console RCE July 1, 2026
rootpacket 1
- rootpacket VT 29/74CVE-2026-31431
e2d0dab6b29df89d…Docker API → privileged-container host escape June 15, 2026
kworker 1
- kworker VT 37/74
7420e819e6cf6d76…Exposed Redis (cron injection) June 10, 2026
RedTail 1
- RedTail Known family
59c29436755b0778…Exposed Docker API June 5, 2026
لا توجد عينات ملتقطة تطابق هذا المرشّح.
عينات ملتقطة شائعة
تجلب الشبكة أيضًا حجمًا ثابتًا من البرمجيات الخبيثة الشائعة، تُعزل وتُحسب بصماتها عند الالتقاط. تُفهرس وتُترك عند هذا الحد؛ فلا شيء منها جديد بما يكفي ليستحق تشريحًا.
- متغيّرات Mirai / Gafgyt. ملفات ELF متعددة المعماريات تُسقَط عبر التخمين بالقوة الغاشمة على Telnet، وهي الحجم الغالب. 11–14 ملفًا ثنائيًا بمعماريات مختلفة في كل موجة من الحملة.
- مُسقِطات DDoS عبر Jenkins. تنفيذ أوامر عن بُعد (RCE) بلغة Groovy عبر Script Console؛ مُحمِّل bins.sh مع حمولات ELF/PE خاصة بكل معمارية. يتداخل مع شبكة روبوتات DDoS المكتوبة بلغة Go أعلاه.
- حمولات ESXi OpenSLP. محاولات استغلال CVE-2021-21974 عبر UDP/TCP 427؛ معظمها حمولات بروتوكول صغيرة.
- وحدات Redis خبيثة. وحدات .so من نوع باب خلفي / مُحمِّل تُحمَّل عبر MODULE LOAD.
طلب عينة
لبعض العائلات نسخ مرآة على حسابنا العام في GitHub وتربط إليها مباشرة. أما البقية، فأرسل بريدًا إلى [email protected] واذكر من أنت ولماذا تحتاجها. كل ما في هذه الصفحة برمجيات خبيثة فعّالة، ويحمل أحد المستودعات استغلالًا فعّالًا للحصول على صلاحيات الجذر محليًا، فشغّل أيًا منها في جهاز افتراضي (VM) يمكن التخلص منه ولا طريق له إلى شبكة تستخدمها.